Kontrola souladu s HIPAA

Vstup

Postupy zpracování dat

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Typ entity

Krytý subjekt (poskytovatel, plán, clearingové centrum)

Oblast zaměření

Úplné hodnocení HIPAA

Výstup (úryvek)

Snímek souladu s HIPAA

Označené mezery:
1. Chybí smlouvy BAA — Každý dodavatel nakládající s PHI (video API, cloudová DB, objektové úložiště) vyžaduje podepsanou smlouvu s obchodním partnerem (Business Associate Agreement). VYSOKÁ priorita.
2. Autentizace — Samotný e-mail/heslo je slabý; vynuťte MFA pro přístup kliniků.
3. Zasílání PHI e-mailem — Nešifrované PDF e-maily riskují nepřípustné zpřístupnění; použijte zabezpečený pacientský portál nebo šifrované doručení.
4. Šifrování — Potvrďte, že PHI je šifrováno v klidu i při přenosu.

Další krok: Upřednostněte BAA a MFA. Toto je informativní, nikoli právní poradenství.

Vstup

Postupy zpracování dat

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Typ entity

Obchodní partner

Oblast zaměření

Bezpečnostní pravidlo

Výstup (úryvek)

Revize Security Rule (obchodní partner)

Silné stránky: SFTP pro přenosy a smlouvy BAA s klienty jsou zavedeny.

Rizika:
1. Použití osobních zařízení — Přístup k PHI z nespravovaných osobních telefonů porušuje kontroly zařízení; vyžadujte MDM nebo omezte na firemní zařízení.
2. Vzdálené koncové body — Zajistěte plné šifrování disku a automatické zamykání na všech noteboocích.
3. Řízení přístupu — Zaveďte přístup podle rolí a auditní logování toho, kdo prohlíží které záznamy.
4. Doporučujeme zdokumentovanou analýzu rizik a školení personálu v oblasti bezpečnosti.

Vstup

Postupy zpracování dat

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Typ entity

Nejsem si jistý/á

Oblast zaměření

Pravidlo ochrany soukromí

Výstup (úryvek)

Revize ochrany soukromí (status nejasný)

Nejdříve: HIPAA se obvykle vztahuje na vás, pokud elektronicky účtujete pojišťovně nebo jednáte za krytou entitu. Pokud přijímáte pouze hotovost a nikdy nepřenášíte nároky, můžete být mimo HIPAA — ale stále platí státní zákony na ochranu soukromí.

Bez ohledu na status opravte toto:
1. Nezamčená kartotéka — Zamkněte všechny papírové záznamy obsahující zdravotní informace.
2. Sdílený cloudový disk — Omezte přístup na jmenovité zaměstnance; vyhněte se širokým sdíleným odkazům.
3. Přidejte jasné oznámení o ochraně soukromí popisující, jak jsou klientská data využívána.