Lista kontrolna zgodności z HIPAA dla indywidualnych i małych gabinetów fizjoterapii

W skrócie

• Niewielka praktyka fizjoterapeutyczna może zapewnić zgodność z przepisami HIPAA bez konieczności zatrudniania specjalnego personelu ds. zgodności ani przeznaczania na to dużego budżetu. Należy wprowadzić rutynowe kontrole obejmujące zabezpieczenia administracyjne, fizyczne i techniczne.
• Należy wyznaczyć osobę odpowiedzialną za ochronę prywatności i bezpieczeństwo. W przypadku jednoosobowej praktyki właściciel może pełnić obie te funkcje.
• Należy przeprowadzić i udokumentować ocenę ryzyka zgodnie z HIPAA. Należy ją regularnie weryfikować, a także za każdym razem, gdy nastąpią zmiany w zakresie stosowanych technologii lub działalności.
• Należy przeszkolić personel w zakresie procedur dotyczących ochrony prywatności i bezpieczeństwa oraz prowadzić ewidencję ukończonych szkoleń.
• Należy uzyskać podpisaną umowę o współpracy od każdego dostawcy, który przetwarza dane pacjentów.
• Należy szyfrować dane pacjentów, ograniczać dostęp za pomocą unikalnych kont oraz przeglądać dzienniki dostępu.
• Należy opracować pisemny plan reagowania na naruszenie, w którym określone są obowiązki poszczególnych osób oraz opisane są etapy powiadamiania.

Dlaczego małe gabinety fizjoterapii są częstym celem kontroli OCR

Małe gabinety fizjoterapii nie są zwolnione z obowiązku przestrzegania przepisów ustawy HIPAA. Biuro Praw Obywatelskich (OCR) może wszcząć dochodzenie w sprawie gabinetu w wyniku skargi, zgłoszonego naruszenia lub kontroli zgodności. Wielkość gabinetu może mieć wpływ na to, jakie środki bezpieczeństwa są uzasadnione, ale nie zwalnia to z obowiązku ochrony elektronicznych danych medycznych objętych ochroną.

Kontrole przeprowadzane przez OCR często ujawniają luki w dokumentacji jeszcze przed wystąpieniem awarii technicznych. Śledczy mogą zażądać aktualnej oceny ryzyka bezpieczeństwa, pisemnych zasad postępowania, dokumentacji szkoleń personelu oraz podpisanych umów o współpracy (Business Associate Agreements) z dostawcami zajmującymi się danymi pacjentów. Nawet niewielka placówka medyczna, która na co dzień stosuje odpowiednie środki zabezpieczające, może mieć trudności z wykazaniem zgodności z przepisami, jeśli właściciel nigdy ich nie udokumentował.

Zasada bezpieczeństwa HIPAA dzieli wymagane środki zabezpieczające na trzy kategorie. Środki administracyjne obejmują podział obowiązków, zarządzanie ryzykiem, polityki i szkolenia. Środki fizyczne dotyczą dostępu do placówki, stanowisk pracy, urządzeń oraz usuwania dokumentacji. Środki techniczne obejmują szyfrowanie, kontrolę dostępu, dzienniki audytowe oraz bezpieczną komunikację. Prowadzenie dokumentacji we wszystkich trzech kategoriach zapewnia OCR jasny obraz tego, w jaki sposób placówka identyfikuje ryzyko związane z prywatnością i bezpieczeństwem oraz jak nim zarządza.

Środki zabezpieczające o charakterze administracyjnym: zasady, role i szkolenia

Przed opracowaniem zasad należy przydzielić obowiązki. Przepisy HIPAA wymagają wyznaczenia inspektora ds. ochrony prywatności oraz inspektora ds. bezpieczeństwa, jednak jedna osoba może pełnić obie te funkcje. W przypadku jednoosobowej praktyki właściciel może przejąć te obowiązki. Wyznaczony inspektor to osoba odpowiedzialna za aktualizację zasad, koordynację szkoleń, ocenę ryzyka, rozpatrywanie skarg oraz dokumentowanie działań związanych z zapewnieniem zgodności z przepisami. Należy sporządzić pisemny zapis o wyznaczeniu tej osoby, nawet jeśli wyznaczasz siebie.

