HIPAA-nalevingschecklist voor zelfstandige en kleine fysiotherapiepraktijken praktijken

TL;DR

• Een kleine fysiotherapie praktijk praktijk kan aan de HIPAA-voorschriften voldoen zonder dat daarvoor speciaal voor compliance aangesteld personeel of een groot budget nodig is. Zorg voor routinecontroles op basis van administratieve, fysieke en technische beveiligingsmaatregelen.
• Stel een privacy- en beveiligingsfunctionaris aan. Bij een eenpersoons praktijk kan de eigenaar beide functies vervullen.
• Voer een HIPAA-risicobeoordeling uit en leg deze vast. Evalueer deze regelmatig en telkens wanneer er veranderingen optreden in uw technologie of bedrijfsvoering.
• Geef het treinpersoneel training over privacy- en beveiligingsprocedures en houd een register bij van de voltooide trainingen.
• Zorg ervoor dat u van elke leverancier die met patiëntgegevens werkt een ondertekende overeenkomst voor zakelijke partners ontvangt.
• Versleutel patiëntgegevens, beperk de toegang via unieke accounts en controleer de toegangslogboeken.
• Zorg voor een schriftelijk rampenplan waarin de verantwoordelijkheden worden vastgelegd en de stappen voor het melden van incidenten worden uitgelegd.

Waarom kleine PT- praktijken en vaak het doelwit zijn van OCR-aanvallen

Kleine fysiotherapie praktijken en zijn niet vrijgesteld van de naleving van de HIPAA-wetgeving. Het Office for Civil Rights (OCR) kan een praktijk onderzoeken naar aanleiding van een klacht, een gemelde inbreuk of een nalevingscontrole. praktijk De omvang van een praktijk kan van invloed zijn op de vraag welke beveiligingsmaatregelen redelijk zijn, maar dit neemt niet de verplichting weg om elektronische beschermde gezondheidsinformatie te beveiligen.

OCR-onderzoeken brengen vaak tekortkomingen in de documentatie aan het licht nog voordat er technische storingen optreden. Onderzoekers kunnen vragen om een actuele beoordeling van de veiligheidsrisico’s, schriftelijk vastgelegd beleid, documentatie over de opleiding van het personeel en ondertekende samenwerkingsovereenkomsten (Business Associate Agreements) voor leveranciers die met patiëntgegevens omgaan. Een kleine praktijk kan dagelijks passende veiligheidsmaatregelen toepassen, maar toch moeite hebben om aan te tonen dat aan de voorschriften wordt voldaan als de eigenaar deze maatregelen nooit heeft gedocumenteerd.

De HIPAA-beveiligingsregel deelt de vereiste beveiligingsmaatregelen in drie categorieën in. Administratieve beveiligingsmaatregelen hebben betrekking op toegewezen verantwoordelijkheden, risicobeheer, beleid en opleiding. Fysieke beveiligingsmaatregelen hebben betrekking op de toegang tot de kliniek, werkstations, apparaten en de vernietiging van dossiers. Technische beveiligingsmaatregelen hebben betrekking op versleuteling, toegangscontroles, auditlogboeken en beveiligde communicatie. Door in alle drie de categorieën bewijsmateriaal bij te houden, beschikt het OCR over een duidelijk overzicht van de manier waarop uw praktijk privacy- en beveiligingsrisico’s in kaart brengt en beheert.

Administratieve waarborgen: beleid, rollen en opleiding

Wijs verantwoordelijkheden toe voordat u beleidsregels opstelt. De HIPAA schrijft voor dat er een privacyfunctionaris en een beveiligingsfunctionaris moet zijn, maar één persoon mag beide functies vervullen. In een eenmans praktijk e kan de eigenaar deze functies op zich nemen. Een aangewezen functionaris is de persoon die is aangewezen om het beleid bij te houden, trainingen te coördineren, risico’s te beoordelen, klachten af te handelen en de nalevingswerkzaamheden te documenteren. Leg de benoeming schriftelijk vast, zelfs als u uzelf benoemt.

