Lista di controllo per la conformità all'HIPAA per studi di fisioterapia individuali e di piccole dimensioni

In breve

• Uno studio di fisioterapia di piccole dimensioni può garantire la conformità alle norme HIPAA senza bisogno di personale dedicato alla conformità né di un budget elevato. È sufficiente predisporre controlli periodici incentrati sulle misure di sicurezza amministrative, fisiche e tecniche.
• Nominare un responsabile della privacy e della sicurezza. Nel caso di uno studio individuale, il titolare può ricoprire entrambi i ruoli.
• Effettuare e documentare una valutazione dei rischi ai sensi dell'HIPAA. Rivedere tale valutazione regolarmente e ogni volta che si verificano cambiamenti a livello tecnologico o operativo.
• Formare il personale sulle procedure relative alla privacy e alla sicurezza e conservare la documentazione relativa alla formazione completata.
• Richiedere a ogni fornitore che gestisce i dati dei pazienti di firmare un accordo di collaborazione commerciale.
• Crittografare i dati dei pazienti, limitare l'accesso tramite account univoci e controllare i registri di accesso.
• Predisporre un piano scritto di risposta alle violazioni che assegni le responsabilità e illustri le procedure di notifica.

Perché i piccoli studi di fisioterapia sono spesso nel mirino dell’OCR

Gli studi di fisioterapia di piccole dimensioni non godono di alcuna esenzione dall’applicazione della normativa HIPAA. L’Ufficio per i diritti civili (OCR) può avviare un’indagine su uno studio a seguito di un reclamo, di una segnalazione di violazione o di una verifica di conformità. Le dimensioni dello studio possono influire sulla determinazione delle misure di sicurezza ragionevoli, ma non esonerano dall’obbligo di proteggere le informazioni sanitarie protette in formato elettronico.

Le ispezioni dell’OCR spesso mettono in luce lacune nella documentazione prima ancora che si verifichino guasti tecnici. Gli ispettori possono richiedere una valutazione aggiornata dei rischi per la sicurezza, politiche scritte, registri relativi alla formazione del personale e accordi di collaborazione firmati con i fornitori che trattano i dati dei pazienti. Uno studio di piccole dimensioni può adottare quotidianamente misure di sicurezza adeguate, ma avere difficoltà a dimostrare la propria conformità se il titolare non le ha mai documentate.

La Norma sulla sicurezza HIPAA suddivide le misure di protezione obbligatorie in tre categorie. Le misure di protezione amministrative riguardano l’attribuzione delle responsabilità, la gestione dei rischi, le politiche e la formazione. Le misure di protezione fisiche riguardano l’accesso alla clinica, le postazioni di lavoro, i dispositivi e lo smaltimento dei documenti. Le misure di protezione tecniche riguardano la crittografia, i controlli di accesso, i registri di audit e le comunicazioni sicure. Mantenere la documentazione relativa a tutte e tre le categorie fornisce all’OCR una chiara traccia di come il vostro studio identifichi e gestisca i rischi relativi alla privacy e alla sicurezza.

Misure di tutela amministrativa: politiche, ruoli e formazione

Assegnare le responsabilità prima di redigere le politiche. L’HIPAA richiede la presenza di un responsabile della privacy e di un responsabile della sicurezza, ma una sola persona può ricoprire entrambi i ruoli. In uno studio individuale, il titolare può assumere tali ruoli. Il responsabile designato è la persona incaricata di gestire le politiche, coordinare la formazione, valutare i rischi, gestire i reclami e documentare le attività di conformità. È necessario registrare per iscritto la nomina, anche nel caso in cui si nomini se stessi.

