I dati di marketing attivano la privacy di HIPAA?

Stai entrando in un territorio oscuro in cui il contenuto A / V (come una telefonata registrata o trascritta) è completamente aperto, quindi se fossi nei tuoi panni applicherò rigorosi protocolli di sicurezza / protocolli al tuo CRM. Se registri una telefonata che inizia con "Ciao il mio nome è [nome] e ho appena contratto [malattia] e sarò sottoposto a [procedura]" ... hai appena catturato e ospitato un sacco di PHI. Forse un end-run qui (se applicabile) significherebbe rinunciare prima di catturare la telefonata: "per favore non parlare di questioni di salute personali o confidenziali" (un po 'come i cartelli che potresti vedere negli ascensori dell'ospedale).

La tua affiliazione con i clienti che sono entità coperte da HIPAA (se finisci per effettuare transazioni con PHI / PII) ti renderà un "socio in affari" (http://www.hhs.gov/ocr/privacy/hipaa/understanding/ coveredentities / businessassociates.html). Leggi le esigenze contrattuali tra te e le entità coperte.

Infine, fai i compiti per assicurarti che l'accesso / le informazioni che fornisci sia VERAMENTE anonimo, se necessario. Numeri di telefono, indirizzi IP, ecc. Sono esempi di informazioni personali (informazioni personali) sotto HIPAA. Guida NIST alle PII: link (ad esempio, cerca "numero di telefono"). Ricorda, tuttavia, se sei un socio in affari di un'entità coperta, sei autorizzato a scambiare e / o utilizzare PHI in base a una logica predefinita.

Non penso che questa sia una risposta completa, ma ecco alcuni pensieri & link basati su ciò che hai descritto / chiesto che credo dovrebbe aiutare.

L'HIPAA si applica solo alle informazioni sulla salute, principalmente in quanto si applica alle interazioni tra i fornitori di assistenza sanitaria e le agenzie di assicurazione sanitaria.

A meno che non abbia frainteso qualcosa, non sembra che tu stia facendo qualcosa con le informazioni sulla salute, né sembra che la tua agenzia sia una "entità coperta" sotto HIPAA. Puoi sostenere il quiz "Am I a covered entity" sul sito web HIPAA per saperne di più, ma non sembra che HIPAA si applichi a quello che stai facendo.

(Ciò non significa che non si dovrebbe comunque proteggere i dati, solo in linea di principio:))

L'HIPAA si applica solo a compagnie di assicurazione sanitaria, fornitori e simili, ma dal momento che si tratta di una società che fornisce risorse a una di queste entità coperte, potrebbe avere un obbligo commerciale di conformità per i propri dati. (e qualsiasi file di registro o altri elementi che sarebbero correlati alla loro attività commerciale).

Detto questo, può essere una situazione appiccicosa per quanto riguarda la responsabilità, e non è necessario solo "conformità" programmatica, ma anche i tuoi avvocati per esaminare quali implicazioni potrebbero avere qualsiasi violazione o rischio per tutti i soggetti coinvolti.