Новый закон Техаса о хранении медицинских данных

Заметка Лизы Пратер (Lisa Prather - на фото слева) и Брендона фон Кригельштейна (Brandon von Kriegelstein - на фото справа) из фирмы Katten Muchin Rosenman LLP была опубликована 19 сентября 2025 года на сайте компании JD Supra

Лиза Пратер и Брендон фон Кригельштейн

Американский штат Техас вводит новые правила хранения электронных медицинских документов (electronic health records, EHR). Недавно принятый Сенатом штата законопроект Senate Bill 1188 (SB 1188, https://legiscan.com/TX/text/SB1188/2025 ) требует, чтобы с 1 января 2026 года любые электронные медицинские документы, находящиеся под контролем подпадающих под требования закона субъектов - физических и юридических лиц (covered entity), физически хранились в Соединенных Штатах (или на территории США). Это требование распространяется на все электронные медицинские документы независимо от того, были ли они созданы до 1 января 2026 года и хранятся ли самим подпадающим под требования закона лицом или же третьей стороной от имени такого лица.

Мой комментарий: Как это обычно бывает с подобными законами, принимаемыми влиятельными штатами США, данный закон затронет практически всю отрасль здравоохранения в США (в этом смысле он по своим последствиям мало отличается от законов, принимаемых на федеральном уровне), а также окажет существенное трансграничное воздействие. Вполне возможно, что впоследствии похожие законы будут приняты и другими штатами.

Как отмечается в законопроекте, термин «подпадающее под требования закона физическое или юридическое лицо» (covered entity) понимается согласно определению, данному в статье 181.001 Кодекса охраны здоровья и безопасности штата Техас. 

Термин охватывает практикующих врачей. 

Термин не охватывает:

• агентства по оказанию услуг на дому и в сообществах, лицензированные в соответствии с главой 142 Кодекса;
  
  
• учреждения сестринского ухода (nursing facility), лицензированные в соответствии с главой 242 Кодекса;
  
  
• учреждения постоянного ухода (continuing care facility), регулируемые в соответствии с главой 246 Кодекса;
  
  
• дома престарелых и инвалидов (assisted living facility), лицензированные в соответствии с главой 247 Кодекса;
  
  
• учреждения частичного ухода за пожилыми людьми и инвалидами (intermediate care facility), лицензированные в соответствии с главой 252 Кодекса;
  
  
• учреждения дневной активности и медицинских услуг (activity and health services), лицензированные в соответствии с главой 103 Трудового Кодекса (Human Resources Code); и
  
  
• поставщиков услуг в рамках программ Техаса проживания на дому (Texas home living, TxHmL) и предоставления услуг на дому и в сообществах (home and community-based services, HCS), которым предоставлены исключения.

В то же время Кодекс охраны здоровья и безопасности штата Техас (Health and Safety Code), раздел 2 «Здравоохранение», подраздел I «Медицинская документация» (Medical records, глава 181 «Защита персональных данных в составе медицинской документации» (Medical records privacy), статья 181.001 «Определения терминов» (Definitions) содержит следующее определение термина «подпадающее под требования закона физическое или юридическое лицо»:

(b) (2) «Подпадающее под требования закона физическое или юридическое лицо» (covered entity) означает любое лицо, которое:

(A) для получения коммерческой, финансовой или профессиональной выгоды, денежных гонораров или платежей, либо на кооперативной, некоммерческой или безвозмездной основе, - занимается, полностью или частично, обладая при этом реальными конструктивными знаниями, формированием, сбором, анализом, использованием, оценкой, хранением и/или передачей защищаемой медицинской информации (protected health information, PHI). 

Данный термин охватывает деловых партнёров, плательщиков за медицинские услуги, государственные органы и подразделения, организации по управлению информацией или компьютерами, школы, исследователей в сфере здравоохранения, медицинские учреждения, больницы, поставщиков медицинских услуг и лицо, поддерживающее интернет-сайты;

(B) становится обладателем защищаемой медицинской информации;

(C) получает и/или хранит защищаемую медицинскую информацию в соответствии с положениями настоящей главы Кодекса; или же

(D) является сотрудником, агентом или подрядчиком лица, подпадающего под подпункты (A), (B) или (C), в той мере, в какой этот сотрудник, агент или подрядчик создает, получает, получает, хранит, использует или передает защищаемую медицинскую информацию.

Предыдущий проект законопроекта содержал требование о том, чтобы электронные медицинские документы постоянно проживающих в штате Техас лиц (резидентов штата) были недоступны для лиц, находящихся за пределами США. В принятой окончательной версии этого положения нет; вместо этого требуется, чтобы подпадающие под требования закона лица обеспечили, что электронные медицинские документы резидентов Техаса «…были доступны лишь тем лицам, которым эта информация необходима для выполнения обязанностей в рамках трудовых отношений физического лица, связанных с лечением, оплатой или деятельностью по оказанию медицинского ухода» (см. https://legiscan.com/TX/text/SB1188/2025 ). 

