Cos'è la conformità HIPAA: Linee guida per diventare conformi

Il Health Insurance Portability and Accountability Act (HIPAA) è una legge statunitense creata per proteggere la privacy individuale stabilendo standard nazionali per la gestione delle informazioni sanitarie sensibili e dei record medici dei pazienti. Le regole di conformità HIPAA incorporano requisiti derivanti da diversi altri atti legislativi, inclusi il Public Health Service Act e il Health Information Technology for Economic and Clinical Health (HITECH) Act.

In questo articolo, forniamo una visione approfondita dei requisiti HIPAA e forniamo tutti i dettagli di cui la tua organizzazione ha bisogno dal punto di vista della sicurezza informatica per garantire la conformità HIPAA. Per saperne di più sulle migliori pratiche di conformità, consulta la HIPAA Compliance Checklist.

Cos'è la conformità HIPAA?

I requisiti di conformità HIPAA stabiliscono standard per la protezione dei dati sanitari e medici dei pazienti elettronici. I legislatori hanno istituito HIPAA per raggiungere diversi obiettivi fondamentali:

• Migliora l'assistenza sanitaria
• Proteggi la privacy dei pazienti.
• Richiedere alle entità di fornire i record medici ai pazienti su richiesta.
• Migliorate la portabilità dell'assicurazione sanitaria.
• Assicurati che i pazienti vengano notificati in caso di violazione dei dati sanitari.

Il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) supervisiona HIPAA, e l'Ufficio per i Diritti Civili (OCR) dell'HHS conduce periodicamente audit HIPAA per valutare la conformità.

Cos'è l'Informazione Sanitaria Protetta (PHI)?

Per conformarsi all'HIPAA, un'organizzazione deve avere misure di Sicurezza dei dati adeguate come HIPPA Compliance Software per la protezione delle informazioni sanitarie.

Le informazioni sanitarie protette (PHI) sono qualsiasi informazione sanitaria identificabile personalmente che viene trasmessa o memorizzata elettronicamente, su carta o verbalmente. PHI include qualsiasi informazione su un individuo che si riferisce alla loro salute passata, presente o futura; dettagli dei trattamenti sanitari; e informazioni sui pagamenti che possono identificare l'individuo. Esempi di PHI includono:

• Numero di previdenza sociale
• Nome
• Date di nascita, morte o trattamento e altre date relative alla cura del paziente
• Fotografie
• Informazioni di contatto
• Numeri di cartella clinica

Chi deve conformarsi a HIPAA?

HIPAA regola le informazioni per due gruppi che gestiscono i dati sanitari dei pazienti: entità coperte e associati commerciali.

Cos'è un'entità coperta?

Un'entità coperta è una persona o organizzazione che elabora e detiene PHI per i clienti. Esempi includono medici, farmacie, case di cura, cliniche e compagnie di assicurazione sanitaria.

Tuttavia, non tutte le organizzazioni che gestiscono informazioni sanitarie sono considerate entità coperte. Un esempio sono le organizzazioni di ricerca che non forniscono servizi sanitari e non trasmettono informazioni sanitarie in connessione a transazioni soggette a una normativa HIPAA.

Cos'è un associato commerciale?

Un partner commerciale (business associate) è un’organizzazione che fornisce servizi alle entità coperte per supportare attività e funzioni sanitarie. Le entità coperte possono divulgare informazioni sanitarie protette (PHI) ai partner commerciali per ottenere assistenza nelle funzioni sanitarie, ma non per scopi o usi indipendenti del partner stesso.

In generale, un accordo o contratto di business associate è necessario quando si stabilisce una relazione tra un'entità coperta e un business associate. Tuttavia, in alcuni casi, un accordo non è necessario, quindi è necessario che le organizzazioni facciano la propria ricerca.

Come HIPAA Protegge la Privacy dei Pazienti

La forma primaria di protezione del paziente di HIPAA è la sua Privacy Rule. La HIPAA Privacy Rule stabilisce standard per l'uso e la divulgazione delle informazioni sanitarie degli individui. Stabilisce anche standard per i diritti alla privacy dei pazienti e il controllo sull'uso delle loro informazioni sanitarie.

