Daftar Periksa Kepatuhan HIPAA untuk Praktik Terapi Fisik Perorangan dan Skala Kecil

Intinya

• Sebuah praktik terapi fisik berskala kecil dapat memastikan kepatuhan terhadap HIPAA tanpa perlu memiliki staf khusus yang menangani kepatuhan atau anggaran yang besar. Lakukan pemeriksaan rutin terkait langkah-langkah pengamanan administratif, fisik, dan teknis.
• Tunjuk seorang petugas privasi dan keamanan. Pemilik dapat menjabat kedua peran tersebut dalam praktik yang dijalankan sendiri.
• Lakukan dan dokumentasikan penilaian risiko HIPAA. Tinjau penilaian tersebut secara berkala dan setiap kali terjadi perubahan pada teknologi atau operasi Anda.
• Latih staf mengenai prosedur privasi dan keamanan, serta simpan catatan mengenai pelatihan yang telah diselesaikan.
• Dapatkan Perjanjian Mitra Bisnis yang telah ditandatangani dari setiap penyedia jasa yang menangani data pasien.
• Enkripsi data pasien, batasi akses melalui akun unik, dan periksa riwayat akses.
• Siapkan rencana tanggap pelanggaran secara tertulis yang menetapkan tanggung jawab dan menjelaskan langkah-langkah pemberitahuan.

Mengapa praktik PT berskala kecil sering menjadi sasaran OCR

Praktik fisioterapi berskala kecil tidak mendapat pengecualian dari penegakan HIPAA. Kantor Hak Sipil (Office for Civil Rights, atau OCR) dapat menyelidiki suatu praktik setelah adanya pengaduan, laporan pelanggaran, atau tinjauan kepatuhan. Ukuran praktik dapat memengaruhi langkah-langkah pengamanan apa yang dianggap wajar, namun hal itu tidak menghapuskan kewajiban untuk melindungi informasi kesehatan elektronik yang dilindungi.

Pemeriksaan OCR sering kali mengungkap adanya kekurangan dokumentasi sebelum terjadi kegagalan teknis. Penyelidik mungkin meminta penilaian risiko keamanan terkini, kebijakan tertulis, catatan pelatihan staf, serta Perjanjian Mitra Bisnis (Business Associate Agreements) yang telah ditandatangani untuk vendor yang menangani data pasien. Sebuah praktik medis berskala kecil mungkin menerapkan langkah-langkah pengamanan yang sesuai setiap hari, namun akan kesulitan membuktikan kepatuhannya jika pemiliknya tidak pernah mendokumentasikannya.

Aturan Keamanan HIPAA mengelompokkan langkah-langkah pengamanan yang diwajibkan ke dalam tiga kategori. Langkah pengamanan administratif mencakup penugasan tanggung jawab, manajemen risiko, kebijakan, dan pelatihan. Langkah pengamanan fisik mencakup akses ke klinik, stasiun kerja, perangkat, dan pembuangan catatan. Langkah pengamanan teknis mencakup enkripsi, kontrol akses, log audit, dan komunikasi yang aman. Menyimpan bukti di ketiga kategori tersebut memberikan OCR catatan yang jelas mengenai bagaimana praktik Anda mengidentifikasi dan mengelola risiko privasi dan keamanan.

Tindakan pengamanan administratif: kebijakan, peran, dan pelatihan

Tentukan tanggung jawab sebelum menyusun kebijakan. HIPAA mewajibkan adanya petugas privasi dan petugas keamanan, namun satu orang dapat menjabat kedua peran tersebut. Dalam praktik mandiri, pemilik dapat menjalankan kedua peran tersebut. Petugas yang ditunjuk adalah orang yang ditugaskan untuk mengelola kebijakan, mengoordinasikan pelatihan, mengevaluasi risiko, menangani keluhan, dan mendokumentasikan upaya kepatuhan. Catat penunjukan tersebut secara tertulis, bahkan jika Anda menunjuk diri sendiri.

Penilaian risiko HIPAA mengidentifikasi di mana informasi kesehatan elektronik yang dilindungi berada, siapa yang dapat mengaksesnya, apa saja yang dapat membahayakan kerahasiaannya, dan langkah-langkah pengamanan apa saja yang dapat mengurangi risiko tersebut. HIPAA umumnya menyebut tinjauan ini sebagai analisis risiko. Penilaian Anda harus mencakup komputer, perangkat seluler, email, perangkat lunak berbasis cloud, portal pasien, cadangan data, dan kerja jarak jauh. Untuk setiap risiko, catatlah tingkat kemungkinannya, dampak potensialnya, pengendalian yang ada saat ini, tindakan korektif yang direncanakan, pihak yang bertanggung jawab, dan tanggal target.

