Чи потрібен мій мобільний додаток, щоб відповідати HIPAA?

HIPAA означає Закон про переносимість та підзвітність медичного страхування.

Цей закон розпочався в 1996 році з метою захист та ведення приватних медичних записів та персональної інформації про здоров’я фізичних осіб.

"PHI"визначається як інформація, знайдена в медичній картці пацієнта, яка, можливо, може бути використана для ідентифікації цієї особи, і яка з’явилася під час отримання медичної послуги, наприклад, діагностика чи лікування.

HIPAA застосовується і повинен дотримуватися таких постачальників медичних послуг, як лікарі, стоматологи та аптеки, а також медичних планів, таких як медичні страхові компанії, державні програми та HMO, і, нарешті, інформаційні центри охорони здоров’я, такі як обробники медичної інформації.

Мобільні програми будуть також підпадають під сферу дії HIPAA якщо додаток торгує та зберігає ІРЗ користувача, і поділяє цей PHI з одним із вищезазначених суб’єктів.

Приклади PHI включати результати аналізів крові та інші результати медичних обстежень, платіжну інформацію, рецепти, на яких хтось перебуває, тощо.

Інформація, яка б не враховується як PHI згідно з HIPAA цілі включають дані про стан здоров'я, такі як спалені калорії, дані про втрату ваги, кроки, зроблені під час тренування, частоту серцевих скорочень та показники цукру в крові, доки не додається особиста інформація про користувача.

Наприклад, додаток MyFitnessPal не підпадає під дію HIPAA, оскільки не зберігає та не передає PHI.

Мобільний додаток дозволяє користувачам відстежувати дані про фізичну форму, такі як калорії, що споживаються за день, і скільки було зроблено кардіо-вправ. Цей вид інформації є не вважається PHI, але вважається "Інформацією про здоров'я споживачів".

Іншим прикладом популярного додатка для здоров'я, який не підпадає під дію HIPAA, є сімейство мобільних додатків Wahoo Fitness. Додатки Wahoo відстежують, скільки миль користувачі проїхали, пробігли і скільки ваги користувачі втратили на цьому шляху.

Як і мобільний додаток MyFitnessPal, ці дані є не вважається PHI для цілей закону HIPAA.

Контрольний список, щоб визначити, чи потрібно дотримуватись

Ось короткий контрольний список, щоб визначити, чи потрібно, щоб ваш мобільний додаток відповідав закону HIPAA:

Чи збирає ваш мобільний додаток, зберігає чи передає/передає особисту інформацію про здоров’я, таку як результати медичних тестів, інформацію про фармацевтику та ліки чи лікування, виставлення рахунків та інформацію про медичне страхування у постачальника медичних послуг чи іншої охоронної установи, охопленої HIPAA?

Якщо так, вам потрібно відповідати HIPAA
Якщо ні, перейдіть до №2 нижче

Чи має ваш мобільний додаток можливість збирати, зберігати чи ділитися особистими відомостями про здоров'я?

Якщо так, Ваш мобільний додаток повинен відповідати HIPAA
Якщо ні, вам не потрібно відповідати вимогам HIPAA

Приклади з мобільних додатків для охорони здоров’я

Додаток iTriage для здоров’я допомагає користувачам точно визначити вашу можливу хворобу та зв’язатися з потрібним лікарем, задаючи користувачам низку запитань про їх симптоми. Цей додаток зберігає PHI користувача і дозволяє користувачеві ділитися ним з лікарями, фармацевтами та іншими. Інформацію про призначення та призначення ліків також можна зберігати та керувати за допомогою програми iTriage.

Через це зберігання та обмін PHI користувачів, додаток iTriage підпадає під сферу дії HIPAA.

Політика конфіденційності iTriage включає ряд розділів, де згадується PHI, включаючи розділ, зазначений на зображенні нижче, де згадується HIPAA:

У розділі "Вибір та доступ" Політики конфіденційності iTriage користувачі повідомляють, що їх PHI не використовуватиметься та не використовуватиметься в маркетингових цілях, якщо вони не приймуть участь у цьому. Це дозволяє користувачам знати, що їх PHI захищений і не може передаватися без їх згоди:

Розділ "Безпека" повідомляє користувачам, що iTriage вживає заходів для забезпечення безпеки PHI, коли дані передаються або зберігаються на серверах програми або компанії. Це важливо, оскільки HIPAA був створений для захисту безпеки PHI, та наявність на місці безпеки - це вимога HIPAA для програм, які підпадають під її сферу застосування.