Diritto dei pazienti di accedere al loro PHI

I singoli pazienti hanno il diritto di accedere alle proprie informazioni sanitarie secondo la Privacy Rule. Gli individui possono anche designare chi altro può vedere le loro PHI con documentazione scritta e firmata.

Quando un paziente richiede il PHI, le informazioni sono tipicamente fornite in un insieme di registri designato, che contiene:

• Fatturazione e registri medici come risultati di analisi di laboratorio, registri dei trattamenti e radiografie
• Informazioni su richieste, iscrizione e pagamento per il piano sanitario del paziente
• Altri record utilizzati per prendere decisioni riguardo al paziente

Alcune informazioni sono escluse dall'insieme di record designato poiché tali informazioni non sono state utilizzate per prendere decisioni. Questo include dati riguardanti:

• Registri di sicurezza dei pazienti
• Informazioni sul controllo della qualità
• Informazioni raccolte per procedimenti legali

Evasione delle richieste PHI

Un'entità coperta potrebbe richiedere che le richieste di PHI siano effettuate per iscritto o tramite comunicazioni elettroniche come email o un portale web. Le entità coperte non possono creare misure irragionevoli per le richieste o la verifica, né possono ritardare in modo ragionevole l'accesso di un paziente.

Le richieste possono essere soddisfatte in formato cartaceo o elettronico, a seconda delle informazioni richieste. Un'entità coperta deve fornire le informazioni richieste entro 30 giorni di calendario dalla richiesta.

Un'entità coperta può addebitare tariffe per recuperare i costi sostenuti per:

• Creazione di copie
• Acquisto di forniture per la richiesta
• Affrancatura
• Preparazione dei riassunti di PHI, se concordato dall'individuo

In alcuni casi, un'entità coperta negherà una richiesta di PHI. Queste circostanze possono includere:

• Appunti di psicoterapia
• PHI che fa parte di uno studio di ricerca in corso
• Situazioni in cui l'accesso è ragionevolmente probabile che causi danno a qualcuno

Sicurezza e privacy degli EHR

Nel settembre 2013, i legislatori hanno incorporato l’HITECH Act all’interno dell’HIPAA tramite l’Omnibus Rule. L’HITECH Act è stato progettato per incoraggiare i fornitori di servizi sanitari a utilizzare le cartelle cliniche elettroniche (EHR), note anche come informazioni sanitarie protette elettroniche (ePHI). L’HITECH Act ha inoltre stabilito che le entità che non risultano conformi all’HIPAA possono essere soggette a sanzioni significative.

Transazioni standard HIPAA

HITECH affronta le transazioni standard nella Regola del Set di Transazioni e Codici (TCS). La regola TCS adotta standard per la trasmissione elettronica dei dati sanitari tra fornitori, assicuratori sanitari e clienti delle assicurazioni sanitarie.

Gestione della sicurezza per HIPAA

La regola di sicurezza HIPAA

Per garantire la sicurezza dei dati per le cartelle cliniche elettroniche, la HIPAA Security Rule ha stabilito standard di sicurezza per le entità coperte e i loro associati commerciali. Secondo la norma, le entità coperte devono:

• Garantire la riservatezza, integrità e disponibilità di tutti gli e-PHI che creano, ricevono, mantengono o trasmettono.
• Identificare e proteggere contro minacce ragionevolmente prevedibili alla sicurezza o all'integrità delle informazioni.
• Proteggersi contro utilizzi o divulgazioni non consentite e ragionevolmente prevedibili.
• Assicurare la conformità da parte della loro forza lavoro.

Per garantire la conformità con la HIPAA Security Rule, un'organizzazione può seguire le linee guida stabilite dall'Istituto Nazionale degli Standard e della Tecnologia (NIST), che includono controlli e raccomandazioni di politica per le organizzazioni da implementare per la conformità HIPAA.

Misure di salvaguardia HIPAA

NIST delinea tre categorie di salvaguardie EHR:

• Misure amministrative di sicurezza
• Misure di sicurezza tecniche
• Misure di protezione fisica

Queste misure di sicurezza possono essere obbligatorie (devono essere implementate) o facoltative (dovrebbero essere implementate se ragionevoli e appropriate per l'ambiente).