Anggaplah penilaian risiko sebagai dokumen yang dinamis. Tinjau kembali dokumen tersebut setidaknya sekali setahun sebagai acuan praktis, dan perbarui jika Anda menambahkan perangkat lunak, mengganti perangkat, pindah lokasi, atau mengubah cara tenaga medis berkomunikasi dengan pasien. Simpanlah hasil penilaian yang telah diselesaikan serta catatan tindakan perbaikan, karena peninjauan yang tidak didokumentasikan akan membuat penyelidik sulit menemukan bukti bahwa praktik tersebut telah menangani risiko-risiko yang diketahui.

Latih setiap anggota tenaga kerja saat mereka bergabung dan setiap kali ada perubahan kebijakan atau tugas pekerjaan. Pelatihan penyegaran tahunan memberikan ritme yang terkelola bagi praktik kecil untuk membahas komunikasi yang aman, akses yang sesuai, pelaporan insiden, dan penanganan perangkat. Simpan catatan tanggal pelatihan, topik, materi, nama peserta, serta surat pernyataan yang telah ditandatangani. Kontraktor yang menangani informasi pasien mungkin memerlukan bimbingan khusus sesuai peran serta Perjanjian Mitra Bisnis.

Sebuah praktik yang terdiri dari satu hingga tiga orang dapat memiliki buku pedoman kebijakan yang ringkas, satu daftar risiko, daftar vendor, dan catatan pelatihan. Tinjau catatan-catatan tersebut selama rapat kepatuhan tahunan yang dijadwalkan dan setelah terjadi perubahan operasional yang signifikan. Sebuah praktik yang lebih besar sebaiknya menunjuk penanggung jawab kebijakan, menyesuaikan pelatihan sesuai dengan tingkat akses pekerjaan, melacak tindakan korektif secara terpusat, dan menjadwalkan tinjauan akses secara berkala. Kedua model tersebut harus menghasilkan bukti tertulis yang menunjukkan siapa yang mengambil keputusan, temuan apa yang diidentifikasi oleh praktik, dan bagaimana praktik tersebut menanggapinya.

Pengamanan fisik: ruang praktik dan peralatan Anda

Tindakan pengamanan fisik membatasi siapa saja yang dapat melihat, menangani, atau mengambil informasi pasien di klinik Anda. Telusuri seluruh area klinik selama hari kerja biasa dan periksa setiap tempat di mana pasien, pengunjung, dan tenaga medis dapat melihat atau mengakses rekam medis.

• Letakkan monitor di meja resepsionis jauh dari area tunggu dan gunakan filter privasi jika pemindahan posisi monitor tidak dapat mencegah pandangan yang tidak disengaja.
• Atur komputer dan layar di ruang perawatan agar terkunci secara otomatis setelah beberapa saat. Para tenaga medis juga harus mengunci layar sebelum meninggalkan ruangan.
• Buatlah daftar inventaris perangkat yang mencatat setiap komputer, ponsel, tablet, drive eksternal, dan perangkat lain yang mungkin menyimpan informasi pasien. Catat lokasi perangkat tersebut serta orang yang bertanggung jawab atasnya.
• Lakukan pengendalian terhadap tablet milik praktik yang digunakan untuk kunjungan rumah atau akses pasien ke program HEP. Gunakan catatan serah terima, hindari meninggalkan tablet di dalam kendaraan, dan simpanlah di tempat yang terkunci saat tidak ada yang menggunakannya.
• Simpan peta kertas, jadwal cetak, dan formulir pendaftaran di tempat yang tidak dapat dijangkau oleh pasien dan pengunjung. Hindari membiarkan nama atau rincian klinis terlihat di meja resepsionis atau di area perawatan bersama.
• Gunakan metode penghancuran silang atau layanan penghancuran yang bersertifikat untuk kertas yang berisi informasi kesehatan yang dilindungi.
• Hapus data pasien sebelum mendaur ulang, menyumbangkan, mengembalikan, atau menjual perangkat keras lama. Penghancuran fisik mungkin perlu dilakukan jika penghapusan data yang aman tidak dapat diverifikasi.
• Catat siapa saja yang boleh memasuki area yang berisi arsip atau perangkat, termasuk petugas kebersihan, kontraktor, dan staf gedung.

