Всё, что стоит знать, и ничего лишнего.
Когда обмен сообщениями приводит к нарушению HIPAA
Три варианта. Напоминание о записи на прием с указанием специализированной клиники («ваш прием у кардиолога») — конфиденциальная медицинская информация. Уведомление о результатах анализов («ваши результаты анализов готовы») — конфиденциальная медицинская информация. Получение рецепта («ваш рецепт на Липитор в аптеке X») — конфиденциальная медицинская информация. Общее напоминание о записи на прием («прием завтра в 15:00») без указания специализации может считаться неконфиденциальной медицинской информацией, но большинство групп по соблюдению нормативных требований рассматривают его как конфиденциальную медицинскую информацию для большей безопасности.
Соглашение о деловом партнерстве (BAA)
Любой поставщик, обрабатывающий PHI от имени подотчетного лица, является Business Associate. Соглашение Business Associate Agreement (BAA) является обязательным — без него подотчетное лицо нарушает правила в тот момент, когда отправляет через поставщика хотя бы одно сообщение, содержащее PHI. Если вы планируете отправлять PHI, сначала уточните у нас ваши требования к HIPAA; возможность предоставления BAA подтверждается на этапе заключения договора.
Требования к шифрованию
Правила безопасности требуют шифрования данных, передаваемых и хранящихся в защищенной медицинской информации (PHI). Сообщения SMS между SMS-сервером и мобильным телефоном не шифруются сквозным шифрованием (передача данных по беспроводной сети контролируется оператором и является конфиденциальной, но не шифруется в соответствии с GDPR/HIPAA). Рекомендации Министерства здравоохранения и социальных служб США: SMS-сообщения допустимы для передачи PHI в соответствии с HIPAA при условии, что пациент был проинформирован о незашифрованном характере сообщения и дал согласие. Для большей конфиденциальности используйте WhatsApp (сквозное шифрование) или push-уведомления на портал пациента, соответствующий требованиям HIPAA.
Уведомление о нарушении
В случае утечки конфиденциальной медицинской информации необходимо уведомить пациента в течение 60 дней, Министерство здравоохранения и социальных служб США (HHS) в течение 60 дней (или немедленно при утечках, затрагивающих более 500 пациентов), а также, возможно, местные СМИ. CPaaS должен уведомить организацию, подпадающую под действие закона, достаточно быстро, чтобы она успела уложиться в 60-дневный срок. Наше соглашение об уровне обслуживания (SLA) для реагирования на инциденты в рамках HIPAA предусматривает 4 часа для первоначального уведомления и установление первопричины в течение 14 дней.