Een HIPAA-risicobeoordeling brengt in kaart waar elektronische beschermde gezondheidsinformatie zich bevindt, wie er toegang toe heeft, waardoor deze informatie kwetsbaar kan worden en welke beveiligingsmaatregelen die kwetsbaarheid verminderen. Binnen de HIPAA wordt deze beoordeling doorgaans een risicoanalyse genoemd. Uw beoordeling moet betrekking hebben op computers, mobiele apparaten, e-mail, cloudsoftware, patiëntenportalen, back-ups en werken op afstand. Leg voor elk risico de waarschijnlijkheid, de mogelijke gevolgen, de huidige beveiligingsmaatregelen, de geplande corrigerende maatregelen, de verantwoordelijke persoon en de streefdatum vast.

Beschouw de risicobeoordeling als een levend document. Evalueer deze minstens één keer per jaar als praktisch uitgangspunt en werk deze bij wanneer u software toevoegt, apparatuur vervangt, van locatie verandert of de manier waarop zorgverleners met patiënten communiceren aanpast. Bewaar voltooide beoordelingen en verslagen van corrigerende maatregelen, want een niet-gedocumenteerde evaluatie biedt een onderzoeker weinig bewijs dat de praktijk bekende risico’s heeft aangepakt.

Geef elk personeelslid een opleiding bij indiensttreding en telkens wanneer het beleid of de taken veranderen. Jaarlijkse opfriscursussen bieden een klein praktijk een overzichtelijk ritme om onderwerpen als veilige communicatie, gepaste toegang, het melden van incidenten en het omgaan met apparatuur te behandelen. Bewaar de opleidingsdatum, onderwerpen, lesmateriaal, namen van deelnemers en ondertekende verklaringen van kennisneming. Aannemers die met patiëntgegevens omgaan, hebben mogelijk rolspecifieke instructies nodig, evenals een overeenkomst voor zakelijke partners (Business Associate Agreement).

Een ‘ praktijk ’ met één tot drie personen kan een beknopte beleidsgids, één risicoregister, een leverancierslijst en een opleidingslogboek bijhouden. Deze documenten moeten worden doorgenomen tijdens een jaarlijks geplande compliancevergadering en na ingrijpende operationele veranderingen. Een grotere ‘ praktijk ’ moet beleidsverantwoordelijken aanwijzen, opleidingen afstemmen op de toegangsrechten per functie, corrigerende maatregelen centraal bijhouden en periodieke toegangsbeoordelingen inplannen. Beide modellen moeten schriftelijk bewijs opleveren waaruit blijkt wie beslissingen heeft genomen, wat de ‘ praktijk ’ heeft vastgesteld en hoe de ‘ praktijk ’ hierop heeft gereageerd.

Fysieke beveiligingsmaatregelen: uw praktijkruimte en apparatuur

Fysieke beveiligingsmaatregelen beperken wie patiëntgegevens in uw praktijk mag inzien, verwerken of meenemen. Loop tijdens een normale werkdag door de ruimte en controleer elke plek waar patiënten, bezoekers en zorgverleners dossiers zouden kunnen inzien of er toegang toe zouden kunnen krijgen.

• Plaats de beeldschermen van de receptie uit de buurt van wachtruimtes en gebruik privacyfilters wanneer het verplaatsen van de beeldschermen niet kan voorkomen dat anderen per ongeluk meekijken.
• Stel computers en beeldschermen in behandelkamers zo in dat ze na korte tijd automatisch worden vergrendeld. Behandelaars moeten bovendien de beeldschermen vergrendelen voordat ze de kamer verlaten.
• Houd een apparatenlijst bij waarin elke computer, telefoon, tablet, externe schijf en elk ander apparaat waarop patiëntgegevens kunnen worden opgeslagen, wordt geregistreerd. Noteer de locatie van het apparaat en de persoon die ervoor verantwoordelijk is.
• Houd toezicht op de tablets die eigendom zijn van praktijk en die worden gebruikt voor huisbezoeken of voor toegang tot het HEP-programma voor patiënten. Houd een uitleenregister bij, laat de tablets niet in voertuigen achter en berg ze op in een afgesloten ruimte wanneer ze niet in gebruik zijn.
• Bewaar papieren kaarten, afgedrukte roosters en intakeformulieren op een plek waar patiënten en bezoekers er geen toegang toe hebben. Zorg ervoor dat namen of medische gegevens niet zichtbaar achterblijven bij de receptie of in gemeenschappelijke behandelruimtes.
• Gebruik een papierversnipperaar met kruissnede of schakel een erkende vernietigingsdienst in voor papier dat beschermde gezondheidsgegevens bevat.
• Verwijder patiëntgegevens voordat u oude hardware recyclet, schenkt, teruggeeft of verkoopt. Fysieke vernietiging kan aangewezen zijn wanneer niet kan worden gecontroleerd of de gegevens op veilige wijze zijn verwijderd.
• Leg vast wie toegang heeft tot ruimtes waarin documenten of apparatuur zich bevinden, met inbegrip van schoonmaakpersoneel, aannemers en gebouwpersoneel.

