在最近的博客文章“ IB the API，我认为不是”和“了解信息阻止和 API 的真相”中，我们讨论了对与我们提倡开放、基于标准的互操作性方法的政策相悖的做法、行动和行为的担忧。最近和持续收到的来自“API 用户”（其中包括医疗保健提供商和应用程序开发人员）的报告表明，认证的健康 IT 开发人员（在此上下文中为“认证 API 开发人员”）一直在从事可能不符合 ONC 健康 IT 认证计划（认证计划）规定的活动。
具体来说，我们收到反馈称，经认证的 API 开发人员通过延迟、不必要的要求和限制对基本注册信息的访问来阻碍患者用来访问其电子健康信息 (EHI) 的第三方应用程序的注册过程。在这篇博文中，我们概述了与 API 注册相关的特定合规领域，这些领域需要开发人员的注意，以支持 API 用户能够利用第三方应用程序访问 EHI，而无需付出特别的努力。API认证配套指南(CCG) 和与 API 技术情况说明书相关的信息阻止提醒提供了进一步的说明。
第三方应用验证和注册的延迟和障碍
经认证的 API 开发人员可以制定流程来验证 API 用户（例如第三方应用）的真实性。但是，如果他们这样做，他们必须在收到 API 用户注册其软件应用以用于“(g)(10) 认证 API”的请求后的 10 个工作日内完成真实性验证，并且必须在此后的 5 个工作日内注册并启用已认证应用的生产用途。
协助 API 用户访问 EHI 的第三方应用程序开发人员不应等待超过 15 个工作日，等待认证 API 开发人员“批准”应用程序在技术上准备好支持患者通过该应用程序访问其 EHI。API 用户已向我们指出，在许多情况下，此过程需要更长的时间。这种延迟是不可接受的，并且可能不符合认证计划的要求。认证 API 开发人员需要遵守既定的时效性标准，并应牢记，鉴于其可量化的要求，这些类型的不合规情况更容易识别。
API 用户还报告了一些做法，例如强制签订附加协议（例如，业务伙伴协议或保密协议），以及要求患者或医疗保健提供者在注册应用程序之前授权应用程序。这些做法增加了不合理的障碍，对于患者访问是完全不允许的（请参阅 85 FR 25813和84 FR 7520；另请参阅 HIPAA FAQ #5），如果它们不合理地阻碍了企业对企业的访问，也是不允许的。
缺乏可访问且透明的注册信息
有报告称，联系信息缺失或不准确，或者在可公开访问的服务基础 URL上第三方应用注册请求没有响应，这表明一些认证 API 开发人员没有提供清晰易懂的说明，直接阻碍了注册过程。ASTP 希望启动和完成应用注册所需的 货运代理经纪人电子邮件列表 所有信息都能得到一致维护、可访问且易于查找。不遵守这一期望可能会涉及违反 API 和信息阻止条件以及认证维护要求。
我们听到的其他担忧包括：
医疗保健提供者被视为认证计划下的 API 信息来源，不鼓励使用任何第三方应用程序注册，并指导患者使用他们的患者门户（84 FR 7519）。
提供商以“消费者教育”为幌子，展示带有偏见、不准确和歧视性的信息，旨在劝阻患者使用第三方应用程序。( 85 FR 7419 )
一些经过认证的 API 开发人员拒绝发布其客户的服务基础 URL 或提供通用 API 端点，这使得 API 用户难以直接连接到健康系统。
问责与执行
ASTP 将继续与 ONC 授权认证机构 (ONC-ACB) 合作，监控合规性并解决问题。由于信息阻止监管和执行框架现已到位，认证 API 开发人员最好花点时间确保他们的实践符合 API条件和维护认证要求，并简化他们的注册流程，以确保不引入“特殊努力”。为了支持这一点，认证计划更新了CCG并发布了额外的教育材料。我们鼓励认证 API 开发人员查看此材料以及我们认证计划资源页面中提供的所有其他教育材料。
如果您是应用程序开发人员或其他 API 用户，并且遇到这些或任何其他与认证 API 开发人员有关的问题，我们建议您首先联系相关开发人员。这是认证计划投诉流程中所示的所有投诉的起点。如果问题仍然存在，请咨询ONC 认证健康 IT 产品清单中列出的产品 ONC-ACB。ONC- ACB 的部分职责包括接收有关其认证产品的投诉，以及识别和解决潜在的不符合认证功能的情况，包括但不限于45 CFR 170.315(g)(10 )。与往常一样，请继续通过健康 IT 反馈和咨询门户分享您的意见。与不合规或与 API 条件和维护认证要求不一致的做法相关的索赔或问题应报告给ASTP/ONC 健康 IT 反馈和咨询门户