Ocena ryzyka zgodnie z HIPAA pozwala ustalić, gdzie przechowywane są elektroniczne chronione dane medyczne, kto ma do nich dostęp, co może narazić je na ujawnienie oraz jakie środki zabezpieczające ograniczają to ryzyko. W ramach HIPAA przegląd ten jest powszechnie określany jako analiza ryzyka. Ocena powinna obejmować komputery, urządzenia mobilne, pocztę elektroniczną, oprogramowanie w chmurze, portale dla pacjentów, kopie zapasowe oraz pracę zdalną. Dla każdego ryzyka należy odnotować jego prawdopodobieństwo wystąpienia, potencjalne skutki, obecne środki kontroli, planowane działania naprawcze, osobę odpowiedzialną oraz termin realizacji.

Traktuj ocenę ryzyka jako dokument podlegający ciągłym zmianom. Przeglądaj ją co najmniej raz w roku jako praktyczną podstawę odniesienia i aktualizuj w przypadku dodania oprogramowania, wymiany urządzeń, zmiany lokalizacji lub zmiany sposobu komunikacji personelu medycznego z pacjentami. Zachowaj wypełnione oceny i dokumentację działań naprawczych, ponieważ brak udokumentowanego przeglądu dostarcza osobie prowadzącej dochodzenie niewiele dowodów na to, że placówka zajęła się znanymi zagrożeniami.

Każdego pracownika należy przeszkolić w momencie zatrudnienia oraz za każdym razem, gdy zmieniają się zasady lub zakres obowiązków. Coroczne szkolenia odświeżające pozwalają małej placówce medycznej w przystępnym tempie omówić kwestie bezpiecznej komunikacji, odpowiedniego dostępu, zgłaszania incydentów oraz postępowania z urządzeniami. Należy zachować informacje dotyczące daty szkolenia, tematów, materiałów, nazwisk uczestników oraz podpisanych potwierdzeń. Podwykonawcy zajmujący się danymi pacjentów mogą wymagać szkoleń dostosowanych do pełnionej funkcji, a także zawarcia umowy o współpracy (Business Associate Agreement).

Kancelaria zatrudniająca od jednej do trzech osób może prowadzić zwięzły podręcznik zasad, jeden rejestr ryzyka, listę dostawców oraz rejestr szkoleń. Dokumentację tę należy przeglądać podczas corocznego spotkania poświęconego zgodności z przepisami oraz po wprowadzeniu istotnych zmian operacyjnych. Większa kancelaria powinna wyznaczyć osoby odpowiedzialne za poszczególne zasady, dostosować szkolenia do zakresu dostępu poszczególnych stanowisk, centralnie śledzić działania naprawcze oraz planować okresowe przeglądy uprawnień dostępu. Każdy z tych modeli powinien zapewniać pisemną dokumentację wskazującą, kto podjął decyzje, jakie ustalenia poczyniono oraz w jaki sposób kancelaria zareagowała.

Środki zabezpieczeń fizycznych: pomieszczenia kliniki i urządzenia

Środki zabezpieczeń fizycznych ograniczają krąg osób, które mogą przeglądać, przetwarzać lub usuwać dane pacjentów w Twojej przychodni. Przejdź się po pomieszczeniach w trakcie zwykłego dnia pracy i sprawdź każde miejsce, w którym pacjenci, goście i personel medyczny mogliby przeglądać dokumentację lub uzyskać do niej dostęp.