Deze fysieke controlemaatregelen hebben betrekking op zichtbaarheid, bezit, opslag en vernietiging. Technische beveiligingsmaatregelen hebben betrekking op de manier waarop software patiëntgegevens beschermt door middel van versleuteling, accountrechten en activiteitslogboeken.

Technische beveiligingsmaatregelen: versleuteling, toegangsbeheer en audittrajecten

Technische beveiligingsmaatregelen bepalen wie toegang heeft tot elektronische beschermde gezondheidsgegevens, hoe software deze gegevens beveiligt en hoe u activiteiten kunt traceren. Pas deze maatregelen toe op elk systeem waarin patiëntgegevens worden opgeslagen of verzonden, met inbegrip van systemen voor documentatie, planning, facturering, telegezondheidszorg, patiëntenbetrokkenheid en hulpmiddelen voor thuisoefenprogramma’s.

Versleuteling beschermt leesbare patiëntgegevens door deze om te zetten in gecodeerde gegevens. Uw software moet gegevens versleutelen terwijl deze zijn opgeslagen op servers, computers, tablets en back-ups. De software moet gegevens ook versleutelen tijdens de overdracht tussen het apparaat van een patiënt, uw browser en de servers van de leverancier. Als u kiest voor een alternatieve beveiligingsmaatregel, moet in uw HIPAA-risicobeoordeling worden vastgelegd waarom het alternatief redelijke bescherming biedt.

Toegangscontroles moeten elke persoon een uniek account geven en alleen de rechten die nodig zijn voor zijn of haar werk. Bij gedeelde inloggegevens kun je niet nagaan wie een dossier heeft bekeken of gewijzigd. Op rollen gebaseerde rechten kunnen een medewerker van de receptie toegang geven tot de planning zonder dat klinische aantekeningen onnodig worden blootgesteld. Meervoudige authenticatie, automatische schermvergrendelingen en het onmiddellijk verwijderen van accounts wanneer een medewerker het bedrijf verlaat, bieden extra bescherming.

Auditlogboeken leggen de activiteiten op een account vast. Een geschikt platform moet inlogpogingen, mislukte toegangspogingen, het bekijken, bewerken en downloaden van documenten, en wijzigingen in toegangsrechten registreren. Iemand binnen uw praktijk moet deze logboeken na een vermoedelijk incident doornemen en regelmatig controleren op ongebruikelijke activiteiten. Logboeken hebben weinig waarde als de leverancier ze wel bijhoudt, maar ze niet ter beschikking kan stellen wanneer u een onderzoek moet uitvoeren.

Onbeveiligde sms-berichten en e-mails van patiënten verdienen uw eerste aandacht, omdat gewone berichtenaccounts patiëntgegevens kunnen blootstellen of deze buiten de goedgekeurde software kunnen bewaren. Gebruik een beveiligd patiëntenportaal of een versleutelde berichtenfunctie voor klinische informatie. Als patiënten om een andere communicatiemethode vragen, leg het verzoek dan vast, leg het privacyrisico uit en volg uw schriftelijk vastgelegde beleid. Beperk afspraakherinneringen tot de strikt noodzakelijke informatie en vermeld nooit diagnoses, behandelingsdetails of oefeninstructies in een onbeveiligd bericht.

