Conformità HIPAA

La Conformità HIPAA, ovvero The Health Insurance Portability and Accountability Act, serve a proteggere le informazioni sensibili dei pazienti. È stata istituita nel 1996 e contiene diverse regole che regolamentano come i dati sanitari privati devono essere protetti, utilizzati e divulgati in ogni fase della loro esistenza. Tutte le entità coperte, i partner commerciali e le terze parti che lavorano con dati sensibili devono seguire queste regole e proteggere e mettere in sicurezza le Informazioni Sanitarie Protette (PHI). Questo atto interessa l’industria sanitaria negli Stati Uniti. La legge consiste in regole di protezione dei dati molto rigorose, in quanto i dati dei pazienti sono informazioni molto attraenti per i criminali. HIPAA è regolato dal Dipartimento della Salute e dei Servizi Umani (HHS) e applicato dall’Ufficio per i Diritti Civili (OCR). Diamo un’occhiata più da vicino alle definizioni e alle regole per chiarire come essere conformi a HIPAA.

Principali Definizioni

HIPAA ha delle importanti definizioni da comprendere. Qui le descriveremo.

PHI o Informazioni Sanitarie Protette sono i dati di ognuno collegati all’assistenza sanitaria. Include informazioni come nome, indirizzo, data di nascita, Numero di Previdenza Sociale e molte altre informazioni sensibili come i report su tutti i trattamenti medici, le condizioni di salute mentale, i pagamenti, ecc.

ePHI o Informazioni Sanitarie Elettroniche sono le stesse delle PHI, ma tutte queste informazioni sono conservate, trasmesse e ricevute in formato elettronico.

Entità coperte sono tutti coloro che lavorano con le PHI. Possono essere medici, infermieri, altro personale sanitario che ha accesso alle informazioni, clearinghouse di assistenza sanitaria e agenzie assicurative. Vale la pena menzionare che le entità coperte sono responsabili per la segnalazione delle violazioni e il pagamento delle multe se si verificano.

Partner Commerciali sono tutti coloro che forniscono servizi diversi per le entità coperte e hanno accesso alle PHI, come avvocati, società IT, commercialisti e altro personale non medico.

È necessario conoscere queste informazioni per comprendere come e con chi funziona la conformità HIPAA.

Regole di Privacy e Sicurezza HIPAA

La Regola di Privacy HIPAA è una regola fondamentale dell’atto. Si applica solo alle entità coperte, il che significa che ogni fornitore di assistenza sanitaria, clearinghouse di assistenza sanitaria e altre agenzie sanitarie devono conformarsi ad essa. Questo dovrebbe essere il primo passo verso la conformità HIPAA. Questa regola specifica le salvaguardie per le PHI, limita l’accesso alle informazioni e fornisce le condizioni per l’uso e la divulgazione delle informazioni private senza il consenso del paziente. Inoltre, i pazienti hanno alcuni diritti speciali, come richiedere correzioni delle loro PHI e avere una copia di queste informazioni.

La Regola di Sicurezza HIPAA si applica solo alle ePHI e non riguarda le PHI trasmesse oralmente o per iscritto. Questa regola specifica le salvaguardie amministrative e tecniche che le entità coperte devono implementare per la protezione dei dati. La Regola di Sicurezza protegge la riservatezza, l’integrità e la disponibilità di tutti i dati che le entità coperte creano, mantengono o trasmettono. Inoltre, ci sono punti che affermano che è necessario identificare ed eliminare le minacce alla sicurezza delle informazioni. Inoltre, tutto il personale delle entità coperte deve conformarsi ai requisiti normativi. La Regola di Sicurezza consente di scegliere quali soluzioni implementare per le misure di sicurezza. Dipende dalle dimensioni, dalle risorse e dalla natura dell’entità coperta.

È necessario implementare le seguenti misure per salvaguardare le informazioni:

• La salvaguardia Tecnica riguarda la protezione e la concessione di accesso alle informazioni. Se si desidera essere conformi a HIPAA, è necessario assicurarsi che i dati siano sicuri in tutte le fasi della loro esistenza implementando politiche e procedure. Questa salvaguardia consiste in 4 categorie: controllo degli accessi, controllo degli audit, controlli dell’integrità e sicurezza della trasmissione.
• La salvaguardia Fisica riguarda la prevenzione dell’accesso fisico alle ePHI, indipendentemente da dove siano collocate. Solo le persone autorizzate dovrebbero avere accesso a utilizzare queste informazioni e la loro posizione.
• La salvaguardia Amministrativa riguarda l’implementazione di politiche e procedure. Gli ufficiali di privacy e sicurezza saranno responsabili della formazione dello staff, dell’analisi e dell’identificazione dei rischi per la sicurezza, ecc.

Violazioni Comuni

Per essere conformi a HIPAA è necessario comprendere che la maggior parte delle violazioni sono interne. Se qualcuno ha smarrito il foglio con le informazioni di un paziente o ha lasciato il posto di lavoro sbloccato involontariamente – queste sono comunque violazioni. Ecco alcune violazioni comuni:

• Dispositivi rubati con PHI o ePHI;
• Attacchi informatici (malware, attacchi ransomware, ecc.);
• Furto in ufficio;
• Invio di PHI alla persona o al partner sbagliato;
• Discussione delle PHI in pubblico;
• Pubblicazione delle PHI sui social media.

Per proteggersi, è necessario analizzare la natura della propria attività e i partner con cui si lavora. È essenziale lavorare solo con partner che siano anche conformi a HIPAA. Questo ti aiuterà a ridurre la possibilità di incorrere in multe se una violazione si verifica in qualche modo.

La Regola di Notifica delle Violazioni HIPAA

Prima di tutto, dobbiamo chiarire cosa è una violazione dei dati secondo HIPAA. Qui abbiamo che una violazione è “un uso o una divulgazione non consentiti che compromette la sicurezza o la privacy delle informazioni sanitarie protette”. In altre parole, una violazione dei dati è solo un accesso non autorizzato alle PHI. È possibile prevenire le violazioni dei dati utilizzando misure di sicurezza solide, formazione e software di rilevamento degli attacchi e delle minacce.

La Regola di Notifica delle Violazioni ha 2 tipi di violazioni che differiscono tra loro nel numero di individui colpiti. Se una violazione riguarda meno di 500 individui, un’entità coperta deve notificare l’HHS una volta all’anno, non oltre 60 giorni dalla fine dell’anno solare in cui è stata scoperta la violazione. Inoltre, le entità devono notificare gli individui colpiti entro 60 giorni dall’avvenuta violazione.

Se una violazione riguarda più di 500 individui, un’entità coperta deve notificare l’HHS e l’OCR entro 60 giorni dalla scoperta della violazione. Inoltre, è necessario notificare le agenzie locali di forze dell’ordine. Inoltre, tutte le violazioni significative sono pubblicate sul Portale del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti.

Il Sistema di Multe e Penali

Indipendentemente da quanto bene si è preparati per la conformità HIPAA, è necessario essere sempre consapevoli di multe e penali. HIPAA ha 2 categorie di penali: Ragionevole Causa e Negligenza Volontaria. La somma minima della violazione per Ragionevole Causa è $100 per incidente, e la somma massima per entrambi i casi è $50,000 per incidente.

La somma dipende dalla conoscenza di una violazione e dalla quantità di negligenza. Se non si è a conoscenza della violazione e non si poteva prevenire, la somma minima è $100 per violazione. Il prossimo livello è quando l’entità avrebbe dovuto conoscere la violazione, ma non poteva prevenirla per qualche motivo. Questo costerà all’entità fino a $50,000. Se l’entità è stata negligente e non ha corretto la violazione entro 30 giorni, la multa minima sarà di $50,000 per violazione. Inoltre, ci può essere una penale sotto forma di reclusione.

HIPAA e COVID-19

Dall’inizio della pandemia, la situazione nel settore sanitario è cambiata. E anche HIPAA è cambiata. Ci sono nuovi bollettini, linee guida e altre cose diverse per aiutare le entità e i partner commerciali a condurre la conformità in questo periodo. La cosa più importante per la conformità in quel momento è il lavoro a distanza e la telemedicina. Le PHI sono conservate in luoghi diversi, anche nei dispositivi dei pazienti. Per questo motivo, le penali e le multe sono state sospese per un certo periodo.

Ma nonostante questo fatto, tutti i fornitori di assistenza medica devono proteggere le informazioni dei pazienti e usare misure supplementari per proteggere le informazioni sensibili. È necessario rivedere tutte le procedure e le politiche per ridurre il rischio di una violazione in quel periodo. Inoltre, un’educazione e una formazione attiva del personale sulle regole su come proteggere le PHI quando si lavora da casa ti aiuterà a ridurre le possibilità di una violazione dei dati. Può essere una formazione aggiuntiva a quella annuale obbligatoria. Inoltre, puoi implementare l’Autenticazione a Due Fattori o la biometria nei dispositivi con le PHI.

HIPAA è una delle regolamentazioni più severe e complesse per la protezione dei dati sensibili. È stata creata appositamente per mantenere private le PHI dei pazienti, a qualsiasi costo. Per essere conformi a HIPAA, è necessario avere tutto scritto. Devi documentare tutte le violazioni, ogni organizzazione con cui le PHI sono condivise. Inoltre, è necessario avere piani di correzione e documentare ogni gap che è stato risolto e le date in cui è stato fatto. Il nostro DataSunrise Database Regulatory Compliance (DDRC) ti aiuterà a essere conforme alla maggior parte degli atti e delle leggi, compresa HIPAA. La nostra funzionalità di mascheramento nasconde i dati sensibili, in modo che i cybercriminali non abbiano le informazioni originali. Inoltre, abbiamo una valutazione delle vulnerabilità che ti consente di trovare e risolvere le vulnerabilità per evitare alcuni attacchi informatici. Con un audit del database, puoi monitorare l’attività del database e fornire diversi livelli di accesso. Inoltre, in DataSunrise possiamo trovare e nascondere i dati sensibili ovunque.