Una valutazione dei rischi ai sensi dell’HIPAA identifica dove sono conservate le informazioni sanitarie protette in formato elettronico, chi può accedervi, quali fattori potrebbero comprometterne la sicurezza e quali misure di protezione riducono tale rischio. L’HIPAA definisce comunemente questa verifica come “analisi dei rischi”. La valutazione dovrebbe riguardare computer, dispositivi mobili, posta elettronica, software cloud, portali per i pazienti, backup e lavoro da remoto. Per ciascun rischio, occorre registrare la probabilità che si verifichi, il potenziale impatto, i controlli attualmente in atto, le azioni correttive previste, il responsabile e la data prevista per l’attuazione.

Considerate la valutazione dei rischi come un documento in continua evoluzione. Rivedetela almeno una volta all’anno come punto di riferimento pratico e aggiornatela ogni volta che aggiungete software, sostituite dispositivi, cambiate sede o modificate le modalità di comunicazione tra il personale sanitario e i pazienti. Conservate le valutazioni completate e la documentazione relativa alle misure correttive, poiché una revisione non documentata fornisce all’investigatore poche prove del fatto che la struttura abbia affrontato i rischi noti.

Formare ogni membro del personale al momento dell’assunzione e ogni volta che cambiano le politiche o le mansioni lavorative. La formazione annuale di aggiornamento offre a una piccola struttura una cadenza gestibile per trattare argomenti quali la comunicazione sicura, l’accesso appropriato, la segnalazione degli incidenti e la gestione dei dispositivi. Conservare la data della formazione, gli argomenti trattati, i materiali, i nomi dei partecipanti e le dichiarazioni di presa d’atto firmate. Gli appaltatori che trattano le informazioni dei pazienti potrebbero necessitare di istruzioni specifiche per il proprio ruolo, oltre che di un Accordo di collaborazione commerciale.

Uno studio composto da una a tre persone può limitarsi a tenere un breve manuale delle politiche, un registro dei rischi, un elenco dei fornitori e un registro delle attività di formazione. È opportuno esaminare tali documenti durante una riunione annuale programmata dedicata alla conformità e a seguito di cambiamenti operativi significativi. Uno studio di dimensioni maggiori dovrebbe designare i responsabili delle politiche, personalizzare la formazione in base ai livelli di accesso, monitorare centralmente le azioni correttive e programmare revisioni periodiche degli accessi. Entrambi i modelli dovrebbero produrre prove scritte che indichino chi ha preso le decisioni, quali risultati ha ottenuto lo studio e come ha reagito.

Misure di sicurezza fisiche: i locali della vostra clinica e le apparecchiature

Le misure di sicurezza fisiche limitano l'accesso alle informazioni sui pazienti all'interno della vostra clinica, impedendone la visualizzazione, la manipolazione o la rimozione. Percorrete gli ambienti durante una normale giornata lavorativa e controllate ogni punto in cui pazienti, visitatori e personale medico potrebbero visualizzare o accedere alle cartelle cliniche.

• Posizionare i monitor della reception lontano dalle aree di attesa e utilizzare filtri per la privacy nei casi in cui il riposizionamento non sia sufficiente a impedire la visione accidentale.
• Impostare i computer e gli schermi delle sale di trattamento in modo che si blocchino automaticamente dopo un breve periodo di tempo. Il personale medico dovrebbe inoltre bloccare gli schermi prima di lasciare la sala.
• Tenere un inventario dei dispositivi in cui siano registrati tutti i computer, i telefoni, i tablet, le unità esterne e qualsiasi altro dispositivo che possa contenere informazioni sui pazienti. Annotare la loro ubicazione e il nome della persona responsabile.
• Gestire i tablet di proprietà dello studio utilizzati per le visite a domicilio o per l'accesso dei pazienti al programma HEP. Utilizzare un registro delle consegne, evitare di lasciare i tablet nei veicoli e riporli in un luogo chiuso a chiave quando non vengono utilizzati.
• Conservare le cartelle cliniche cartacee, gli orari stampati e i moduli di registrazione in luoghi non accessibili ai pazienti e ai visitatori. Evitare di lasciare nomi o dettagli clinici in bella vista alla reception o nelle aree di trattamento comuni.
• Per i documenti cartacei contenenti informazioni sanitarie protette, ricorrere alla triturazione a taglio incrociato o a un servizio di distruzione qualificato.
• Eliminare i dati dei pazienti prima di riciclare, donare, restituire o vendere le vecchie apparecchiature. La distruzione fisica può essere opportuna qualora non sia possibile verificare che i dati siano stati eliminati in modo sicuro.
• Registrare chi è autorizzato ad accedere alle aree in cui sono conservati documenti o dispositivi, compresi addetti alle pulizie, appaltatori e personale dell’edificio.

