HIPAA & RTLS dans le secteur de la santé.
Les déploiements RTLS hospitaliers touchent régulièrement les PHI — parfois de façon évidente (marquage du flux des patients), parfois de façon incidente (badges du personnel qui correspondent aussi aux patients assignés).
La HIPAA s’applique. Voici le résumé au niveau opérateur des changements dans le déploiement.
Qu’est-ce qui compte comme PHI dans un contexte RTLS
Le PHI intervient chaque fois que les données de localisation peuvent être reliées à un patient identifiable. Marquer une pompe d’infusion n’est pas du PHI. Marquer un bracelet patient l’est.
Identifier les badges du personnel qui peuvent être attribués à un patient spécifique à un moment donné peut être PHI par combinaison.
Le bon choix architectural est : séparer l’infrastructure de localisation de la couche d’identification du patient, avec des jointures contrôlées.
Accords d’Associés d’Affaires (BAA)
Tout fournisseur RTLS dont la plateforme stocke, traite ou transmet des PHI en votre nom est un associé commercial et nécessite un BAA.
Cela inclut les plateformes RTLS hébergées dans le cloud (la majorité), les opérateurs de services gérés et les partenaires SI avec accès à la plateforme.
Les fournisseurs qui refusent de signer un BAA ne peuvent pas héberger de déploiements liés à PHI — cela disqualifie un nombre significatif de fournisseurs RTLS autrement solides. Vérifiez la volonté de BAA dès le début.
Accès minimum nécessaire et basé sur les rôles
La règle du minimum nécessaire de la HIPAA signifie que le personnel médical ne doit voir que les données de localisation dont il a besoin pour son rôle.
Les infirmières voient le flux de patients dans leur unité ; Biomed voit l’emplacement des équipements ; la sécurité voit l’accès à la zone ; Personne ne voit tout de façon routinière.
Cela nécessite un accès basé sur les rôles au niveau de la plateforme avec un journal d’audit. Les configurations par défaut des fournisseurs implémentent rarement cela bien — c’est une décision de conception de première phase.
Chiffrement, audit et réponse aux violations
Les PHI dans les systèmes RTLS doivent être chiffrés en transit (TLS 1.2+) et au repos (AES-256). Les journaux d’audit doivent relever chaque accès aux PHI et être conservés conformément à la loi de l’État (généralement 6 ans).
La réponse à la violation — y compris la fenêtre de notification de 60 jours — doit être respectée par la procédure standard.
Nous concevons les procédures de sécurité et de réponse aux violations dans le cadre des livrables de l’étape 1 / 3, conjointement avec votre service de confidentialité.
Questions fréquemment posées
Peut-on déployer un système RTLS qui ne touche pas du tout aux PHI ?
Oui, pour les déploiements uniquement avec l’équipement. Placez les pompes, les lits et les fauteuils roulants, pas les badges des patients ou du personnel, et le système est hors du champ de la loi HIPAA.
C’est la voie la plus simple pour les programmes biomédicaux/utilisation des équipements.
Quels vendeurs RTLS signeront un BAA ?
La plupart des fournisseurs de soins de santé pour les entreprises - RTLS le feront (Stanley Healthcare, CenTrak, Sonitor, Kontakt .io, Aruba, Cisco).
Certains fournisseurs industriels ne le feront pas — ils ne sont pas sur ce marché. Nous vérifions la volonté de BAA lors de la présélection des fournisseurs à l’étape 1.
Comment le reporting de conformité à l’hygiène des mains est-il géré selon la HIPAA ?
Prudemment. Le rapport de conformité global au niveau de l’unité ou du service est généralement en dehors de la HIPAA.
La conformité individuelle du personnel, attribuable à un clinicien nommé traitant un patient nommé, peut faire appel à la HIPAA selon le contexte. La plupart des programmes rapportent au niveau des unités, tant pour des raisons HIPAA que pour les relations de travail.
Avons-nous besoin d’un pack d’audit de type OCR ?
Recommandé. Nous constituons un pack d’audit de déploiement couvrant l’évaluation des risques, les contrôles techniques, les dossiers de formation,
l’inventaire des BAA, les procédures opérationnelles opérationnelles de réponse aux violations et les preuves de surveillance continue.
Mise à jour annuelle ou en cas de changement de matériel.
Dernière mise à jour :