Pengendalian fisik ini mencakup aspek visibilitas, penguasaan, penyimpanan, dan pembuangan. Pengamanan teknis mencakup cara perangkat lunak melindungi data pasien melalui enkripsi, izin akun, dan catatan aktivitas.

Pengamanan teknis: enkripsi, akses, dan jejak audit

Pengamanan teknis mengatur siapa saja yang dapat mengakses informasi kesehatan elektronik yang dilindungi, bagaimana perangkat lunak melindunginya, serta bagaimana Anda dapat melacak aktivitas yang terjadi. Terapkan pengamanan ini pada setiap sistem yang menyimpan atau mentransmisikan data pasien, termasuk sistem dokumentasi, penjadwalan, penagihan, layanan kesehatan jarak jauh, keterlibatan pasien, dan alat bantu program latihan di rumah.

Enkripsi melindungi informasi pasien yang dapat dibaca dengan mengubahnya menjadi data terenkripsi. Perangkat lunak Anda harus mengenkripsi data saat disimpan di server, komputer, tablet, dan cadangan data. Perangkat lunak juga harus mengenkripsi data saat data tersebut dikirimkan antara perangkat pasien, peramban Anda, dan server penyedia layanan. Jika Anda memilih pengendalian alternatif, penilaian risiko HIPAA Anda harus mendokumentasikan alasan mengapa pengendalian alternatif tersebut memberikan perlindungan yang wajar.

Kontrol akses harus memberikan setiap orang akun yang unik dan hanya izin yang diperlukan untuk pekerjaan mereka. Penggunaan akun bersama membuat Anda tidak dapat mengetahui siapa yang telah melihat atau mengubah suatu catatan. Izin berbasis peran dapat memberikan akses kepada staf resepsionis untuk mengatur jadwal tanpa perlu memaparkan catatan klinis secara tidak perlu. Otentikasi multi-faktor, penguncian layar otomatis, dan penghapusan akun secara langsung setelah seorang karyawan mengundurkan diri memberikan perlindungan tambahan.

Catatan audit berfungsi sebagai catatan aktivitas akun. Platform yang tepat harus mencatat proses masuk, upaya akses yang gagal, serta aktivitas seperti melihat, mengedit, mengunduh, dan perubahan izin. Seseorang di tempat praktik Anda harus meninjau catatan tersebut setelah terjadi insiden yang dicurigai dan secara berkala memeriksa adanya aktivitas yang tidak biasa. Catatan audit tidak akan banyak berguna jika penyedia layanan mencatatnya tetapi tidak dapat menyediakannya saat Anda perlu melakukan penyelidikan.

Pesan teks dan email pasien yang tidak aman harus menjadi prioritas pertama Anda untuk ditinjau, karena akun pesan biasa dapat membocorkan detail pasien atau menyimpan data tersebut di luar perangkat lunak yang disetujui. Gunakan portal pasien yang aman atau fitur pesan terenkripsi untuk informasi klinis. Jika pasien meminta metode komunikasi lain, catat permintaan tersebut, jelaskan risiko privasi yang ada, dan ikuti kebijakan tertulis Anda. Batasi pengingat janji temu hanya pada informasi yang benar-benar diperlukan, dan jangan pernah mencantumkan diagnosis, detail pengobatan, atau petunjuk latihan dalam pesan yang tidak aman.

Perjanjian Mitra Bisnis dan evaluasi perangkat lunak yang sesuai dengan HIPAA

Setiap penyedia jasa yang membuat, menerima, menyimpan, atau mengirimkan informasi kesehatan yang dilindungi atas nama Anda dapat dikategorikan sebagai mitra bisnis. Periksa perangkat lunak yang digunakan untuk penjadwalan, dokumentasi, penagihan, keterlibatan pasien, layanan kesehatan jarak jauh, dan program latihan di rumah. Layanan penyimpanan awan, email, dukungan TI, dan pencadangan data mungkin juga perlu diperiksa jika layanan tersebut memiliki akses ke informasi pasien.