Questi controlli fisici riguardano la visibilità, la custodia, la conservazione e lo smaltimento. Le misure di sicurezza tecniche riguardano le modalità con cui il software protegge i dati dei pazienti tramite crittografia, autorizzazioni degli account e registri delle attività.

Misure di sicurezza tecniche: crittografia, accesso e registri di controllo

Le misure di sicurezza tecniche regolano chi può visualizzare le informazioni sanitarie protette in formato elettronico, in che modo il software le protegge e come è possibile tracciare le attività. Applicate queste misure a ogni sistema che archivia o trasmette dati dei pazienti, compresi gli strumenti relativi alla documentazione, alla pianificazione degli appuntamenti, alla fatturazione, alla telemedicina, al coinvolgimento dei pazienti e ai programmi di esercizi a domicilio.

La crittografia protegge le informazioni leggibili relative ai pazienti convertendole in dati codificati. Il vostro software dovrebbe crittografare i dati mentre sono archiviati su server, computer, tablet e copie di backup. Il software dovrebbe inoltre crittografare i dati durante il trasferimento tra il dispositivo del paziente, il vostro browser e i server del fornitore. Se scegliete una misura di controllo alternativa, la vostra valutazione dei rischi HIPAA dovrebbe documentare il motivo per cui tale alternativa garantisce una protezione ragionevole.

I controlli di accesso dovrebbero assegnare a ciascuna persona un account univoco e solo le autorizzazioni necessarie per lo svolgimento del proprio lavoro. Gli accessi condivisi impediscono di sapere chi ha visualizzato o modificato un record. Le autorizzazioni basate sui ruoli possono consentire a un addetto alla reception di accedere alla pianificazione degli appuntamenti senza esporre inutilmente le note cliniche. L'autenticazione a più fattori, il blocco automatico dello schermo e la tempestiva rimozione dell'account dopo la cessazione del rapporto di lavoro di un dipendente aggiungono un ulteriore livello di protezione.

I registri di audit documentano l’attività degli account. Una piattaforma adeguata dovrebbe registrare gli accessi, i tentativi di accesso non riusciti, le visualizzazioni dei record, le modifiche, i download e le variazioni delle autorizzazioni. Un responsabile del vostro studio dovrebbe esaminare tali registri in seguito a un presunto incidente e verificare periodicamente la presenza di attività insolite. I registri hanno scarso valore se il fornitore li registra ma non è in grado di renderli disponibili quando è necessario svolgere un’indagine.

I messaggi di testo e le e-mail non protetti inviati ai pazienti devono essere oggetto di una prima verifica, poiché i normali account di messaggistica potrebbero esporre i dati dei pazienti o conservarli al di fuori dei software approvati. Utilizzate un portale pazienti sicuro o una funzione di messaggistica crittografata per le informazioni cliniche. Se i pazienti richiedono un altro metodo di comunicazione, documentate la richiesta, spiegate il rischio per la privacy e seguite la vostra politica scritta. Limitate i promemoria degli appuntamenti alle informazioni strettamente necessarie e non inserite mai diagnosi, dettagli sul trattamento o istruzioni per gli esercizi in un messaggio non protetto.