Samenwerkingsovereenkomsten en het beoordelen van HIPAA-conforme software

Elke leverancier die namens u beschermde gezondheidsgegevens aanmaakt, ontvangt, bijhoudt of doorgeeft, kan worden aangemerkt als een zakelijke partner. Controleer de software voor afsprakenbeheer, documentatie, facturering, patiëntenbetrokkenheid, telezorg en thuisoefenprogramma’s. Ook cloudopslag, e-mail, IT-ondersteuning en diensten voor gegevensback-up moeten mogelijk worden gecontroleerd wanneer deze toegang hebben tot patiëntgegevens.

In een Business Associate Agreement (BAA) wordt vastgelegd hoe een leverancier patiëntgegevens mag gebruiken en beschermen. De overeenkomst moet passende beveiligingsmaatregelen voorschrijven, het toegestane gebruik en de openbaarmaking beperken, de leverancier verplichten beveiligingsincidenten te melden en bepalingen bevatten met betrekking tot onderaannemers die dezelfde gegevens verwerken. Ook moet hierin worden uitgelegd wat er met de patiëntgegevens gebeurt wanneer het contract afloopt. Uw praktijk moet de BAA ondertekenen voordat beschermde gezondheidsinformatie met de leverancier wordt gedeeld, en een kopie bewaren in uw nalevingsdossier.

De bewering van een leverancier dat zijn software „HIPAA-conform” is, vormt geen vervanging voor een BAA of uw eigen beoordeling. De federale overheid verstrekt geen algemene HIPAA-certificering voor softwareproducten. HIPAA-conformiteit hangt ook af van de manier waarop uw „ praktijk ” de software configureert en gebruikt. Zo kan beveiligde berichtgeving een gesprek met een patiënt niet beschermen wanneer een zorgverlener dezelfde informatie in een gewoon sms-bericht kopieert.

Gebruik de volgende checklist bij het beoordelen van software waarmee patiëntgegevens worden verwerkt.

• Ondertekende BAA. Controleer of de leverancier een BAA zal ondertekenen die betrekking heeft op de specifieke dienst waarvan u gebruik wilt maken. Bekijk eventuele uitsluitingen in de overeenkomst.
• Versleuteling. Vraag of de leverancier patiëntgegevens versleutelt, zowel tijdens opslag als tijdens verzending. Controleer of back-ups en mobiele toegang dezelfde mate van beveiliging genieten.
• Toegangscontroles. Zorg voor unieke gebruikersaccounts, sterke authenticatiemogelijkheden en toegangsrechten die zijn afgestemd op de taken van elke medewerker. Vermijd gedeelde inloggegevens voor de kliniek.
• Toegangslogboekregistratie. Controleer of de software bijhoudt wie patiëntgegevens heeft bekeken, gewijzigd, gedownload of gedeeld. Vraag hoe lang de leverancier deze logboeken bewaart.
• Beveiligde communicatie. Controleer of patiënten en zorgverleners berichten kunnen uitwisselen via een beveiligd portaal of een app, in plaats van via gewone sms-berichten of onversleutelde e-mail.
• Incidentafhandeling. Vraag hoe snel de leverancier uw praktijk op de hoogte zal stellen na een vermoedelijk beveiligingsincident en welke informatie in die melding zal worden opgenomen.
• Gegevensverwerking. Ga na hoe u patiëntendossiers kunt exporteren en hoe de leverancier de gegevens verwijdert of teruggeeft na opzegging.

Leg elke beoordeling vast, inclusief de antwoorden van de leverancier en de ondertekende BAA. Een actuele lijst van leveranciers maakt het eenvoudiger om toekomstige risicobeoordelingen en contractverlengingen te beheren.

Melding van een datalek: wanneer is dit verplicht en wat moet je doen?

De HIPAA beschouwt een ongeoorloofd gebruik of een ongeoorloofde openbaarmaking van onbeveiligde beschermde gezondheidsinformatie in het algemeen als een inbreuk. Een incident hoeft mogelijk niet te worden gemeld als uit een gedocumenteerde beoordeling blijkt dat de kans klein is dat de informatie is gecompromitteerd. Bij de beoordeling moet worden gekeken naar welke informatie ermee gemoeid was, wie deze heeft ontvangen, of iemand er toegang toe heeft gehad en hoe effectief u de mogelijke schade hebt beperkt. Goed versleutelde informatie valt mogelijk buiten de definitie van een inbreuk wanneer de versleutelingssleutel veilig blijft.

