Verificador de Conformidade HIPAA

Entrada

Práticas de Tratamento de Dados

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Tipo de Entidade

Entidade Abrangida (prestador, plano, câmara de compensação)

Área de Foco

Avaliação HIPAA Completa

Saída (excerto)

Panorama de Conformidade HIPAA

Lacunas assinaladas:
1. BAAs em falta — Qualquer fornecedor que toque em PHI (API de vídeo, BD na cloud, armazenamento de objetos) exige um Business Associate Agreement assinado. Prioridade ALTA.
2. Autenticação — E-mail/palavra-passe sozinhos são fracos; imponha MFA no acesso dos clínicos.
3. Envio de PHI por e-mail — PDFs não encriptados por e-mail arriscam uma divulgação indevida; use um portal de doente seguro ou entrega encriptada.
4. Encriptação — Confirme que a PHI está encriptada em repouso e em trânsito.

Próximo passo: Priorize BAAs e MFA. Isto é informativo e não constitui aconselhamento jurídico.

Entrada

Práticas de Tratamento de Dados

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Tipo de Entidade

Subcontratante

Área de Foco

Regra de Segurança

Saída (excerto)

Revisão da Security Rule (Business Associate)

Pontos fortes: SFTP para transferências e BAAs com clientes em vigor.

Riscos:
1. Uso de dispositivos pessoais — Aceder a PHI em telemóveis pessoais não geridos viola os controlos de dispositivos; exija MDM ou restrinja a dispositivos da empresa.
2. Endpoints remotos — Garanta encriptação de disco completa e bloqueio automático em todos os portáteis.
3. Controlos de acesso — Implemente acesso por perfil e registo de auditoria de quem vê que registos.
4. Recomenda-se uma análise de risco documentada e formação de segurança da força de trabalho.

Entrada

Práticas de Tratamento de Dados

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Tipo de Entidade

Não tenho a certeza

Área de Foco

Regra de privacidade

Saída (excerto)

Revisão de Privacidade (Estatuto Incerto)

Primeiro: A HIPAA aplica-se geralmente se faturar a seguros eletronicamente ou agir por conta de uma entidade abrangida. Se só recebe em dinheiro e nunca transmite reclamações, pode ficar fora da HIPAA — mas as leis estaduais de privacidade continuam a aplicar-se.

Independentemente do estatuto, corrija isto:
1. Arquivo destrancado — Tranque todos os registos em papel com informação de saúde.
2. Drive partilhada na cloud — Restrinja o acesso a pessoal nomeado; evite ligações de partilha amplas.
3. Adicione um aviso de privacidade claro que descreva como os dados dos clientes são usados.