Salvaguardie amministrative

• Processo di gestione della sicurezza: Utilizzare sistemi per rilevare, prevenire, contenere e correggere le violazioni della sicurezza.
• Responsabilità di sicurezza assegnata: Designare un ufficiale responsabile dell'attuazione e dello sviluppo delle politiche e delle procedure.
• Sicurezza della forza lavoro: Concedere l'accesso alle ePHI solo ai dipendenti che ne hanno bisogno e impedire agli utenti non autorizzati di ottenere l'accesso.
• Gestione dell'accesso alle informazioni: Utilizzare sistemi di sicurezza per autorizzare l'accesso alle ePHI.
• Consapevolezza della sicurezza e formazione: Formare tutti i dipendenti sulle pratiche di sicurezza dei dati e sulla consapevolezza.
• Procedure per incidenti di sicurezza: Stabilire protocolli per gli incidenti di sicurezza.
• Piani di contingenza: Sviluppare piani di gestione delle emergenze per i danni ai sistemi.
• Valutazione: Eseguire valutazioni periodiche del sistema per misurare la sicurezza e l'affidabilità dei dati.

Salvaguardie tecniche

• Controllo degli accessi: Consentire l'accesso solo a individui o programmi software che hanno ricevuto i diritti di accesso.
• Controlli di audit: Utilizzare sistemi che registrano ed esaminano le attività relative agli ePHI.
• Integrità: Stabilire metodi per prevenire la gestione impropria di
• Autenticazione di persone o entità: Utilizzare sistemi di sicurezza con misure di verifica robuste.
• Sicurezza della trasmissione: Implementare misure di sicurezza per proteggere contro l'accesso non autorizzato agli ePHI durante la trasmissione elettronica.

Misure di salvaguardia fisiche

• Controllo degli accessi agli impianti: Limitare l'accesso fisico all'ePHI.
• Utilizzo delle postazioni di lavoro: Stabilire flussi di lavoro e requisiti di configurazione per le postazioni di lavoro dove viene accesso l'ePHI.
• Sicurezza delle postazioni di lavoro: Limitare l'uso delle postazioni di lavoro agli utenti autorizzati.
• Controllo di dispositivi e supporti: Gestisci la ricezione e la rimozione di hardware e supporti contenenti ePHI.

Analisi del rischio dei dati

Secondo le linee guida del processo di gestione della sicurezza, la Security Rule richiede analisi del rischio, ovvero valutazione e gestione del rischio.

La guida NIST sull'analisi del rischio dei dati comprende diversi passaggi, che includono:

1. Identificazione di vulnerabilità e minacce.
2. Valutazione dell'attuale Data Security Posture Management.
3. Determinare la probabilità delle minacce e i potenziali impatti.

Costo delle violazioni di HIPAA

Notifica di violazione

Una violazione è qualsiasi uso o divulgazione non autorizzata di PHI secondo la Normativa sulla Privacy. In alcuni casi, un'organizzazione può dimostrare una bassa probabilità che i PHI siano compromessi basandosi su un'analisi del rischio.

Se si verifica una violazione dei dati, un'organizzazione deve notificare gli individui interessati per posta o email, informare i media e presentare un rapporto al Segretario HHS attraverso un modulo online — il tutto entro 60 giorni.

Penalità e multe HIPAA

Quando le violazioni comportano infrazioni dell'HIPAA, la HIPAA Enforcement Rule governa le indagini, le udienze e le sanzioni. Cause comuni delle penalità HIPAA includono dispositivi non criptati che vengono persi o rubati, mancanza di formazione dei dipendenti, violazioni dei database e pettegolezzi in ufficio riguardo alle informazioni dei pazienti.

Il HITECH Act delinea quattro livelli di multe per le violazioni:

• Livello A: Violazione in cui una persona o entità non sapeva di aver commesso una violazione.
• Livello B: Violazione di causa ragionevole ma non di negligenza volontaria.
• Livello C: Violazione dovuta a negligenza intenzionale, ma la persona o l'entità può rimediare alla situazione.
• Livello D: violazione del Livello C dove la situazione non viene risolta entro 30 giorni.

