¿Los identificadores internos de pacientes se consideran PHI en virtud de HIPAA?

Question

¿Los identificadores internos de pacientes se consideran PHI en virtud de HIPAA?

#1 de Herringbone Cat (2 votos)

2

Utilizamos GUID para identificar internamente a los pacientes en nuestro sistema. Estoy debatiendo con nuestra gente reguladora sobre si estos identificadores se pueden usar en cadenas de consulta para llamadas REST.

Afirman que cualquier identificador de paciente se convierte en PHI una vez que se expone fuera del sistema. Estoy argumentando que para asignar este identificador a la PHI, o bien necesita acceso al almacén de datos o necesita tener un registro válido en el sistema y los controles de acceso están en su lugar.

Para las partes que no tienen acceso al almacén de datos y no tienen un inicio de sesión válido, la recuperación de PHI no es posible (salvo una infracción de seguridad).

¿Alguien tiene experiencia con esto? ¿Los identificadores utilizados internamente se consideran PHI según HIPAA? ¿Alguien puede indicarme la sección correspondiente en la ley ?

legal compliance identification hipaa

pregunta MvdD 11.06.2015 - 20:27

fuente

1 respuesta

Lea otras preguntas en las etiquetas legal compliance identification hipaa

VPN teórica y cadena de encriptación Tor ¿Cómo instalar aplicaciones web de forma segura en hosts que no son de confianza?

score 2 · Answer 1

PHI significa tener cualquier parte de información de identificación vinculada con cualquier tipo de datos clínicos, por ejemplo, un diagnóstico, código CPT, etc.

Por lo tanto, un identificador interno del paciente por sí solo no se considera PHI. La publicación de un identificador interno simple no es una violación, ni tampoco es una violación de ninguna de las regulaciones de la HIPAA que conozco.

Una vez que una parte no autorizada puede usar ese identificador para identificar a la persona en cuestión; entonces tenemos un problema.

Sin embargo, las mejores prácticas dictarían que proteja estos identificadores de la misma manera que otros datos en la base de datos. Puede haber cambios en las regulaciones de HIPAA en algún momento que desaprueban esta práctica. También me aseguraría de que la consulta REST sea de un sistema seguro y confiable; o busque otra forma de consultar esta información para evitar futuros dolores de cabeza en el cumplimiento.

Puedes leer el texto completo de las secciones que estoy interpretando aquí: enlace