Sono il Compliance Officer di un laboratorio. È consentito inviare un'e-mail non cifrata con un numero di accesso del paziente? Non include nome del paziente, DOB, SS # o indirizzo. È solo un numero univoco associato a un test.
Nella mia interpretazione di HIPAA / HITECH, NO, dovrebbe essere crittografato.
Da tutto ciò che ho letto su questo argomento nel corso degli anni, la traduzione più ampia di EPHI è QUALSIASI informazione che potrebbe essere utilizzata per identificare un paziente. (Questo includerebbe qualsiasi numero di account o test) Il dibattito sarebbe "entità che necessitano accesso a "o" fornire l'accesso a "tuttavia se giudicato negligente in tribunale, non è una scusa e dal momento che si ha il titolo di compliance officer richiederei la crittografia (almeno in scrittura). Se non si è in grado di approvare la spesa per l'e-mail crittografata, fornire a chi ha l'autorità la Sezione 164.312 (e) (2) (ii) di HIPAA e BCC il proprio indirizzo di posta elettronica esterno per comprendere che la società sta andando canaglia e non te stesso. Io dico sempre che l'e-mail non cifrata è come scrivere informazioni su un pezzo di carta e metterlo sulla macchina di "Joe" sotto il tergicristallo. Benché sia indirizzato a "Joe", chiunque passi con "curiosità" potrebbe leggere quel foglio sul parabrezza della macchina di Joe e potrebbe non sapere mai. Se i dati sono validi in QUALUNQUE modo, le persone cercheranno di "acquisirli".
Ecco una citazione dal sito di wikipedia: PHI è qualsiasi informazione detenuta da un'entità coperta che riguarda lo stato di salute, la fornitura di assistenza sanitaria, o il pagamento per l'assistenza sanitaria che può essere collegato a un individuo. [13] Questo è interpretato in modo piuttosto ampio e include qualsiasi parte della cartella clinica o della cronologia dei pagamenti di un individuo.
tratto da: link
Sfortunatamente un ex dipendente potrebbe essere un ingegnere sociale con tali informazioni, informazioni aggiuntive come un SS #.
A seconda della quantità di dati inviati e della frequenza con cui verranno inviati, potresti prendere in considerazione la possibilità di creare un server SFTP (solitamente utilizzato su FTPS dalla maggior parte degli ospedali I.T. dipartimenti)
Personalmente l'ho fatto per due dei più grandi ospedali del mio stato ed è così che inviano report e dati dei pazienti. Ho usato una distro linux chiavi in mano qui: link
È GRATUITO e semplicissimo da configurare e coprirà il problema dell'utilizzo della crittografia mentre i dati sono "in movimento" Assicurati anche di creare un accesso univoco per CIASCUNA entità che si connetterà da quando tutti i tentativi di accesso sono registrati e assicurati di usare una lunga password casuale e fornire tali informazioni solo via telefono o fax, poiché la tua e-mail non sembra crittografata.
Una parola di esperienza sulla crittografia della posta elettronica, stare lontano da Trend Micro, è troppo difficile per gli utenti calcolati contare sulle dita dei piedi e dei piedi dei segnaposti numerici delle loro password.
es. password: doggypuppy123 inserisci i caratteri 1, 2, 7 e 9 della tua password risposta: d ou p
in più hanno anche domande sulla sicurezza.
È orribile, sono rimasto bloccato per un anno dall'amministratore precedente e ora abbiamo qualcosa di molto più user friendly. Fammi sapere se hai altre domande.
Se vuoi solo inviare le informazioni via email e non hai la possibilità di eseguire un server SFTP che puoi usare link che offre e-mail crittografate GRATIS a basso volume. L'unica cosa in questione è quando guardi la versione HIPAA del servizio "FREE" che dicono che fanno pagare $ 49,95 / anno per account utente.
Non sono un avvocato e questo non è un consiglio legale.
Ho riscontrato un problema simile e ho chiesto lo stesso domanda sull'assistenza sanitaria (recentemente trasferita alla sicurezza) .
Come probabilmente saprai, un numero di accesso è un identificatore univoco emesso dalla tua entità (ad esempio, il tuo ospedale) tipicamente un numero di 6-10 cifre per tracciare un ordine paziente nel tuo sistema informativo (ad esempio, la pianificazione per fornire il servizio per memorizzare il report / dati per il servizio). Quando si de-identificano i dati in HIPAA, le linee guida indicano esplicitamente che i "numeri di identificazione unici" devono essere rimossi, a meno che un esperto non abbia "determinato [d] che il rischio è molto piccolo le informazioni potrebbero essere utilizzate, da sole o in combinazione con altre informazioni ragionevolmente disponibili ... per identificare un individuo e documentare [ed] i metodi ei risultati dell'analisi che giustificano tale determinazione ".
Non lascerei i numeri di accesso quando de-identifico i dati di ricerca in quanto si tratta di un "numero identificativo univoco". Diciamo che sto facendo uno studio di ricerca e ho condiviso i dati MRI deidentificati con i co-investigatori e che alcuni "numeri identificativi unici" non sono stati rimossi. Un co-investigatore potrebbe entrare nel RIS e scoprire a quale paziente appartiene quel numero identificativo univoco e poi avrà la risonanza magnetica di quel paziente senza alcuna traccia di controllo che dice di aver scaricato la risonanza magnetica di questo paziente (potrebbe esserci una traccia che dice che sono " abbiamo visto il loro numero di accessi - ma molti dipendenti vedono molti numeri di accessi nel corso del lavoro di routine). HIPAA ti consente di avere un codice di reidentificazione nei tuoi dati non identificati, ma non può essere derivato da alcun "numero identificativo univoco" esistente e questi codici di re-identificazione devono essere tenuti segreti.
Vedi pagina 66 di (sezione 164.514) link
Non commentando la legalità della questione, quello che stai dicendo in pratica non violerebbe la privacy del paziente. Dire a un medico che hanno un compito eccezionale (qualcuno deve leggere il rapporto sul numero di accesso 1234567 ) non fornisce alcuna informazione sanitaria privata ad un intercettatore. Il numero di accesso a qualcuno che non ha accesso ai tuoi sistemi di informazione non può essere legato a un paziente. Garantito che potrebbe essere una violazione della privacy del paziente per inviare via email un numero di accesso + eventuali dati medici sulla persona. Ad esempio, l'accessione # 1234567 ha una scoperta della malattia X. Perché i registri di controllo per la ricerca di un numero di accesso sul sistema informativo potrebbero non essere analizzati in modo così approfondito come qualcuno che cerca i rapporti per numero di paziente / numero di accesso. (Per i numeri dei record medici (MRN), questo argomento non si applica, in quanto un MRN ha una corrispondenza uno a uno con un paziente.Ad esempio, un intercettatore può avere una precedente conoscenza di un paziente per MRN e apprendere che sono entrati da osservando le e-mail contenenti il loro MRN).
Tuttavia, questo non significa che non sarebbe in violazione della legge. Immagino che sarebbe meno probabile essere processati / condannati, ma probabilmente non ne vale la pena. Per il mio sistema ho finito per aggiungere un passaggio; Invio una e-mail e quindi devono fare clic sul mio sistema VPN / Intranet protetto da password per visualizzare i # accessioni.
Secondo il sito web qui sotto questo non è considerato parte delle tue informazioni private e in quanto tale sarebbe accettabile inviare una e-mail non criptata. La conformità HIPAA si applica specificamente alle informazioni personali a cui questo non appartiene.
Leggi altre domande sui tag privacy