HIPAA & RTLS nel settore sanitario.
Le missioni RTLS ospedaliere toccano regolarmente PHI — a volte ovviamente (tag del flusso del paziente), a volte incidentalmente (badge del personale che corrispondono anche ai pazienti assegnati).
Si applica la HIPAA. Questo è il riepilogo a livello operatore di ciò che cambia nel dispiegamento.
Cosa conta come PHI in un contesto RTLS
Il PHI interagisce ogni volta che i dati di localizzazione possono essere collegati a un paziente identificabile. Etichettare una pompa d'infusione non è PHI. Etichettare un braccialetto paziente lo è.
Etichettare i badge del personale che possono essere assegnati a un paziente specifico in un dato momento può essere PHI per combinazione.
La scelta giusta dell'architettura è: separare l'infrastruttura di localizzazione dal livello di identificazione del paziente, con join controllati.
Accordi di Associato in Affari (BAA)
Qualsiasi fornitore RTLS la cui piattaforma memorizza, elabora o trasmette PHI per tuo conto è un Business Associate e richiede un BAA. Questo include piattaforme RTLS ospitate nel cloud (la maggioranza), operatori di servizi gestiti e partner SI con accesso alla piattaforma.
I fornitori che rifiutano di firmare un BAA non possono ospitare implementazioni collegate a PHI — questo esclude un numero significativo di fornitori RTLS altrimenti forti. Verifica la disponibilità alla BAA fin dall'inizio.
Accesso minimo necessario e basato sul ruolo
La regola minima necessaria dell'HIPAA significa che il personale clinico dovrebbe vedere solo i dati di localizzazione necessari per il proprio ruolo.
Gli infermieri vedono il flusso di pazienti nel loro reparto; il biomed vede la posizione delle attrezzature; la sicurezza vede l'accesso alla zona; Nessuno vede tutto di routine.
Questo richiede accesso basato sui ruoli a livello piattaforma con audit logg. Le configurazioni predefinite dei fornitori raramente implementano questo bene — è una decisione di progettazione di fase 1.
Crittografia, audit e risposta alle violazioni
La PHI nei sistemi RTLS deve essere criptata durante il transito (TLS 1.2+) e a riposo (AES-256). I log di audit devono includere ogni accesso PHI e essere conservati secondo la legge statale (tipicamente per 6 anni).
La risposta alle violazioni — inclusa la finestra di notifica di 60 giorni — deve essere rispettata dalla SOP. Progettiamo le procedure di sicurezza e risposta alle violazioni come parte dei deliverable della fase 1 / fase 3, in collaborazione con il vostro ufficio privacy.
Domande frequenti
Possiamo distribuire un sistema RTLS che non tocchi affatto PHI?
Sì, per le missioni solo con equipaggiamento. Etichetta pompe, letti e sedie a rotelle, non pazienti o badge del personale, e il sistema è fuori dalla portata HIPAA. Questa è la strada più semplice per programmi biomedici/di utilizzo delle attrezzature.
Quali fornitori RTLS firmeranno un BAA?
La maggior parte dei fornitori di assistenza sanitaria enterprise - RTLS lo farà (Stanley Healthcare, CenTrak, Sonitor, Kontakt .io, Aruba, Cisco).
Alcuni fornitori industriali non lo faranno — non sono in questo mercato. Verifichiamo la disponibilità alla BAA durante la selezione dei fornitori nella fase 1.
Come viene gestita la segnalazione della conformità all'igiene delle mani secondo l'HIPAA?
Con attenzione. La rendicontazione aggregata di conformità a livello di unità o turni è generalmente al di fuori della HIPAA.
La conformità individuale del personale, attribuibile a un clinico nominato che tratta un paziente nominato, può coinvolgere la HIPAA a seconda del contesto. La maggior parte dei programmi riporta a livello di unità sia per ragioni HIPAA che per motivi di relazioni di lavoro.
Abbiamo bisogno di un pacchetto di audit in stile OCR?
Consigliato. Prepariamo un pacchetto di audit di implementazione che copre la valutazione del rischio, i controlli tecnici, i registri di formazione, l'inventario BAA, la SOP di risposta alle violazioni e le prove di monitoraggio continuo.
Aggiornato annualmente o in caso di cambiamenti materiali.
Ultimo aggiornamento: