Todo lo que vale la pena saber, nada que no lo sea.
Cuando la mensajería activa la HIPAA
Tres patrones. Un recordatorio de cita que menciona la clínica especializada ("su cita de cardiología"): información de salud protegida (PHI). Una notificación de resultados de pruebas ("sus resultados de laboratorio están listos"): información de salud protegida (PHI). Recogida de recetas ("su resurtido de Lipitor está en la farmacia X"): información de salud protegida (PHI). Un recordatorio de cita genérico ("cita mañana a las 3 p. m.") sin mención de la especialidad podría considerarse información no protegida (no PHI), pero la mayoría de los equipos de cumplimiento lo tratan como tal por precaución.
Acuerdo de Asociado Comercial (BAA)
Cualquier proveedor que gestione PHI en nombre de una entidad cubierta es un Business Associate. El Business Associate Agreement (BAA) es obligatorio; sin él, la entidad cubierta incurre en una infracción en el momento en que envía un solo mensaje que contenga PHI a través del proveedor. Si planea enviar PHI, consúltenos primero sobre sus requisitos de HIPAA; la disponibilidad del BAA se confirma durante la fase de contratación.
Requisitos de cifrado
La Regla de Seguridad exige el cifrado en tránsito y en reposo para la información de salud protegida (PHI). Los mensajes SMS entre un centro de mensajes de texto (SMSC) y el teléfono no están cifrados de extremo a extremo (la ruta OTA está controlada por el operador y es confidencial, pero no está cifrada según el RGPD/HIPAA). Según las directrices del HHS: los SMS son aceptables para la PHI de HIPAA siempre que el paciente haya sido informado de que no está cifrada y haya dado su consentimiento. Para mayor confidencialidad, utilice WhatsApp (cifrado de extremo a extremo) o notificaciones push a un portal de pacientes compatible con HIPAA.
Notificación de violación de seguridad
Si se produce una violación de la información de salud protegida (PHI), debe notificar al paciente en un plazo de 60 días, al HHS en un plazo de 60 días (o de inmediato en caso de violaciones que afecten a más de 500 pacientes) y, posiblemente, a los medios de comunicación locales. El CPaaS debe notificar a la entidad cubierta con la suficiente rapidez para que esta pueda cumplir con el plazo de 60 días. Nuestro acuerdo de nivel de servicio (SLA) de respuesta a incidentes para cuentas HIPAA establece un plazo de 4 horas para la notificación inicial y un análisis completo de la causa raíz en un plazo de 14 días.