• Monitory w recepcji należy ustawić z dala od poczekalni, a w sytuacjach, gdy zmiana ich położenia nie zapobiega przypadkowemu podglądowi, należy stosować filtry zapewniające prywatność.
• Należy ustawić komputery i ekrany w gabinetach zabiegowych tak, aby blokowały się automatycznie po upływie krótkiego czasu. Personel medyczny powinien również blokować ekrany przed opuszczeniem gabinetu.
• Należy prowadzić ewidencję urządzeń, w której odnotowuje się każdy komputer, telefon, tablet, dysk zewnętrzny oraz inne urządzenie, na którym mogą być przechowywane dane pacjentów. Należy odnotować lokalizację urządzenia oraz osobę za nie odpowiedzialną.
• Należy zadbać o bezpieczeństwo tabletów należących do placówki, wykorzystywanych podczas wizyt domowych lub do zapewnienia pacjentom dostępu do programu HEP. Należy prowadzić rejestr wypożyczeń, unikać pozostawiania tabletów w pojazdach oraz przechowywać je w zamkniętym miejscu, gdy nikt z nich nie korzysta.
• Papierowe karty pacjentów, wydrukowane harmonogramy i formularze rejestracyjne należy przechowywać w miejscach niedostępnych dla pacjentów i odwiedzających. Należy unikać pozostawiania nazwisk lub danych medycznych w widocznym miejscu w recepcji lub we wspólnych pomieszczeniach zabiegowych.
• W przypadku dokumentów papierowych zawierających chronione dane medyczne należy zastosować niszczenie metodą cięcia poprzecznego lub skorzystać z usług wykwalifikowanej firmy zajmującej się niszczeniem dokumentów.
• Przed recyklingiem, przekazaniem, zwrotem lub sprzedażą starego sprzętu należy usunąć dane pacjentów. Jeśli nie ma możliwości zweryfikowania, czy dane zostały bezpiecznie usunięte, właściwym rozwiązaniem może być fizyczne zniszczenie sprzętu.
• Należy sporządzić wykaz osób, które mogą wchodzić na tereny, na których znajdują się dokumenty lub urządzenia, w tym personel sprzątający, wykonawcy oraz pracownicy budynku.

Te środki kontroli fizycznej dotyczą widoczności, posiadania, przechowywania i usuwania danych. Środki zabezpieczeń technicznych obejmują sposoby ochrony danych pacjentów przez oprogramowanie za pomocą szyfrowania, uprawnień do kont oraz rejestrów aktywności.

Środki zabezpieczeń technicznych: szyfrowanie, dostęp i ścieżki audytu

Środki zabezpieczeń technicznych regulują, kto ma dostęp do elektronicznych, chronionych danych medycznych, w jaki sposób oprogramowanie je zabezpiecza oraz jak można śledzić działania użytkowników. Należy zastosować te środki w każdym systemie, w którym przechowywane są lub przekazywane dane pacjentów, w tym w systemach dokumentacji, planowania wizyt, rozliczeń, telezdrowia, komunikacji z pacjentami oraz narzędziach do programów ćwiczeń domowych.

Szyfrowanie chroni czytelne informacje o pacjentach poprzez przekształcenie ich w dane zakodowane. Oprogramowanie powinno szyfrować dane przechowywane na serwerach, komputerach, tabletach oraz w kopiach zapasowych. Powinno również szyfrować dane przesyłane między urządzeniem pacjenta, przeglądarką użytkownika a serwerami dostawcy. Jeśli zdecydujesz się na alternatywne środki kontroli, w ocenie ryzyka HIPAA należy udokumentować, dlaczego dane rozwiązanie zapewnia odpowiedni poziom ochrony.

System kontroli dostępu powinien zapewniać każdej osobie unikalne konto oraz wyłącznie uprawnienia niezbędne do wykonywania jej obowiązków. Wspólne loginy uniemożliwiają ustalenie, kto przeglądał lub modyfikował dany wpis. Uprawnienia oparte na rolach mogą zapewnić pracownikowi recepcji dostęp do harmonogramu bez niepotrzebnego ujawniania notatek klinicznych. Dodatkową ochronę zapewnia uwierzytelnianie wieloskładnikowe, automatyczne blokowanie ekranu oraz natychmiastowe usunięcie konta po odejściu pracownika.

