HIPAA – co to jest i dlaczego ma kluczowe znaczenie dla firm online w USA?

Każda firma, która działa na amerykańskim rynku i która ma dostęp do danych o stanie zdrowia swoich użytkowników, musi chronić je zgodnie z regulacjami HIPAA. Przepisy tej prawie trzydziestoletniej ustawy dosyć dobrze opisują najważniejsze zasady w zakresie ochrony danych poufnych; warto je poznać.

HIPAA – co to takiego? Kogo dotyczy ta ustawa?

HIPAA, czyli Health Insurance Portability and Accountability Act, to amerykańska ustawa uchwalona w 1996 roku, czyli pod koniec pierwszej kadencji Billa Clintona, której głównym celem jest ochrona prywatności pacjentów i wrażliwych danych zdrowotnych – zarówno w dokumentach papierowych, jak i w formie cyfrowej. Przepisy te regulują m.in. to, kto i w jakich sytuacjach może uzyskać dostęp do chronionych informacji medycznych (PHI) osób trzecich, jak należy je przechowywać oraz jakie procedury bezpieczeństwa powinny obowiązywać w organizacjach, które obsługują te dane.

W treści HIPAA wyróżnia się dwie grupy organizacji objętych przepisami:

1. Covered entities – czyli podmioty bezpośrednio świadczące usługi medyczne lub ubezpieczeniowe: szpitale, kliniki, gabinety lekarskie, firmy ubezpieczeniowe itd.
2. Business associates – firmy i organizacje współpracujące z sektorem ochrony zdrowia, które mają dostęp do danych pacjentów, a więc o wiele szersza grupa. Mogą to być np. dostawcy oprogramowania medycznego, firmy IT obsługujące dane pacjentów w aplikacjach SaaS, kancelarie prawne czy nawet… agencje marketingowe prowadzące kampanie dla podmiotów medycznych.

Najważniejsze zasady HIPAA

HIPAA jest bardzo obszerną ustawą; przez lata dodawano do niej nowe regulacje, głównie pod kątem bezpieczeństwa danych cyfrowych. Ale najważniejsze są trzy zasady.

Privacy Rule

Czyli zasada prywatności. Privace Rule określa, jakie konkretnie dane są uznawane za chronione informacje zdrowotne, kto może przetwarzać te dane i w jakich sytuacjach można je udostępniać. W skrócie chodzi o wszystkie informacje, które mogłyby umożliwić identyfikację tożsamości osoby w kontekście jej zdrowia, czyli: imię i nazwisko, numer ubezpieczenia, adres, wyniki badań, historię chorób, recepty, a nawet nagrania głosowe czy zdjęcia.

Standardem jest tu podejście minimum necessary – czyli wolno gromadzić i używać tylko tych danych, które są absolutnie niezbędne do wykonania danej usługi.

Security Rule

A więc zasada bezpieczeństwa, która skupia się głównie na elektronicznych danych zdrowotnych (ePHI) i wprowadza wymóg stosowania zabezpieczeń danych na trzech poziomach: 

• administracyjnym – tu chodzi np. o jasne procedury dot. tego, kto ma dostęp do jakich danych wewnątrz organizacji, o przeprowadzanie audytów i szkoleń (istnieją nawet firmy zajmujące się udzielaniem certyfikatów HIPAA)
• fizycznym – m.in. ścisła kontrola dostępu do serwerów, stosowanie monitoringu czy przechowywanie kopii zapasowych;
• technicznym – czyli szyfrowanie danych na serwerach i w trakcie transmisji, wieloskładnikowe uwierzytelnianie dostępu do systemów IT oraz zbieranie logów systemowych, które pozwolą sprawdzić, kto i kiedy miał dostęp do danych.

Breach Notification Rule 

Jako że żadne zabezpieczenia nie dają stuprocentowej pewności, HIPAA obejmuje też dokładne wytyczne co do tego, jak zgłaszać ewentualne incydenty. Jeśli dojdzie do naruszenia, na przykład na skutek ataku ransomware albo… kradzieży laptopa z bazą pacjentów, organizacja ma obowiązek powiadomić o tym:

• wszystkie poszkodowane osoby;
• amerykański Departament Zdrowia i Opieki Społecznej
• a jeśli wyciek dotknął dane co najmniej 500 osób – także i media.

Czas na zgłoszenie zależy od skali wycieku, ale co do zasady jest to maks. 60 dni od wykrycia.

Dlaczego warto się zainteresować HIPAA (nawet w Polsce)?

Na terenie Unii Europejskiej obowiązują nas inne reguły jeśli chodzi o ochronę danych wrażliwych – osławione RODO – choć są one w wielu punktach podobne do tych amerykańskich. 

Natomiast jeśli świadczysz, powiedzmy, usługi IT na międzynarodowym rynku; tworzysz oprogramowanie medyczne, aplikacje zdrowotne, nawet i budujesz strony dla organizacji z sektora ochrony zdrowia – standardy HIPAA warto znać i wdrażać tak samo, jak choćby najlepsze praktyki SEO. Amerykańskie firmy siłą rzeczy szukają takich partnerów i dostawców, którzy są w stanie zagwarantować zgodność z HIPAA. Jeśli możesz się tym pochwalić, pokazujesz, że Twoja organizacja poważnie traktuje bezpieczeństwo informacji… i otwierasz sobie drogę do współpracy na kolejnym rynku.