Sprawdzacz Zgodności z HIPAA

Dane wejściowe

Practices

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Entity Type

covered

Focus

full

Wynik (fragment)

Migawka zgodności z HIPAA

Oznaczone luki:
1. Brak umów BAA — każdy dostawca mający kontakt z PHI (API wideo, baza danych w chmurze, magazyn obiektowy) wymaga podpisanej umowy Business Associate Agreement. WYSOKI priorytet.
2. Uwierzytelnianie — sam e-mail/hasło jest słaby; wymuś MFA dla dostępu personelu klinicznego.
3. Wysyłanie PHI mailem — niezaszyfrowane PDF-y w mailach grożą niedozwolonym ujawnieniem; korzystaj z bezpiecznego portalu pacjenta lub zaszyfrowanej dostawy.
4. Szyfrowanie — potwierdź, że PHI jest szyfrowane w spoczynku i w transmisji.

Kolejny krok: Priorytetowo potraktuj umowy BAA i MFA. To informacja, a nie porada prawna.

Dane wejściowe

Practices

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Entity Type

business_associate

Focus

security

Wynik (fragment)

Przegląd Security Rule (podmiot współpracujący)

Mocne strony: SFTP do transferów i podpisane umowy BAA z klientami.

Ryzyka:
1. Korzystanie z urządzeń prywatnych — dostęp do PHI na niezarządzanych prywatnych telefonach narusza kontrolę urządzeń; wymagaj MDM lub ogranicz dostęp do urządzeń firmowych.
2. Zdalne punkty końcowe — zapewnij szyfrowanie całego dysku i automatyczne blokowanie na wszystkich laptopach.
3. Kontrola dostępu — wdroż dostęp oparty na rolach i rejestrowanie audytowe tego, kto przegląda które rekordy.
4. Zaleca się udokumentowaną analizę ryzyka i szkolenie personelu z bezpieczeństwa.

Dane wejściowe

Practices

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Entity Type

unsure

Focus

privacy

Wynik (fragment)

Przegląd prywatności (status niejasny)

Najpierw: HIPAA zasadniczo obowiązuje, jeśli rozliczasz ubezpieczenie elektronicznie lub działasz w imieniu podmiotu objętego przepisami. Jeśli przyjmujesz wyłącznie gotówkę i nigdy nie przekazujesz roszczeń, możesz być poza zakresem HIPAA — ale stanowe przepisy o prywatności nadal obowiązują.

Niezależnie od statusu, napraw to:
1. Niezamknięta szafa na dokumenty — zamykaj wszystkie papierowe dokumenty zawierające informacje o zdrowiu.
2. Współdzielony dysk w chmurze — ogranicz dostęp do imiennie wskazanych pracowników; unikaj szerokich linków do udostępniania.
3. Dodaj jasną informację o prywatności opisującą, jak wykorzystywane są dane klientów.