Dzienniki audytowe służą do rejestrowania aktywności na koncie. Odpowiednia platforma powinna rejestrować logowania, nieudane próby uzyskania dostępu, wyświetlenia, edycje, pobrania oraz zmiany uprawnień. Ktoś z personelu Państwa placówki powinien przeglądać te dzienniki po wystąpieniu podejrzanego incydentu oraz okresowo sprawdzać, czy nie występuje nietypowa aktywność. Dzienniki mają niewielką wartość, jeśli dostawca je rejestruje, ale nie jest w stanie udostępnić ich w momencie, gdy konieczne jest przeprowadzenie dochodzenia.

Niezabezpieczone wiadomości tekstowe i e-maile od pacjentów należy sprawdzić w pierwszej kolejności, ponieważ zwykłe konta komunikacyjne mogą ujawniać dane pacjentów lub przechowywać je poza zatwierdzonym oprogramowaniem. Do przekazywania informacji klinicznych należy korzystać z bezpiecznego portalu dla pacjentów lub funkcji szyfrowanej komunikacji. Jeśli pacjenci poproszą o inną metodę komunikacji, należy odnotować tę prośbę, wyjaśnić ryzyko związane z naruszeniem prywatności i postępować zgodnie z pisemnymi wytycznymi. Przypomnienia o wizytach powinny zawierać wyłącznie niezbędne informacje i nigdy nie należy umieszczać w niezabezpieczonych wiadomościach diagnoz, szczegółów leczenia ani zaleceń dotyczących ćwiczeń.

Umowy o współpracy biznesowej oraz ocena oprogramowania zgodnego z HIPAA

Każdy dostawca, który w Twoim imieniu tworzy, otrzymuje, przechowuje lub przekazuje chronione informacje zdrowotne, może zostać uznany za partnera biznesowego. Należy sprawdzić oprogramowanie służące do planowania wizyt, dokumentacji, rozliczeń, komunikacji z pacjentami, telezdrowia oraz programów ćwiczeń domowych. Usługi przechowywania danych w chmurze, poczty elektronicznej, wsparcia informatycznego oraz tworzenia kopii zapasowych danych również mogą wymagać weryfikacji, jeśli umożliwiają dostęp do informacji o pacjentach.

Umowa o współpracy biznesowej (Business Associate Agreement, BAA) określa, w jaki sposób dostawca może wykorzystywać i chronić dane pacjentów. Umowa powinna przewidywać odpowiednie zabezpieczenia, ograniczać dozwolone sposoby wykorzystania i ujawniania danych, nakładać na dostawcę obowiązek zgłaszania incydentów związanych z bezpieczeństwem oraz regulować kwestie dotyczące podwykonawców przetwarzających te same dane. Powinna również wyjaśniać, co dzieje się z danymi pacjentów po wygaśnięciu umowy. Państwa placówka powinna podpisać umowę BAA przed udostępnieniem dostawcy chronionych informacji zdrowotnych oraz zachować jej kopię w dokumentacji dotyczącej zgodności z przepisami.

Twierdzenie dostawcy, że jego oprogramowanie jest „zgodne z HIPAA”, nie zastępuje umowy o zachowaniu poufności (BAA) ani własnej weryfikacji. Rząd federalny nie wydaje ogólnych certyfikatów zgodności z HIPAA dla produktów oprogramowania. Zgodność z HIPAA zależy również od tego, w jaki sposób dana placówka medyczna konfiguruje i wykorzystuje oprogramowanie. Na przykład bezpieczna komunikacja nie może zapewnić ochrony rozmowy z pacjentem, jeśli lekarz skopiuje te same informacje do zwykłej wiadomości tekstowej.

Podczas oceny oprogramowania, które ma dostęp do danych pacjentów, należy korzystać z poniższej listy kontrolnej.