Perjanjian Mitra Bisnis (Business Associate Agreement, atau BAA) mengatur bagaimana penyedia jasa dapat menggunakan dan melindungi informasi pasien. Perjanjian tersebut harus mensyaratkan langkah-langkah pengamanan yang sesuai, membatasi penggunaan dan pengungkapan yang diizinkan, mewajibkan penyedia jasa untuk melaporkan insiden keamanan, serta mengatur hal-hal terkait subkontraktor yang menangani data yang sama. Perjanjian tersebut juga harus menjelaskan apa yang akan terjadi pada informasi pasien ketika kontrak berakhir. Praktik Anda harus menandatangani BAA sebelum membagikan informasi kesehatan yang dilindungi kepada penyedia jasa dan menyimpan salinannya bersama catatan kepatuhan Anda.

Klaim dari penyedia perangkat lunak bahwa perangkat lunaknya “sesuai dengan HIPAA” tidak dapat menggantikan perjanjian BAA atau penilaian Anda sendiri. Pemerintah federal tidak menerbitkan sertifikasi HIPAA umum untuk produk perangkat lunak. Kepatuhan terhadap HIPAA juga bergantung pada cara praktik Anda mengonfigurasi dan menggunakan perangkat lunak tersebut. Sebagai contoh, sistem pesan aman tidak dapat melindungi percakapan pasien jika seorang tenaga medis menyalin informasi yang sama ke dalam pesan teks biasa.

Gunakan daftar periksa berikut ini saat mengevaluasi perangkat lunak yang menangani data pasien.

• Tandatangani BAA. Pastikan bahwa penyedia layanan akan menandatangani BAA yang mencakup layanan spesifik yang akan Anda gunakan. Periksa ketentuan pengecualian yang tercantum dalam perjanjian tersebut.
• Enkripsi. Tanyakan apakah penyedia layanan mengenkripsi informasi pasien baik saat disimpan maupun saat dikirim. Pastikan bahwa salinan cadangan dan akses seluler juga mendapatkan perlindungan yang setara.
• Kontrol akses. Pastikan setiap pengguna memiliki akun yang unik, opsi otentikasi yang kuat, serta izin yang disesuaikan dengan tugas masing-masing. Hindari penggunaan akun login bersama di klinik.
• Pencatatan akses. Pastikan bahwa perangkat lunak tersebut mencatat siapa saja yang melihat, mengubah, mengunduh, atau membagikan informasi pasien. Tanyakan berapa lama penyedia layanan menyimpan catatan tersebut.
• Komunikasi yang aman. Pastikan apakah pasien dan tenaga medis dapat bertukar pesan melalui portal atau aplikasi yang aman, bukan melalui pesan teks biasa atau email yang tidak terenkripsi.
• Penanganan insiden. Tanyakan seberapa cepat penyedia layanan akan memberi tahu praktik Anda setelah terjadi dugaan pelanggaran, serta informasi apa saja yang akan tercantum dalam pemberitahuan tersebut.
• Penanganan data. Pastikan bagaimana cara mengekspor rekam medis pasien dan bagaimana penyedia layanan menghapus atau mengembalikan data setelah pembatalan.

Dokumentasikan setiap tinjauan, termasuk jawaban dari penyedia layanan dan BAA yang telah ditandatangani. Daftar penyedia layanan terkini akan memudahkan pengelolaan penilaian risiko dan perpanjangan kontrak di masa mendatang.

Pemberitahuan pelanggaran: apa yang memicunya dan apa yang harus dilakukan

HIPAA secara umum menganggap penggunaan atau pengungkapan informasi kesehatan yang dilindungi dan tidak aman sebagai pelanggaran. Sebuah insiden mungkin tidak perlu dilaporkan jika penilaian yang terdokumentasi menunjukkan bahwa kemungkinan informasi tersebut bocor sangat rendah. Penilaian tersebut harus mempertimbangkan informasi apa saja yang terlibat, siapa yang menerimanya, apakah ada pihak yang mengaksesnya, dan seberapa efektif Anda mengurangi potensi kerugian. Informasi yang dienkripsi dengan benar mungkin tidak termasuk dalam definisi pelanggaran jika kunci enkripsinya tetap aman.

