Gli identificatori dei pazienti interni sono considerati PHI sotto HIPAA?

Question

Gli identificatori dei pazienti interni sono considerati PHI sotto HIPAA?

#1 da (2 voti)

2

Utilizziamo i GUID internamente per identificare i pazienti nel nostro sistema. Sto discutendo con le persone di regolamentazione sul fatto che questi identificatori possano essere utilizzati nelle stringhe di query per le chiamate REST.

Stanno affermando che qualsiasi identificativo del paziente diventa PHI una volta esposto al di fuori del sistema. Sto sostenendo che per mappare questo identificatore in PHI, è necessario accedere all'archivio dati o è necessario avere un accesso valido al sistema e sono in atto i controlli di accesso.

Per le parti che non hanno accesso all'archivio dati e non dispongono di un accesso valido, il recupero di PHI non è possibile (salvo una violazione della sicurezza).

Qualcuno ha esperienza con questo? Gli identificatori utilizzati internamente sono considerati PHI sotto HIPAA? Qualcuno può indicarmi la sezione appropriata nella legge ?

legal compliance identification hipaa

posta MvdD 11.06.2015 - 20:27

fonte

1 risposta

Leggi altre domande sui tag legal compliance identification hipaa

SSH come promiscuità per HTTPS Ci sono dei pericoli nel condividere pubblicamente le informazioni di ifconfig?

score 2 · Answer 1

PHI significa avere qualsiasi informazione identificativa collegata a qualsiasi tipo di dati clinici - ad es. una diagnosi, codice CPT, ecc.

Pertanto, un identificatore interno del paziente da solo non è considerato PHI. Il rilascio di un semplice identificatore interno non è una violazione, né è in violazione dei regolamenti HIPAA di cui sono a conoscenza.

Una volta che l'identificatore può essere utilizzato da una parte non autorizzata per identificare la persona in questione; allora abbiamo un problema.

Tuttavia, le best practice impongono di proteggere questi identificatori allo stesso modo degli altri dati nel database. Potrebbero esserci dei cambiamenti nei regolamenti HIPAA che a un certo punto deprecano questa pratica. Assicurerei che la query REST provenga da un sistema sicuro e affidabile; o trovare un altro modo per interrogare queste informazioni al fine di evitare mal di testa più tardi conformità.

Puoi leggere il testo completo delle sezioni che sto interpretando qui: link