• Podpisana umowa BAA. Należy upewnić się, że dostawca podpisze umowę BAA obejmującą konkretną usługę, z której zamierzasz korzystać. Należy zapoznać się z wszelkimi wyłączeniami zawartymi w umowie.
• Szyfrowanie. Należy zapytać, czy dostawca szyfruje dane pacjentów zarówno podczas ich przechowywania, jak i przesyłania. Należy upewnić się, że kopie zapasowe i dostęp mobilny są objęte równoważną ochroną.
• Kontrola dostępu. Należy wymagać posiadania unikalnych kont użytkowników, stosowania silnych metod uwierzytelniania oraz przyznawania uprawnień w oparciu o zakres obowiązków służbowych poszczególnych osób. Należy unikać wspólnych loginów w klinice.
• Rejestrowanie dostępu. Należy upewnić się, że oprogramowanie rejestruje, kto przeglądał, zmieniał, pobierał lub udostępniał dane pacjentów. Należy zapytać, jak długo dostawca przechowuje te zapisy.
• Bezpieczna komunikacja. Należy sprawdzić, czy pacjenci i lekarze mogą wymieniać wiadomości za pośrednictwem zabezpieczonego portalu lub aplikacji zamiast korzystać ze zwykłych SMS-ów lub niezaszyfrowanej poczty elektronicznej.
• Reagowanie na incydenty. Zapytaj, jak szybko dostawca powiadomi Twoją placówkę o podejrzeniu naruszenia bezpieczeństwa oraz jakie informacje będą zawarte w takim powiadomieniu.
• Postępowanie z danymi. Należy sprawdzić, w jaki sposób można eksportować dokumentację pacjentów oraz w jaki sposób dostawca usuwa lub zwraca dane po rozwiązaniu umowy.

Należy dokumentować każdą ocenę, w tym odpowiedzi dostawcy oraz podpisaną umowę o zachowaniu poufności (BAA). Aktualny wykaz dostawców ułatwia przeprowadzanie przyszłych ocen ryzyka oraz zarządzanie przedłużaniem umów.

Powiadomienie o naruszeniu bezpieczeństwa: co je wywołuje i jak należy postąpić

Zgodnie z ustawą HIPAA niedozwolone wykorzystanie lub ujawnienie niezabezpieczonych chronionych informacji zdrowotnych jest zasadniczo traktowane jako naruszenie. Nie ma obowiązku zgłaszania incydentu, jeśli na podstawie udokumentowanej oceny stwierdzono niskie prawdopodobieństwo, że informacje te zostały naruszone. Ocena powinna uwzględniać rodzaj informacji, które były przedmiotem incydentu, to, kto je otrzymał, czy ktokolwiek uzyskał do nich dostęp oraz w jakim stopniu udało się ograniczyć potencjalne szkody. Prawidłowo zaszyfrowane informacje mogą nie podlegać definicji naruszenia, o ile klucz szyfrujący pozostaje bezpieczny.

Państwa placówka musi powiadomić pacjentów, których dotyczy naruszenie, bez nieuzasadnionej zwłoki i nie później niż 60 dni kalendarzowych od wykrycia naruszenia podlegającego zgłoszeniu. Naruszenia dotyczące 500 lub więcej osób wymagają również niezwłocznego powiadomienia Departamentu Zdrowia i Opieki Społecznej (HHS). Mniejsze naruszenia są uwzględniane w corocznym sprawozdaniu przekazywanym do HHS. Naruszenie dotyczące ponad 500 mieszkańców danego stanu lub jurysdykcji może wymagać powiadomienia czołowych lokalnych mediów. Prawo stanowe może nakładać dodatkowe lub krótsze terminy.

Pisemny plan reagowania powinien określać, kto prowadzi dochodzenie w sprawie incydentu oraz kto zajmuje się powiadamianiem. Plan powinien również zawierać szablony służące do rejestrowania przebiegu zdarzenia, rodzaju informacji, których dotyczyło, oraz sposobu, w jaki Twoja placówka zareagowała. Gdy dostawca wykryje naruszenie, zawarta z nim umowa o współpracy biznesowej powinna nakładać na niego obowiązek terminowego powiadomienia Twojej placówki.