Praktek Anda wajib memberi tahu pasien yang terdampak tanpa penundaan yang tidak wajar dan selambat-lambatnya 60 hari kalender setelah menemukan pelanggaran yang wajib dilaporkan. Pelanggaran yang berdampak pada 500 orang atau lebih juga wajib segera dilaporkan kepada Departemen Kesehatan dan Layanan Kemanusiaan (HHS). Pelanggaran yang lebih kecil dimasukkan ke dalam laporan tahunan kepada HHS. Pelanggaran yang berdampak pada lebih dari 500 penduduk suatu negara bagian atau yurisdiksi mungkin memerlukan pemberitahuan kepada media lokal terkemuka. Undang-undang negara bagian mungkin menetapkan batas waktu tambahan atau yang lebih singkat.

Rencana tanggapan tertulis harus menjelaskan siapa yang menyelidiki suatu insiden dan siapa yang menangani pemberitahuan. Rencana tersebut juga harus menyediakan templat untuk mencatat apa yang terjadi, informasi apa saja yang terlibat, dan bagaimana praktik Anda menanggapi insiden tersebut. Apabila penyedia layanan menemukan adanya pelanggaran, Perjanjian Mitra Bisnisnya harus mewajibkan pemberitahuan tepat waktu kepada praktik Anda.

Kontrol akses mengurangi risiko akses yang tidak sah, sementara perjanjian kerja sama bisnis (BAA) yang telah ditandatangani memperjelas kewajiban tanggapan masing-masing vendor. Jika terjadi insiden, simpan catatan yang relevan, batasi risiko paparan lebih lanjut, dokumentasikan penilaian Anda, dan mintalah panduan hukum atau kepatuhan jika keputusan pelaporan masih belum jelas. Sebagian besar insiden dapat ditangani melalui tanggapan yang tenang dan terdokumentasi dengan baik.

Di mana praktik PT skala kecil paling sering mengalami kekurangan

Klinik fisioterapi berskala kecil sering kali kurang memadai dalam tiga aspek yang mengakibatkan tingkat kepatuhan yang rendah. Gunakan pertanyaan-pertanyaan berikut untuk memeriksa apakah langkah-langkah pencegahan yang telah Anda terapkan sebelumnya berjalan dengan baik dalam operasional sehari-hari.

• Apakah para tenaga medis berkomunikasi melalui pesan teks pribadi atau email biasa? Kembalilah ke langkah-langkah pengamanan teknis dan wajibkan komunikasi dengan pasien dilakukan secara aman melalui akun atau perangkat lunak yang telah disetujui. Dokumentasikan aturan tersebut dan berikan pelatihan kepada semua pihak yang menangani informasi pasien.

• Apakah Anda dapat menyediakan Perjanjian Mitra Bisnis yang telah ditandatangani untuk setiap penyedia layanan yang menerima atau menyimpan data pasien? Periksa perangkat lunak yang berkaitan dengan penjadwalan, dokumentasi, penagihan, penyimpanan awan, keterlibatan pasien, layanan kesehatan jarak jauh, dan program latihan di rumah. Pernyataan dari penyedia layanan bahwa mereka mematuhi HIPAA tidak dapat menggantikan perjanjian yang telah ditandatangani.

• Bisakah Anda menunjukkan penilaian risiko terbaru yang telah didokumentasikan? Pemahaman yang bersifat informal mengenai risiko-risiko Anda tidak memberikan bukti yang cukup bagi penilai OCR bahwa Anda telah mengidentifikasi titik-titik kerentanan dan menanganinya. Kembalilah ke langkah-langkah pengamanan administratif dan catat setiap risiko, tindakan korektif, pihak yang bertanggung jawab, serta tanggal penyelesaiannya.

Pemeriksaan mandiri Anda juga harus memastikan bahwa catatan pelatihan, daftar akses, inventaris perangkat, dan prosedur penanganan pelanggaran tetap mutakhir. Tinjau penilaian risiko setidaknya sekali setahun dan setiap kali Anda menambahkan perangkat lunak, pindah lokasi, atau mengubah cara staf mengakses informasi pasien. Perbarui pelatihan jika ada perubahan pada kebijakan atau alat, dan simpan bukti bahwa setiap orang telah menyelesaikannya.

Kepatuhan terhadap HIPAA akan berjalan paling efektif jika dijalankan sebagai tugas operasional rutin. Pengingat kalender untuk penilaian ulang, pelatihan, peninjauan vendor, dan peninjauan akses membantu praktik medis berskala kecil dalam menjaga dokumentasi yang akan diminta dalam suatu penyelidikan.