Uw zorginstelling ( praktijk ) moet de betrokken patiënten zonder onnodige vertraging en uiterlijk 60 kalenderdagen na de ontdekking van een meldingsplichtige inbreuk op de gegevensbescherming op de hoogte stellen. Bij inbreuken waarbij 500 of meer personen betrokken zijn, moet ook onmiddellijk melding worden gemaakt bij het Ministerie van Volksgezondheid en Human Services (HHS). Kleinere inbreuken worden opgenomen in een jaarlijkse rapportage aan het HHS. Bij een inbreuk waarbij meer dan 500 inwoners van een staat of rechtsgebied betrokken zijn, kan het nodig zijn om de toonaangevende lokale media op de hoogte te stellen. De wetgeving van de betreffende staat kan aanvullende of kortere termijnen opleggen.

In een schriftelijk reactieplan moet worden aangegeven wie een incident onderzoekt en wie de meldingen afhandelt. Het plan moet ook sjablonen bevatten voor het vastleggen van wat er is gebeurd, welke informatie erbij betrokken was en hoe uw praktijk heeft gereageerd. Wanneer een leverancier een inbreuk ontdekt, moet in de overeenkomst voor zakelijke partners (Business Associate Agreement) zijn vastgelegd dat uw praktijk tijdig op de hoogte moet worden gesteld.

Toegangscontroles verkleinen de kans op ongeoorloofde toegang, terwijl ondertekende BAA’s de reactieverplichtingen van elke leverancier verduidelijken. Als zich een incident voordoet, bewaar dan relevante documenten, beperk verdere blootstelling, leg uw beoordeling vast en vraag juridisch of compliance-advies wanneer onduidelijk is of het incident moet worden gemeld. De meeste incidenten kunnen worden aangepakt door middel van een rustige, gedocumenteerde reactie.

Waar kleine PT- praktijken en meestal tekortschieten

Kleine fysiotherapie praktijken en schieten vaak tekort op drie gebieden, wat leidt tot een lage therapietrouw. Gebruik de volgende vragen om na te gaan of uw bestaande voorzorgsmaatregelen in de dagelijkse praktijk effectief zijn.

• Communiceren zorgverleners via persoonlijke sms-berichten of gewone e-mail? Keer terug naar de technische beveiligingsmaatregelen en eis dat de communicatie met patiënten veilig verloopt via goedgekeurde accounts of software. Leg de regel vast en geef iedereen die met patiëntgegevens werkt een opleiding.

• Kunt u voor elke leverancier die patiëntgegevens ontvangt of opslaat een ondertekende Business Associate Agreement overleggen? Controleer de software voor afsprakenplanning, documentatie, facturering, cloudopslag, patiëntenbetrokkenheid, telezorg en thuisoefenprogramma’s. De bewering van een leverancier dat hij aan de HIPAA-voorschriften voldoet, is geen vervanging voor een ondertekende overeenkomst.

• Kunt u uw meest recente, gedocumenteerde risicobeoordeling overleggen? Een informele beschrijving van uw risico’s biedt een OCR-beoordelaar weinig bewijs dat u kwetsbaarheden hebt geïdentificeerd en aangepakt. Ga terug naar de administratieve veiligheidsmaatregelen en leg elk risico vast, samen met de corrigerende maatregel, de verantwoordelijke persoon en de voltooiingsdatum.

Uw zelfcontrole moet ook bevestigen dat opleidingsgegevens, toegangslijsten, apparatuurinventarissen en procedures bij inbreuken up-to-date blijven. Evalueer de risicobeoordeling minstens één keer per jaar en telkens wanneer u software toevoegt, van locatie verandert of de manier wijzigt waarop medewerkers toegang krijgen tot patiëntgegevens. Werk de opleidingen bij wanneer het beleid of de hulpmiddelen veranderen, en bewaar bewijs dat iedereen de opleiding heeft voltooid.