Kontrola dostępu ogranicza ryzyko nieuprawnionego dostępu, a podpisane umowy o zachowaniu poufności (BAA) jasno określają obowiązki poszczególnych dostawców w zakresie reagowania na incydenty. W razie wystąpienia incydentu należy zabezpieczyć odpowiednią dokumentację, ograniczyć dalsze ryzyko, udokumentować przeprowadzoną ocenę oraz zasięgnąć porady prawnej lub w zakresie zgodności z przepisami, jeśli decyzja dotycząca zgłoszenia pozostaje niejasna. Większość incydentów można opanować poprzez spokojną i udokumentowaną reakcję.

W jakich obszarach małe gabinety fizjoterapii najczęściej mają braki

Małe gabinety fizjoterapii często mają braki w trzech obszarach, co skutkuje niskim wskaźnikiem przestrzegania zaleceń. Skorzystaj z poniższych pytań, aby sprawdzić, czy wprowadzone wcześniej środki zabezpieczające sprawdzają się w codziennej praktyce.

• Czy pracownicy medyczni komunikują się za pomocą prywatnych wiadomości tekstowych lub zwykłej poczty elektronicznej? Należy powrócić do technicznych środków zabezpieczeń i wprowadzić wymóg prowadzenia bezpiecznej komunikacji z pacjentami za pośrednictwem zatwierdzonych kont lub oprogramowania. Należy udokumentować tę zasadę i przeszkolić wszystkie osoby mające dostęp do danych pacjentów.

• Czy możesz przedstawić podpisaną umowę o współpracy biznesowej (Business Associate Agreement) dla każdego dostawcy, który otrzymuje lub przechowuje dane pacjentów? Sprawdź oprogramowanie służące do planowania wizyt, dokumentacji, rozliczeń, przechowywania danych w chmurze, komunikacji z pacjentami, telezdrowia oraz programów ćwiczeń domowych. Oświadczenie dostawcy o zgodności z HIPAA nie zastępuje podpisanej umowy.

• Czy mogą Państwo przedstawić najnowszą udokumentowaną ocenę ryzyka? Nieformalne zrozumienie istniejących zagrożeń nie stanowi dla recenzenta OCR wystarczającego dowodu na to, że zidentyfikowali Państwo słabe punkty i podjęli działania w celu ich usunięcia. Proszę powrócić do administracyjnych środków zabezpieczających i odnotować każde ryzyko, działanie naprawcze, osobę odpowiedzialną oraz datę realizacji.

W ramach samokontroli należy również sprawdzić, czy dokumentacja szkoleń, listy uprawnień dostępu, wykazy urządzeń oraz procedury postępowania w przypadku naruszenia bezpieczeństwa są aktualne. Należy dokonywać przeglądu oceny ryzyka co najmniej raz w roku oraz zawsze, gdy dodawane jest oprogramowanie, następuje zmiana lokalizacji lub zmienia się sposób, w jaki personel uzyskuje dostęp do danych pacjentów. Należy aktualizować szkolenia w przypadku zmian w zasadach lub narzędziach oraz przechowywać dowody potwierdzające, że każda osoba ukończyła dane szkolenie.

Zgodność z przepisami HIPAA najlepiej sprawdzają się jako cykliczne zadania operacyjne. Przypomnienia w kalendarzu dotyczące ponownej oceny, szkoleń, przeglądu dostawców i kontroli dostępu pomagają małym placówkom w prowadzeniu dokumentacji, której mogłoby zażądać organ prowadzący dochodzenie.

Pierwsze kroki w tym tygodniu

Na początek należy na piśmie wyznaczyć osobę odpowiedzialną za ochronę prywatności i bezpieczeństwo. W przypadku jednoosobowej działalności właściciel może pełnić obie te funkcje. Należy odnotować, kto zajmuje się polityką firmy, szkoleniami, weryfikacją uprawnień dostępu, skargami pacjentów oraz reagowaniem na incydenty.

Następnie należy przeprowadzić udokumentowaną ocenę ryzyka. Należy sporządzić wykaz miejsc, w których dane pacjentów są wprowadzane do placówki, przepływają przez nią i z niej wychodzą. Należy odnotować już stosowane środki zabezpieczające, zidentyfikować luki, przydzielić każde działanie naprawcze konkretnej osobie oraz wyznaczyć termin realizacji.

