Tutto ciò che vale la pena sapere, niente di superfluo.
Quando la messaggistica attiva l'HIPAA
Tre modelli. Un promemoria di appuntamento che indica la clinica specialistica ("il tuo appuntamento di cardiologia") — PHI. Una notifica dei risultati di un esame ("i risultati del tuo laboratorio sono pronti") — PHI. Un ritiro di una ricetta ("la tua ricarica di Lipitor è presso la farmacia X") — PHI. Un promemoria generico di appuntamento ("appuntamento domani alle 15:00") senza indicazione della specializzazione potrebbe essere considerato non PHI, ma la maggior parte dei team di conformità lo tratta come PHI per sicurezza.
Accordo di affiliazione commerciale (BAA)
Qualsiasi fornitore che gestisce PHI per conto di un'entità coperta è considerato un Business Associate. Il Business Associate Agreement è obbligatorio: senza di esso, l'entità coperta risulta in violazione nel momento stesso in cui invia un singolo messaggio contenente PHI tramite il fornitore. Se si prevede di inviare PHI, consultateci preventivamente per i vostri requisiti HIPAA; la disponibilità del BAA viene confermata durante la fase di contrattualizzazione.
Requisiti di crittografia
La norma sulla sicurezza impone la crittografia sia in transito che a riposo per le informazioni sanitarie protette (PHI). Il corpo degli SMS tra un SMSC e il dispositivo mobile non è crittografato end-to-end (il percorso OTA è controllato dall'operatore ed è riservato, ma non crittografato secondo i requisiti del GDPR/HIPAA). Linee guida HHS: gli SMS sono accettabili per le PHI conformi a HIPAA a condizione che il paziente sia stato informato della natura non crittografata e abbia dato il suo consenso. Per una maggiore sensibilità, utilizzare WhatsApp (crittografia end-to-end) o notifiche push a un portale pazienti conforme a HIPAA.
Notifica di violazione
In caso di violazione dei dati sanitari protetti (PHI), è necessario notificare il paziente entro 60 giorni, l'HHS entro 60 giorni (o immediatamente in caso di violazioni che coinvolgono più di 500 pazienti) ed eventualmente i media locali. Il fornitore di servizi CPaaS deve notificare l'entità soggetta alla normativa HIPAA con sufficiente rapidità da consentirle di rispettare il termine di 60 giorni. Il nostro SLA per la risposta agli incidenti per gli account HIPAA prevede 4 ore per la notifica iniziale e l'individuazione completa della causa principale entro 14 giorni.