Memulai minggu ini

Mulailah dengan menunjuk seorang petugas privasi dan keamanan secara tertulis. Pemilik tunggal dapat menjalankan kedua peran tersebut. Catat siapa yang bertanggung jawab atas kebijakan, pelatihan, peninjauan akses, pengaduan pasien, dan penanganan insiden.

Selanjutnya, mulailah melakukan penilaian risiko yang terdokumentasi. Buatlah daftar di mana informasi pasien masuk, mengalir, dan keluar dari praktik Anda. Catat langkah-langkah pengamanan yang sudah diterapkan, identifikasi celah yang ada, tetapkan tanggung jawab perbaikan kepada masing-masing orang, dan tentukan batas waktu penyelesaiannya.

Sebelum minggu ini berakhir, lakukan inventarisasi terhadap semua penyedia layanan yang menangani informasi pasien. Sertakan layanan penjadwalan, dokumentasi, penagihan, pesan, penyimpanan awan, telemedisin, serta alat bantu program latihan di rumah. Pastikan setiap penyedia layanan telah menandatangani Perjanjian Mitra Bisnis, dan segera minta perjanjian tersebut jika catatan Anda belum memilikinya.

Jadwalkan tinjauan akses triwulanan dan penilaian ulang risiko tahunan sebelum menutup daftar periksa. Tinjauan rutin akan menjadikan kepatuhan terhadap HIPAA sebagai kebiasaan operasional yang dapat dikelola, yang melindungi informasi pasien dan memberikan catatan yang jelas mengenai langkah-langkah pengamanan yang diterapkan oleh praktik Anda.

Pertanyaan Umum

Seberapa sering sebuah praktik medis berskala kecil sebaiknya melakukan penilaian risiko HIPAA?

Penilaian risiko HIPAA mendokumentasikan ancaman terhadap informasi pasien elektronik serta langkah-langkah pengamanan yang diambil untuk mengatasinya. Praktik Anda sebaiknya meninjau dokumen ini setidaknya sekali setahun dan setelah terjadi perubahan besar, seperti penerapan perangkat lunak baru atau pemindahan lokasi. Peninjauan rutin memastikan dokumen tersebut tetap mutakhir untuk keperluan audit dan menjadi panduan bagi langkah-langkah peningkatan keamanan selanjutnya.

Apakah seorang terapis fisik yang bekerja sendiri memerlukan petugas perlindungan privasi?

Seorang petugas privasi bertugas mengawasi kebijakan HIPAA, pengaduan, pelatihan, dan dokumentasi yang diwajibkan. Seorang fisioterapis yang bekerja sendiri dapat menunjuk dirinya sendiri sebagai petugas privasi dan harus mencatat penunjukan tersebut secara tertulis. Penetapan peran ini menciptakan tanggung jawab yang jelas tanpa perlu melibatkan karyawan lain atau konsultan eksternal.

Apa sebenarnya yang dijamin oleh “perangkat lunak yang sesuai dengan HIPAA”?

“Perangkat lunak yang sesuai dengan HIPAA” mengacu pada langkah-langkah pengamanan yang diterapkan oleh penyedia layanan, namun tidak ada sertifikasi pemerintah yang menjamin bahwa perangkat lunak tersebut akan membuat praktik Anda sesuai dengan ketentuan HIPAA. Anda tetap memerlukan Perjanjian Mitra Bisnis (Business Associate Agreement) yang telah ditandatangani dan harus memastikan adanya enkripsi, kontrol akses, catatan aktivitas, serta komunikasi yang aman. Memeriksa hal-hal tersebut sebelum pembelian dapat mengurangi risiko privasi yang terkait dengan penyedia layanan.

Apa saja sanksi yang dikenakan jika menggunakan penyedia jasa tanpa BAA?

Tidak adanya Perjanjian Mitra Bisnis (Business Associate Agreement) yang diwajibkan dapat dianggap sebagai pelanggaran HIPAA apabila suatu vendor membuat, menerima, menyimpan, atau mengirimkan informasi kesehatan yang dilindungi. OCR dapat meminta tindakan perbaikan dan menjatuhkan sanksi denda perdata berdasarkan faktor-faktor seperti tingkat kesalahan, lamanya pelanggaran, dan upaya yang dilakukan untuk memperbaiki masalah tersebut. Segera lakukan inventarisasi vendor Anda, mintalah perjanjian yang belum ada, dan hentikan pembagian informasi pasien kepada vendor mana pun yang tidak bersedia menandatangani perjanjian tersebut.