Quiero escribir mi ensayo de la universidad sobre las experiencias que tuve como voluntario en el hospital. ¿Cómo puedo evitar violar HIPAA?

Debe desidentificar los datos que está describiendo mediante el uso de seudónimos y disfrazar cualquier otra identificación, como la dirección, la edad, la descripción física, etc.

La mayoría de los profesionales de la salud lo hacen al cambiar los detalles clave, lo que les permite describir los datos sin restricciones.

Tengo bastantes preguntas sobre estas líneas. ¡No dudes en consultar mi blog de HIPAA para obtener más información detallada! Consultor de Hipaa | Portland | Gazelle Consulting

Si usted es una entidad cubierta o un socio comercial, debe hacer lo siguiente bajo HIPAA.

Controles técnicos

• Un nombre o número único para cada usuario con acceso a PHI.
• Procedimientos sólidos para obtener PHI durante una emergencia.
• Cierre de sesión automático que finaliza sesiones después de un período de inactividad establecido.
• Controle y registre todas las actividades relacionadas con la PHI de una manera que sea fácilmente investigable.
• Proteja todos los datos con al menos cifrado AES de 256 bits tanto en tránsito como en reposo.
• Asegúrese de que la PHI no se modifique o destruya sin la autorización correspondiente.
• Asegúrese de que la PHI transmitida electrónicamente no se modifique de forma incorrecta.
• Asegúrese de que todos los usuarios que intentan acceder a PHI estén debidamente autenticados.
• Asegúrese de que la PHI esté completamente borrada de los sistemas que ya no se usan.

Salvaguardias Administrativas

• Realice un análisis de riesgos completo y regular con respecto a dónde se almacena la PHI y cómo se usa. Implemente medidas para reducir los riesgos que descubra.
• Los procedimientos para determinar el acceso de un empleado a PHI son apropiados.
• Procedimientos para terminar el acceso a PHI cuando un empleado se va de su organización.
• Identificar y responder a incidentes de seguridad sospechosos o conocidos, y mitigar cualquier amenaza predecible a la PHI.
• Crear sanciones para los empleados que no cumplan con HIPAA.
• Asegúrese de que todas las actividades se revisen periódicamente, incluida la actividad del sistema, los registros de auditoría y los registros de acceso.
• Asegúrese de que todos los empleados con acceso a PHI estén supervisados ​​y supervisados ​​adecuadamente.
• Evite el acceso a la PHI por parte de organizaciones que no sean Asociados comerciales.
• Asegúrese de que haya sistemas implementados para recordar periódicamente a los empleados sus procesos y procedimientos de seguridad.
• Incorporar procedimientos que protegen, detectan e informan software malicioso.
• Monitorear todos los inicios de sesión y registros de acceso, y
• Asegúrese de tener procedimientos en su lugar
• Realice evaluaciones periódicas para ver si los cambios en su negocio o la ley requieren que cambie sus procedimientos.
• (Solo entidades cubiertas): firmar contratos con socios comerciales que tendrán acceso a la PHI para garantizar que cumplen con los requisitos.
• Ordene que todos los empleados creen contraseñas seguras, y que cambien regularmente esas contraseñas.
• Designar un Oficial de Seguridad de HIPAA
• Designar un Oficial de Cumplimiento de HIPAA
• Periódicamente pruebe y actualice todos los planes de contingencia y procedimientos de seguridad.
• Crear un proceso para identificar e informar incidentes de seguridad. Este plan de contingencia debe incluir Cómo notificará a las personas afectadas de un incidente. Quién es responsable de investigar el incumplimiento y garantizar que no vuelva a suceder. El plazo en el que debe notificar a los accionistas y clientes una infracción (a más tardar 60 días después del incidente).
• Crear procedimientos de entrenamiento de conciencia de seguridad.
• Procedimientos para la copia de seguridad, el almacenamiento y la retención de PHI.

Salvaguardias Físicas

• Una sala de servidores controlada por acceso, que debe incluir … Protecciones uniformadasCámaras de seguridadCierre físico y / o digital Gobernabilidad sobre cuándo, cómo y a quién se le concede acceso físico.
• Documentación de todas las modificaciones a su instalación física.
• Procesos para evitar que personas no autorizadas accedan a su sala de servidores, incluidos … Tarjetas de identificación y distintivos de visitante Verificación biométricaCódigos o bloqueos digitales que requieren datos de inicio de sesión Garantías de verificación adicionales, como exigir que los guardias llamen a una empresa para asegurarse de que una persona realmente trabaje para ellos.
• Políticas y procedimientos que definen … Cómo los escritorios, laptops, dispositivos móviles o tabletas (estaciones de trabajo) pueden acceder a los datos y qué pueden hacer con ellos. Cómo se usa cada estación de trabajo más allá del acceso a los datos. Por ejemplo, un determinado software podría no tener acceso. estar autorizado a correr si se está ejecutando otro software en segundo plano. Cuándo y dónde se pueden usar estaciones de trabajo para acceder a PHI¿Cómo se deben proteger las estaciones de trabajo contra robo e intrusión? ¿Cómo se eliminarán los datos de las estaciones de trabajo que ya no están en uso? debe eliminarse, y cómo se asegurará de borrar por completo todos los datos.
• Documentación de todos los medios físicos utilizados para acceder o administrar su PHI.
• Copia de seguridad de datos en todas las estaciones de trabajo.
• Asegure el acceso físico a sus ubicaciones de almacenamiento de datos en caso de una emergencia.

fuente: La lista de verificación de cumplimiento HIPAA: todo lo que necesita saber para proteger los datos del paciente | Liberty Center One

Asegúrese de que su escritura no divulgue la PHI de ninguna manera. Siempre que describa sus experiencias sin divulgar los detalles del paciente, estará bien.

Como referencia, recuerde los 18 identificadores que pueden representar PHI. El siguiente enlace lo ha descrito:

Comité de UC Berkeley para la protección de sujetos humanos

No incluya ninguna información que pueda usarse para identificar a nadie. Es común desidentificar cosas para compartirlas de una manera compatible con hipaa.

Para qué cosas de identificación para evitar, ver:

¿Qué es exactamente ePHI? ¿Quién tiene que preocuparse por eso? ¿Dónde se puede ubicar de forma segura?

La primera y muy importante regla es no mencionar ninguna información del paciente en su ensayo. Puede generalizar su extracto pero no puede usar detalles.

Si no menciona los detalles de todos modos, no estará violando HIPAA.

¡Por supuesto! No los nombrará ni identificará a pacientes y familias de ninguna manera. ¡Pienso que es una idea genial!

No mencione a nadie por su nombre, y evite hablar sobre los detalles del caso. Enfócate en lo que hiciste y en lo que aprendiste.