Naleving van de HIPAA-wetgeving werkt het beste als een terugkerende operationele taak. Een agenda-herinnering voor herbeoordeling, training, evaluatie van leveranciers en toegangscontrole helpt een klein praktijk om de documentatie bij te houden die bij een onderzoek zou worden opgevraagd.

Deze week aan de slag

Begin met het schriftelijk aanstellen van een privacy- en beveiligingsfunctionaris. Een eenmanszaak kan beide functies vervullen. Leg vast wie verantwoordelijk is voor het beleid, opleidingen, toegangsbeoordelingen, klachten van patiënten en de afhandeling van incidenten.

Voer vervolgens een gedocumenteerde risicobeoordeling uit. Breng in kaart waar patiëntgegevens uw praktijk binnenkomen, door de organisatie stromen en weer verlaten. Leg vast welke beveiligingsmaatregelen er al zijn getroffen, breng tekortkomingen in kaart, wijs elke oplossing toe aan een verantwoordelijke en stel een deadline vast.

Controleer nog voor het einde van de week welke leveranciers er allemaal met patiëntgegevens werken. Denk daarbij aan systemen voor afsprakenplanning, documentatie, facturering, berichtverkeer, cloudopslag, telezorg en hulpmiddelen voor thuisoefenprogramma’s. Controleer of elke leverancier een Business Associate Agreement heeft ondertekend en vraag er onmiddellijk een aan als deze in uw administratie ontbreekt.

Plan elk kwartaal een toegangscontrole en een jaarlijkse herbeoordeling van de risico’s voordat u de checklist afsluit. Door regelmatige controles wordt naleving van de HIPAA-voorschriften een beheersbare werkwijze die patiëntgegevens beschermt en uw praktijk een duidelijk overzicht biedt van de getroffen beveiligingsmaatregelen.

FAQs

Hoe vaak moet een kleine praktijk een HIPAA-risicobeoordeling uitvoeren?

Een HIPAA-risicobeoordeling brengt bedreigingen voor elektronische patiëntgegevens in kaart, evenals de beveiligingsmaatregelen die hiertegen zijn getroffen. Uw praktijk dient dit document ten minste eenmaal per jaar te beoordelen, en na ingrijpende veranderingen, zoals de invoering van nieuwe software of een verhuizing. Door regelmatige beoordelingen blijft het document actueel voor audits en biedt het houvast voor uw volgende beveiligingsverbeteringen.

Heeft een zelfstandige fysiotherapeut een functionaris voor gegevensbescherming nodig?

Een privacyfunctionaris houdt toezicht op het HIPAA-beleid, klachten, opleidingen en de vereiste documentatie. Een zelfstandig werkende fysiotherapeut kan zichzelf in deze functie aanstellen en dient deze aanstelling schriftelijk vast te leggen. Door deze functie te benoemen, wordt er een duidelijke verantwoordelijkheid gecreëerd zonder dat er een extra medewerker of externe adviseur nodig is.

Wat garandeert „HIPAA-conforme software“ eigenlijk?

“HIPAA-conforme software” verwijst naar de beveiligingsmaatregelen van de leverancier, maar geen enkele overheidscertificering garandeert dat de software ervoor zorgt dat uw praktijk aan de HIPAA-voorschriften voldoet. U hebt nog steeds een ondertekende Business Associate Agreement nodig en moet controleren of er sprake is van versleuteling, toegangscontroles, activiteitenlogboeken en beveiligde communicatie. Door deze punten vóór de aankoop te controleren, vermindert u de privacyrisico’s die verband houden met de leverancier.

Welke sancties gelden er voor het inschakelen van een leverancier zonder BAA?

Het ontbreken van een vereiste Business Associate Agreement kan een schending van de HIPAA inhouden wanneer een leverancier beschermde gezondheidsinformatie aanmaakt, ontvangt, bewaart of doorgeeft. Het OCR kan corrigerende maatregelen eisen en civielrechtelijke boetes opleggen op basis van factoren zoals schuld, duur en inspanningen om het probleem te verhelpen. Breng nu uw leveranciers in kaart, vraag ontbrekende overeenkomsten aan en stop met het delen van patiëntgegevens met leveranciers die geen overeenkomst willen ondertekenen.