Додаток HealthTap дозволяє користувачам підключатись до лікарів за допомогою програми за допомогою текстових повідомлень, відеодзвінків та групових форумів, а також дозволяє цим користувачам обговорювати поглиблені проблеми зі здоров’ям та створювати плани лікування із справжніми лікарями через програму.

Мобільний додаток HealthTap підпадає під сферу дії HIPAA оскільки він збирає ІРЗ та передає його безпосередньо лікарю через додаток.

Незважаючи на те, що основна послуга програми зберігає інформацію користувачів анонімною та не передає жодну інформацію, що ідентифікує особу, преміум-послуги програми (HealthTap Prime та HealthTap Concierge) є конфіденційними, але не анонімними. Лікарі отримають доступ до ІРЗ користувача та іншу інформацію, що ідентифікує особу для цілей лікування.

Заява про конфіденційність HealthTap включає розділи про анонімність, безпеку та використання особистої інформації.

У розділі "Безпека" прямо згадується HIPAA і повідомляється користувачам, що додаток відповідає "стандартам безпеки HIPAA для всіх взаємодій, що підпадають під дію правил безпеки HIPAA".

Цей розділ продовжує інформувати користувачів, що "HealthTap є діловим партнером медичних працівників відповідно до федерального закону про приватність та безпеку охорони здоров'я, відомого як HIPAA".

"Особиста інформація" визначена для користувачів, і детальна інформація про використання та безпеку цієї інформації викладена:

Веб-сайт Doctor on Demand та його мобільний додаток дозволяють користувачам проводити відеозйомку з лікарем, коли їм це потрібно, без необхідності чекати годинами в кабінеті очікування або чекати тиждень, щоб отримати зустріч.

Оскільки і веб-сайт, і мобільний додаток збирають ІМТ користувача та передають його безпосередньо лікарю через додаток, воно підпадає під сферу дії HIPAA.

Політика конфіденційності Doctor on Demand дає користувачам дуже зрозуміле використання, використовуючи великі літери та помітний текст, що сайт збирає та передає особисту, медичну та медичну інформацію про своїх користувачів.

Існує окремий розділ HIPAA, який повідомляє користувачам, що служба та Політика конфіденційності розроблені відповідно до закону HIPAA, і що додаткову інформацію можна знайти в розділі "Повідомлення про конфіденційність":

У розділі "Повідомлення про конфіденційність" користувачі отримують інформацію про відповідальність лікарів на вимогу згідно з HIPAA, а також про те, які права користувачів передбачені законодавством:

Користувачі також інформуються про те, які типи медичної інформації збираються та як ця інформація використовується додатком. Інформація про стан здоров’я, така як результати тестів, діагнози та ліки, буде розкрита для лікування. Записи про послуги та витратні матеріали використовуються для цілей оплати, а інша медична інформація може використовуватися для покращення обслуговування клієнтів та навчання персоналу.

На відміну від вищезазначених додатків, які підпадають під дію HIPAA, мобільний додаток Strava фіксує маршрути бігу та їзди на велосипеді за допомогою GPS та відстежує, як далеко користувачі бігають або їздять на велосипеді.

В результаті, Мобільний додаток Strava не підпадає під дію HIPAA.

Політика конфіденційності Strava повідомляє користувачам, що особиста інформація не збирається, однак користувач може вибрати для введення в додаток таку інформацію, як те, яке обладнання використовується, які велосипедні маршрути користувач хоче намітити, та іншу інформацію, таку як ім'я, поштовий індекс та електронну адресу.

Жодна з цих відомостей не кваліфікується як PHI згідно HIPAA.

Strava все ще має розділ про безпеку передачі даних ("SSL"), але він займається захистом інформації про кредитні картки та захистом інформації про домашню адресу, а не захистом PHI.

Підсумовуючи, якщо ваш мобільний додаток займається збором, використанням та зберіганням особистої інформації про здоров’я користувачів, наприклад, ліків, результатів медичних тестів та планів лікування, і передає цей PHI до організації, яка підпадає під HIPAA (наприклад, лікарем, стоматологом або страховою компанією), Ваш бізнес та мобільний додаток повинні відповідати HIPAA.

Якщо ваш мобільний додаток має справу лише з інформацією про здоров’я споживачів, наприклад, відстеження прогресу тренувань за спаленими калоріями або втраченими кілограмами, пробіглими милями чи спаними годинами, Ваш мобільний додаток не повинен відповідати вимогам закону HIPAA.