L'HHS OCR pubblica le violazioni sul loro sito web “Wall of Shame”. Altri siti pubblicano multe e collegamenti a regolamenti. Esempi recenti includono:

• Nel settembre 2020, Premera Blue Cross è stata multata di $6,850,000 per risolvere una violazione dei dati che ha colpito oltre 6 milioni di individui.
• Nel luglio 2020, Lifespan Health System è stata multata per oltre 1 milione di dollari a causa di un laptop rubato che non era criptato.

Nell'ottobre 2019, Elite Dental Associates è stata multata di $10.000 per la divulgazione di informazioni sui pazienti sui social media.

FAQ

Quanto spesso è richiesto il training HIPAA?

La formazione HIPAA dovrebbe essere condotta almeno annualmente per tutti i membri del personale che gestiscono informazioni sanitarie protette (PHI). Tuttavia, le organizzazioni sanitarie non si limitano a soddisfare l'obbligo una volta all'anno. Vorrai sessioni di formazione aggiuntive quando iniziano nuovi dipendenti, quando cambiano le politiche, dopo incidenti di sicurezza e quando vengono implementate nuove tecnologie. La chiave per la conformità HIPAA non è soddisfare i requisiti minimi – è costruire una cultura consapevole della sicurezza dove la protezione dei dati dei pazienti diventa una seconda natura.

Quale descrizione si addice meglio alla HIPAA Security Rule?

La HIPAA Security Rule è la tua guida tecnica per proteggere le PHI elettroniche (ePHI). A differenza della Privacy Rule che si concentra su chi può accedere ai dati, la Security Rule entra nel dettaglio di come proteggere quei dati elettronicamente. Richiede che le entità coperte implementino misure di salvaguardia amministrative, fisiche e tecniche che assicurino la riservatezza, l'integrità e la disponibilità delle ePHI. È la guida pratica per trasformare i principi della privacy in controlli di sicurezza reali che funzionano effettivamente.

Qual è la chiave per la conformità HIPAA?

La chiave per la conformità HIPAA è comprendere che la sicurezza dei dati inizia con l'identità. Non puoi proteggere ciò che non vedi e non puoi controllare ciò che non gestisci. La conformità HIPAA di successo richiede tre elementi fondamentali: sapere chi ha accesso alle PHI, monitorare cosa fanno con quell'accesso e mantenere tracce di verifica dettagliate di tutte le attività. Non si tratta di una sicurezza perfetta - si tratta di dimostrare la dovuta diligenza e la capacità di rilevare e rispondere alle minacce prima che diventino violazioni.

HIPAA richiede la crittografia?

HIPAA non impone esplicitamente la crittografia, ma è considerata "indirizzabile" nell'ambito delle misure di sicurezza tecniche della Security Rule. La realtà pratica: se memorizzi o trasmetti ePHI senza crittografia e subisci una violazione, affronterai sanzioni più severe e requisiti di notifica. L'approccio pratico è trattare la crittografia come essenziale, non opzionale. Crittografa i dati a riposo, in transito e, quando possibile, anche in uso. Se implementata correttamente, la crittografia può ridurre gli obblighi di notifica di violazione e dimostrare il tuo impegno nella protezione della privacy dei pazienti.

Come garantire la conformità HIPAA?

Assicurare la conformità HIPAA richiede un approccio sistematico che va oltre le politiche e le procedure. Inizia con una valutazione complessiva del rischio per identificare le vulnerabilità nel tuo ambiente. Applica il principio del privilegio minimo – concedi alle persone l'accesso solo alle PHI di cui hanno bisogno per le loro specifiche funzioni lavorative. Implementa un monitoraggio continuo per tracciare chi accede a quali dati e quando. Stabilisci procedure chiare di risposta agli incidenti e praticale regolarmente. Soprattutto, ricorda che la conformità non è una destinazione – è un processo continuo che richiede attenzione costante e aggiornamenti regolari man mano che la tua organizzazione e il panorama delle minacce si evolvono.