Kontrola souladu s HIPAA

Vstup

Practices

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Entity Type

covered

Focus

full

Výstup (úryvek)

Snímek souladu s HIPAA

Označené mezery:
1. Chybí smlouvy BAA — Každý dodavatel nakládající s PHI (video API, cloudová DB, objektové úložiště) vyžaduje podepsanou smlouvu s obchodním partnerem (Business Associate Agreement). VYSOKÁ priorita.
2. Autentizace — Samotný e-mail/heslo je slabý; vynuťte MFA pro přístup kliniků.
3. Zasílání PHI e-mailem — Nešifrované PDF e-maily riskují nepřípustné zpřístupnění; použijte zabezpečený pacientský portál nebo šifrované doručení.
4. Šifrování — Potvrďte, že PHI je šifrováno v klidu i při přenosu.

Další krok: Upřednostněte BAA a MFA. Toto je informativní, nikoli právní poradenství.

Vstup

Practices

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Entity Type

business_associate

Focus

security

Výstup (úryvek)

Revize Security Rule (obchodní partner)

Silné stránky: SFTP pro přenosy a smlouvy BAA s klienty jsou zavedeny.

Rizika:
1. Použití osobních zařízení — Přístup k PHI z nespravovaných osobních telefonů porušuje kontroly zařízení; vyžadujte MDM nebo omezte na firemní zařízení.
2. Vzdálené koncové body — Zajistěte plné šifrování disku a automatické zamykání na všech noteboocích.
3. Řízení přístupu — Zaveďte přístup podle rolí a auditní logování toho, kdo prohlíží které záznamy.
4. Doporučujeme zdokumentovanou analýzu rizik a školení personálu v oblasti bezpečnosti.

Vstup

Practices

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Entity Type

unsure

Focus

privacy

Výstup (úryvek)

Revize ochrany soukromí (status nejasný)

Nejdříve: HIPAA se obvykle vztahuje na vás, pokud elektronicky účtujete pojišťovně nebo jednáte za krytou entitu. Pokud přijímáte pouze hotovost a nikdy nepřenášíte nároky, můžete být mimo HIPAA — ale stále platí státní zákony na ochranu soukromí.

Bez ohledu na status opravte toto:
1. Nezamčená kartotéka — Zamkněte všechny papírové záznamy obsahující zdravotní informace.
2. Sdílený cloudový disk — Omezte přístup na jmenovité zaměstnance; vyhněte se širokým sdíleným odkazům.
3. Přidejte jasné oznámení o ochraně soukromí popisující, jak jsou klientská data využívána.