Accordi di collaborazione commerciale e valutazione dei software conformi alla normativa HIPAA

Qualsiasi fornitore che crei, riceva, conservi o trasmetta informazioni sanitarie protette per vostro conto può essere considerato un partner commerciale. Verificate i software relativi alla pianificazione degli appuntamenti, alla documentazione, alla fatturazione, al coinvolgimento dei pazienti, alla telemedicina e ai programmi di esercizi a domicilio. Anche i servizi di archiviazione su cloud, posta elettronica, assistenza IT e backup dei dati potrebbero richiedere una verifica qualora consentano l’accesso alle informazioni dei pazienti.

Un accordo di collaborazione commerciale (Business Associate Agreement, BAA) definisce le modalità con cui un fornitore può utilizzare e proteggere le informazioni relative ai pazienti. L’accordo dovrebbe prevedere misure di sicurezza adeguate, limitare gli usi e le divulgazioni consentiti, imporre al fornitore l’obbligo di segnalare eventuali incidenti di sicurezza e disciplinare la gestione dei subappaltatori che trattano gli stessi dati. Dovrebbe inoltre specificare cosa accade alle informazioni relative ai pazienti al termine del contratto. Il vostro studio dovrebbe firmare il BAA prima di condividere informazioni sanitarie protette con il fornitore e conservarne una copia tra i propri documenti di conformità.

L’affermazione di un fornitore secondo cui il proprio software è “conforme all’HIPAA” non sostituisce un accordo BAA né una vostra verifica. Il governo federale non rilascia una certificazione HIPAA generale per i prodotti software. La conformità all’HIPAA dipende anche dal modo in cui il vostro studio configura e utilizza il software. Ad esempio, la messaggistica sicura non può proteggere una conversazione con un paziente quando un medico copia le stesse informazioni in un normale messaggio di testo.

Utilizzate la seguente lista di controllo per valutare i software che trattano i dati dei pazienti.

• Accordo di riservatezza (BAA) firmato. Verificare che il fornitore firmi un BAA relativo al servizio specifico che si intende utilizzare. Esaminare eventuali esclusioni previste dal contratto.
• Crittografia. Verificate se il fornitore crittografa i dati dei pazienti sia durante l'archiviazione che durante la trasmissione. Assicuratevi che anche i backup e l'accesso da dispositivi mobili siano protetti in modo equivalente.
• Controlli di accesso. Richiedere account utente univoci, opzioni di autenticazione avanzate e autorizzazioni basate sulle mansioni lavorative di ciascun utente. Evitare l’uso di account condivisi all’interno della clinica.
• Registrazione degli accessi. Verificate che il software registri chi ha visualizzato, modificato, scaricato o condiviso le informazioni sui pazienti. Chiedete per quanto tempo il fornitore conserva tali registri.
• Comunicazione sicura. Verificare se pazienti e operatori sanitari possano scambiarsi messaggi tramite un portale o un’app protetti, anziché tramite SMS standard o e-mail non crittografate.
• Risposta agli incidenti. Chiedete con quale rapidità il fornitore informerà il vostro studio in caso di sospetta violazione e quali informazioni saranno incluse nella notifica.
• Gestione dei dati. Verificate in che modo è possibile esportare le cartelle cliniche dei pazienti e come il fornitore provvede alla cancellazione o alla restituzione dei dati in caso di disdetta del contratto.

Documentare ogni revisione, comprese le risposte del fornitore e il BAA firmato. Un elenco aggiornato dei fornitori semplifica la gestione delle future valutazioni dei rischi e dei rinnovi contrattuali.

Notifica di violazione: quali sono i fattori scatenanti e cosa fare

L'HIPAA considera generalmente come violazione qualsiasi uso o divulgazione non autorizzati di informazioni sanitarie protette non messe in sicurezza. La notifica di un incidente può essere evitata se una valutazione documentata rileva una bassa probabilità che le informazioni siano state compromesse. La valutazione dovrebbe prendere in considerazione quali informazioni sono state coinvolte, chi le ha ricevute, se qualcuno vi ha avuto accesso e con quale efficacia è stato ridotto il potenziale danno. Le informazioni correttamente crittografate possono non rientrare nella definizione di violazione quando la chiave di crittografia rimane al sicuro.

