Ano ang Ibig Sabihin ng “HIPAA-Compliant” at “Encrypted” sa Pamilya

Umiiral ang mga patakaran ng HIPAA sa mga covered entity: mga health plan, health care clearinghouse, at mga health care provider na nagpapadala ng health information nang electronic para sa paniningil at katulad na transaksiyon, kasama ang mga business associate na humahawak ng impormasyong iyon para sa kanila.¹ Hindi covered entity ang anak na babaeng nag-iingat ng listahan ng gamot ng nanay niya. Hindi rin ang group chat ng pamilya, ang pinagsasaluhang spreadsheet, o ang karamihan sa mga app na ang pamilya mismo ang nag-download.

Kaya diretsong sinasabi ng FTC sa mga mamimili na, hindi tulad ng doktor ninyo, maaaring hindi sakop ng mga batas sa health privacy gaya ng HIPAA ang isang health app, at ang privacy notice ng app ang tanging mapagbabatayan ninyo.⁵ Kaya rin umiiral ang Health Breach Notification Rule ng FTC: mula 2024, inaatasan nito ang mga app na humahawak ng health information at hindi sakop ng HIPAA na sabihan ang mga tao kapag na-breach o naibunyag ang impormasyong iyon nang walang awtorisasyon.²

Walang ahensiya ng gobyerno na nagse-certify sa isang app bilang HIPAA-compliant. Kapag sinabi ito ng isang kompanya, inilalarawan nito ang sarili nitong mga gawi: na hinahawakan nito ang impormasyon sa paraang hihingin ng mga patakaran sa isang covered entity, at madalas na pipirma ito ng business associate agreement kung gagamitin ito ng isang provider. Parehong mabuti ang mga iyon. Pero wala sa dalawa ang inspeksiyon. Dahil dito, HIPAA-aligned ang sinasabi ng CareCoordinate: sinusunod nito ang mga gawing inilalarawan ng mga patakaran, at iyon ang tapat na salita.

Kaya ituring ang label bilang simula ng usapan. Ang kapaki-pakinabang na kasunod na tanong ay: ano, eksakto, ang ginagawa ninyo? Ang susunod na bahagi ang checklist.

Pinapangalanan ng security standards ng HIPAA para sa electronic health information ang mga pananggalang sa simpleng salita: access control para ang mga taong binigyan lang ng access ang makakita ng impormasyon, audit controls na nagtatala at sumusuri ng aktibidad, authentication para patunayang ang isang tao ay siya ngang sinasabi niya, at transmission security para bantayan ang impormasyong dumadaan sa network.³ Dalawang beses lumalabas ang encryption sa listahang iyon, para sa nakaimbak na impormasyon at para sa impormasyong ipinapadala, na parehong may markang addressable, ibig sabihin ay dapat itong ipatupad ng organisasyon o idokumento kung bakit makatwiran ang katumbas na hakbang.³

Para sa isang pamilya, ganito ang salin nito. Itanong kung naka-encrypt ang impormasyon kung saan ito nakaimbak, hindi lang habang papunta sa server. Itanong kung nagtatala ang app kung sino ang tumingin at nagbago ng ano, para may sagot sa tanong pagkalipas ng ilang buwan. Itanong kung paano pinapatunayan ng isang tao kung sino siya, at kung maaalis ang access sa mismong araw na umalis sa circle ang isang caregiver. Kaya itong sabihin sa isang pangungusap ng kompanyang talagang gumagawa ng mga ito.

Naka-encrypt ba ang impormasyon ng pamilya ko kapag nakaimbak at kapag ipinapadala? Sino sa kompanya ninyo ang makakabasa nito, at sa ilalim ng anong mga patakaran? May ibinabahagi o ibinebenta ba sa ibang kompanya, pati para sa advertising? May audit record ba ng access at mga pagbabago? Maaalis ko ba agad ang access ng isang tao? Mai-e-export ko ba ang lahat at mabubura ang account, at gaano katagal bago tuluyang mawala ang data? Ano ang mangyayari, at sino ang sasabihan, kapag nagkaroon ng breach? Dapat sagutin ng privacy notice ang karamihan sa mga ito; ang payo ng FTC ay basahin ito para malaman kung ano ang kinokolekta, paano ito ginagamit at kung ibinabahagi ito, at tingnan ang mga setting para sa kung ano ang kontrolado ninyo.⁵

Ang patakarang sumasaklaw sa mga doktor ng magulang ninyo ay tumutulong din sa inyo. Maaaring magbahagi ang provider ng impormasyong may kinalaman sa pagkakasangkot ng isang kapamilya sa pag-aalaga sa pasyente kapag pumayag ang pasyente, nabigyan siya ng pagkakataong tumutol at hindi tumutol, o, kapag hindi makapagpasya ang pasyente, kapag sa palagay ng provider ay ito ang pinakamabuti para sa pasyente.⁴ Iyon ang probisyong nasa likod ng doktor na kumakausap sa anak na babae sa exam room, at iyon ang ituturo kapag sinabi ng isang opisina na ipinagbabawal ito ng HIPAA. Para sa mga papeles na gagawing madali at karaniwan ito, tingnan ang gabay namin tungkol sa mga dokumentong dapat itanong ng bawat family caregiver.