Sprawdzacz Zgodności z HIPAA

Dane wejściowe

Praktyki przetwarzania danych

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Typ podmiotu

Podmiot Pokryty (dostawca, plan, izba rozliczeniowa)

Obszar koncentracji

Pełna Ocena HIPAA

Wynik (fragment)

Migawka zgodności z HIPAA

Oznaczone luki:
1. Brak umów BAA — każdy dostawca mający kontakt z PHI (API wideo, baza danych w chmurze, magazyn obiektowy) wymaga podpisanej umowy Business Associate Agreement. WYSOKI priorytet.
2. Uwierzytelnianie — sam e-mail/hasło jest słaby; wymuś MFA dla dostępu personelu klinicznego.
3. Wysyłanie PHI mailem — niezaszyfrowane PDF-y w mailach grożą niedozwolonym ujawnieniem; korzystaj z bezpiecznego portalu pacjenta lub zaszyfrowanej dostawy.
4. Szyfrowanie — potwierdź, że PHI jest szyfrowane w spoczynku i w transmisji.

Kolejny krok: Priorytetowo potraktuj umowy BAA i MFA. To informacja, a nie porada prawna.

Dane wejściowe

Praktyki przetwarzania danych

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Typ podmiotu

Współpracownik Biznesowy

Obszar koncentracji

Reguła bezpieczeństwa

Wynik (fragment)

Przegląd Security Rule (podmiot współpracujący)

Mocne strony: SFTP do transferów i podpisane umowy BAA z klientami.

Ryzyka:
1. Korzystanie z urządzeń prywatnych — dostęp do PHI na niezarządzanych prywatnych telefonach narusza kontrolę urządzeń; wymagaj MDM lub ogranicz dostęp do urządzeń firmowych.
2. Zdalne punkty końcowe — zapewnij szyfrowanie całego dysku i automatyczne blokowanie na wszystkich laptopach.
3. Kontrola dostępu — wdroż dostęp oparty na rolach i rejestrowanie audytowe tego, kto przegląda które rekordy.
4. Zaleca się udokumentowaną analizę ryzyka i szkolenie personelu z bezpieczeństwa.

Dane wejściowe

Praktyki przetwarzania danych

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Typ podmiotu

Nie Jestem Pewny

Obszar koncentracji

Zasada prywatności

Wynik (fragment)

Przegląd prywatności (status niejasny)

Najpierw: HIPAA zasadniczo obowiązuje, jeśli rozliczasz ubezpieczenie elektronicznie lub działasz w imieniu podmiotu objętego przepisami. Jeśli przyjmujesz wyłącznie gotówkę i nigdy nie przekazujesz roszczeń, możesz być poza zakresem HIPAA — ale stanowe przepisy o prywatności nadal obowiązują.

Niezależnie od statusu, napraw to:
1. Niezamknięta szafa na dokumenty — zamykaj wszystkie papierowe dokumenty zawierające informacje o zdrowiu.
2. Współdzielony dysk w chmurze — ogranicz dostęp do imiennie wskazanych pracowników; unikaj szerokich linków do udostępniania.
3. Dodaj jasną informację o prywatności opisującą, jak wykorzystywane są dane klientów.