Il vostro studio deve informare i pazienti interessati senza ritardi ingiustificati e entro e non oltre 60 giorni di calendario dalla scoperta di una violazione soggetta a segnalazione. Le violazioni che interessano 500 o più persone richiedono inoltre una tempestiva segnalazione al Dipartimento della Salute e dei Servizi Umani (HHS). Le violazioni di minore entità vengono inserite in una relazione annuale presentata all’HHS. Una violazione che interessi più di 500 residenti di uno Stato o di una giurisdizione può richiedere la segnalazione ai principali media locali. La legislazione statale può imporre scadenze aggiuntive o più brevi.

Un piano di risposta scritto dovrebbe indicare chi si occupa delle indagini relative a un incidente e chi gestisce le notifiche. Il piano dovrebbe inoltre fornire modelli per documentare l’accaduto, quali informazioni sono state coinvolte e come ha reagito il vostro studio. Quando un fornitore rileva una violazione, il relativo Accordo di collaborazione commerciale dovrebbe prevedere la tempestiva notifica al vostro studio.

I controlli di accesso riducono il rischio di accessi non autorizzati, mentre gli accordi di responsabilità (BAA) firmati chiariscono gli obblighi di risposta di ciascun fornitore. Qualora si verifichi un incidente, conservate la documentazione pertinente, limitate l’ulteriore esposizione al rischio, documentate la vostra valutazione e richiedete consulenza legale o in materia di conformità qualora la decisione sulla segnalazione non sia chiara. La maggior parte degli incidenti può essere gestita attraverso una risposta calma e documentata.

I punti in cui gli studi di fisioterapia di piccole dimensioni spesso presentano delle carenze

I piccoli studi di fisioterapia spesso presentano delle carenze in tre ambiti, che si traducono in un basso livello di conformità. Utilizzate le seguenti domande per verificare se le misure di sicurezza adottate in precedenza funzionano nell’ambito delle attività quotidiane.

• I medici comunicano tramite messaggi di testo personali o e-mail ordinarie? Si raccomanda di ricorrere alle misure di sicurezza tecniche e di imporre che la comunicazione con i pazienti avvenga in modo sicuro tramite account o software approvati. È necessario documentare questa regola e formare tutto il personale che gestisce le informazioni dei pazienti.

• È possibile fornire un accordo di collaborazione (Business Associate Agreement) firmato per ogni fornitore che riceve o archivia dati dei pazienti? Verificate i software relativi alla pianificazione degli appuntamenti, alla documentazione, alla fatturazione, all’archiviazione su cloud, al coinvolgimento dei pazienti, alla telemedicina e ai programmi di esercizi a domicilio. La semplice dichiarazione di conformità all’HIPAA da parte di un fornitore non sostituisce un accordo firmato.

• Potete fornire la vostra più recente valutazione dei rischi documentata? Una comprensione informale dei vostri rischi offre al revisore dell’OCR poche prove del fatto che abbiate individuato le vulnerabilità e le abbiate risolte. Tornate alle misure di sicurezza amministrative e registrate ogni rischio, l’azione correttiva, la persona responsabile e la data di completamento.

La verifica interna dovrebbe inoltre confermare che i registri di formazione, gli elenchi di accesso, gli inventari dei dispositivi e le procedure in caso di violazioni siano sempre aggiornati. Rivedere la valutazione dei rischi almeno una volta all’anno e ogni volta che si aggiunge software, si cambia sede o si modificano le modalità di accesso del personale alle informazioni dei pazienti. Aggiornare la formazione quando cambiano le politiche o gli strumenti e conservare la documentazione che attesti che ogni persona l’abbia completata.

La conformità all’HIPAA funziona al meglio se gestita come attività operativa ricorrente. Un promemoria nel calendario relativo alla rivalutazione, alla formazione, alla verifica dei fornitori e alla revisione degli accessi aiuta uno studio di piccole dimensioni a mantenere la documentazione che verrebbe richiesta in caso di indagine.