Zanim dobiegnie końca ten tydzień, sporządź wykaz wszystkich dostawców, którzy mają dostęp do danych pacjentów. Uwzględnij w nim narzędzia do planowania wizyt, dokumentacji, rozliczeń, komunikacji, przechowywania danych w chmurze, telezdrowia oraz programów ćwiczeń domowych. Upewnij się, że każdy dostawca podpisał umowę o współpracy biznesowej, a jeśli brakuje jej w Twojej dokumentacji, niezwłocznie poproś o jej sporządzenie.

Przed zamknięciem listy kontrolnej należy zaplanować kwartalne przeglądy uprawnień dostępu oraz coroczną ponowną ocenę ryzyka. Regularne przeglądy sprawiają, że zgodność z przepisami HIPAA staje się łatwym do opanowania nawykiem operacyjnym, który chroni dane pacjentów i zapewnia Twojej placówce przejrzystą dokumentację dotyczącą stosowanych zabezpieczeń.

Najczęściej zadawane pytania

Jak często mała placówka powinna przeprowadzać ocenę ryzyka w ramach HIPAA?

Ocena ryzyka zgodna z HIPAA określa zagrożenia dla elektronicznych danych pacjentów oraz środki zabezpieczające mające na celu ich wyeliminowanie. Państwa placówka powinna dokonywać przeglądu tego dokumentu co najmniej raz w roku oraz po wprowadzeniu istotnych zmian, takich jak wdrożenie nowego oprogramowania lub zmiana lokalizacji. Regularne przeglądy zapewniają aktualność dokumentu na potrzeby audytów i stanowią wskazówki dotyczące kolejnych usprawnień w zakresie bezpieczeństwa.

Czy fizjoterapeuta prowadzący indywidualną praktykę potrzebuje inspektora ochrony danych osobowych?

Inspektor ds. ochrony prywatności nadzoruje politykę zgodną z HIPAA, rozpatrywanie skarg, szkolenia oraz wymaganą dokumentację. Fizjoterapeuta prowadzący indywidualną praktykę może sam pełnić tę funkcję i powinien to odnotować na piśmie. Wyznaczenie tej funkcji pozwala jasno określić zakres odpowiedzialności bez konieczności zatrudniania kolejnego pracownika lub zewnętrznego konsultanta.

Co tak naprawdę gwarantuje „oprogramowanie zgodne z HIPAA”?

Określenie „oprogramowanie zgodne z HIPAA” odnosi się do zabezpieczeń zapewnianych przez dostawcę, jednak żadna certyfikacja rządowa nie gwarantuje, że oprogramowanie to zapewni zgodność Twojej praktyki z przepisami. Nadal konieczne jest podpisanie umowy o współpracy (Business Associate Agreement) oraz sprawdzenie, czy zapewniono szyfrowanie, kontrolę dostępu, rejestry aktywności i bezpieczną komunikację. Sprawdzenie tych elementów przed zakupem pozwala ograniczyć ryzyko związane z naruszeniem prywatności wynikające z działań dostawcy.

Jakie są konsekwencje korzystania z usług dostawcy, który nie posiada umowy BAA?

Brak wymaganej umowy o współpracy z podmiotem zewnętrznym może stanowić naruszenie przepisów HIPAA, gdy dostawca tworzy, otrzymuje, przechowuje lub przekazuje chronione dane medyczne. Urząd ds. Praw Obywatelskich (OCR) może zażądać podjęcia działań naprawczych oraz nałożyć cywilne kary pieniężne w oparciu o takie czynniki, jak stopień winy, czas trwania naruszenia oraz wysiłki podjęte w celu jego usunięcia. Należy niezwłocznie sporządzić wykaz dostawców, zażądać brakujących umów oraz zaprzestać udostępniania danych pacjentów wszystkim dostawcom, którzy nie zechcą takiej umowy podpisać.