Si comincia questa settimana

Inizia nominando per iscritto un responsabile della privacy e della sicurezza. Se l’azienda è a titolarità unica, lo stesso titolare può ricoprire entrambi i ruoli. Indica chi si occupa delle politiche, della formazione, delle verifiche degli accessi, dei reclami dei pazienti e della gestione degli incidenti.

Successivamente, avviate una valutazione dei rischi documentata. Elencate i punti in cui le informazioni sui pazienti entrano, transitano ed escono dal vostro studio. Registrate le misure di sicurezza già in atto, individuate le lacune, assegnate ogni intervento correttivo a una persona e fissate una data di scadenza.

Prima della fine della settimana, fate un inventario di tutti i fornitori che gestiscono le informazioni dei pazienti. Includete gli strumenti relativi alla pianificazione degli appuntamenti, alla documentazione, alla fatturazione, alla messaggistica, all’archiviazione su cloud, alla telemedicina e ai programmi di esercizi a domicilio. Verificate che ogni fornitore abbia firmato un Accordo di Collaborazione (Business Associate Agreement) e richiedetene uno immediatamente se nei vostri archivi non è presente.

Pianificate revisioni trimestrali degli accessi e una rivalutazione annuale dei rischi prima di chiudere la checklist. Le revisioni periodiche trasformano la conformità all’HIPAA in un’abitudine operativa gestibile che protegge le informazioni dei pazienti e fornisce al vostro studio una documentazione chiara delle misure di sicurezza adottate.

Domande frequenti

Con quale frequenza uno studio di piccole dimensioni dovrebbe effettuare una valutazione dei rischi ai sensi dell'HIPAA?

Una valutazione dei rischi ai sensi dell’HIPAA documenta le minacce alle informazioni elettroniche dei pazienti e le misure di protezione adottate per contrastarle. Il vostro studio dovrebbe rivederla almeno una volta all’anno e in seguito a cambiamenti significativi, come l’adozione di un nuovo software o il trasferimento in una nuova sede. Le revisioni periodiche mantengono il documento aggiornato in vista degli audit e fungono da guida per i vostri prossimi miglioramenti in materia di sicurezza.

Un fisioterapista che esercita in proprio ha bisogno di un responsabile della protezione dei dati?

Un responsabile della privacy supervisiona le politiche HIPAA, i reclami, la formazione e la documentazione richiesta. Un fisioterapista che esercita in proprio può assumere personalmente tale ruolo e deve registrarlo per iscritto. Definire chiaramente tale ruolo crea una chiara attribuzione di responsabilità senza richiedere l’intervento di un altro dipendente o di un consulente esterno.

Cosa garantisce effettivamente un “software conforme alla normativa HIPAA”?

L'espressione “software conforme all'HIPAA” descrive le misure di sicurezza adottate dal fornitore, ma nessuna certificazione governativa garantisce che il software assicuri la conformità del vostro studio. È comunque necessario stipulare un Accordo di collaborazione (Business Associate Agreement) e verificare che siano presenti crittografia, controlli di accesso, registri delle attività e comunicazioni sicure. Verificare questi aspetti prima dell'acquisto riduce i rischi relativi alla privacy legati al fornitore.

Quali sono le sanzioni previste per chi ricorre a un fornitore sprovvisto di BAA?

La mancanza di un Accordo di Collaborazione (Business Associate Agreement) obbligatorio può costituire una violazione della normativa HIPAA quando un fornitore crea, riceve, conserva o trasmette informazioni sanitarie protette. L’OCR può richiedere l’adozione di misure correttive e può imporre sanzioni pecuniarie civili in base a fattori quali la colpa, la durata della violazione e gli sforzi compiuti per risolvere il problema. Effettuate subito un inventario dei vostri fornitori, richiedete gli accordi mancanti e smettete di condividere le informazioni dei pazienti con qualsiasi fornitore che non intenda sottoscriverne uno.