Подпадающие под требования закона лица обязаны внедрить разумные и надлежащие административные, физические и технические меры безопасности для защиты конфиденциальности, целостности и доступности электронных медицинских документов. 

Учитывая требование законопроекта SB 1188 о хранении электронных медицинских документов на территории США, такие меры безопасности, скорее всего, как минимум должны будут включать системные ограничения на скачивание/копирование тех электронных медицинских документов, к которым осуществляется удаленный доступ, чтобы предотвратить непреднамеренное сохранение данных за пределами США.

В законопроекте термин «подпадающее под требования закона лицо» трактуется шире, чем он обычно понимается в соответствии с «Законом о переносимости и подотчётности медицинского страхования» (Health Insurance Portability and Accountability Act, HIPAA - этот закон США, принятый в 1996 году, содержит в своей 2-й части ряд положений, касающихся защиты медицинских данных и защиты неприкосновенности личной жизни – Н.Х.). Законопроект SB 1188 в значительной степени заимствует широко сформулированное определение данного термина, содержащееся в законе штата Техас о защите персональных данных в медицинских документах (Texas Medical Records Privacy Act ( https://statutes.capitol.texas.gov/Docs/HS/htm/HS.181.htm ), которое охватывает практически любую организацию/лицо, занимающиеся формированием, сбором, анализом, использованием, оценкой, хранением или передачей защищаемой медицинской информации (PHI). 

К ним относятся плательщики за медицинские услуги (например, страховые компании – Н.Х.), государственные учреждения, организации по управлению информацией и компьютерами, школы, исследователи в сфере здравоохранения, медицинские учреждения, больницы, поставщики услуг медицинского ухода и практикующие медицинские работники, деловые партнеры (в соответствие с определением в законе HIPAA) и поддерживает интернет-сайты лица, которые: 

• получает доступ к PHI; 
  
  
• получают или хранят PHI, или же
  
  
• являются сотрудниками, агентами или подрядчиками ранее упомянутых подпадающих под требования закона организаций. 

Следует отметить, что некоторые виды лиц не считаются «подпадающих под требования закона» SB 1188 (например, некоторые учреждения сестринского ухода, дома престарелых, учреждения постоянного ухода, учреждения частичного ухода, учреждения дневной активности и медицинских услуг, а также агентства, оказывающие услуги по поддержке на дому и в сообществах, поставщики услуг в рамках некоторых программ штата Техас).

Штрафы за несоблюдение нового закона могут быть значительными. Комиссия штата Техас по здравоохранению и социальным услугам (Texas Health and Human Services Commission) или другой соответствующий регулирующий орган уполномочены расследовать и налагать наказания и штрафы за несоблюдение требований, которые могут включать отзыв или приостановление действия лицензии/регистрации/сертификации. Кроме того, Генеральный прокурор Техаса может добиваться вынесения судебного запрета в отношении нарушителей и/или применения гражданско-правовых штрафов в размере от 5 до 250 тысяч долларов США в зависимости от конкретных фактов/обстоятельств правонарушения.

Хотя многие договоры управляемого медицинского обслуживания (managed care) уже накладывают ограничения на трансграничную передачу и хранения данных пациентов, в Техасе ранее не было отдельного закона, регламентирующего трансграничную передачу и хранение электронных медицинских документов, - не говоря уже о законе, действие которого распространялось бы на более широкую аудиторию, чем лица, заключающие договоры с плательщиками за медицинские услуги. 

Учитывая широкий охват положений о хранении данных в SB 1188 и возможность суровых штрафов за их несоблюдение, подпадающим под требования закона лицам в Техасе следует тщательно проанализировать свои текущие политики и процедуры хранения/доступа к данным электронных медицинских документов, а также свои договоры с третьими сторонами, чтобы обеспечить соблюдение положений SB 1188 к моменту вступления их в силу 1 января 2026 года.

Лиза Пратер и Брендон фон Кригельштейн

Источник: сайт компании JD Supra
https://www.jdsupra.com/legalnews/new-texas-law-on-storage-of-health-care-2830287/ 

США: Национальный институт стандартов и технологий начал публичное обсуждение новой редакции NIST SP 800-66r2 «Реализация требований по безопасности закона HIPAA»

Данная новость была опубликована на сайте и в новостной рассылке американского Национального института стандартов и технологий (National Institute of Standards and Technology, NIST) 21 июля 2022 года.

Американский Национальный институт стандартов и технологий (National Institute of Standards and Technology, NIST) 21 июля 2022 года выложил на своём сайте для публичного обсуждения первоначальный проект 2-й редакции специальной публикации NIST SP 800-66r2 (Revision 2) «Реализация требований по безопасности закона HIPAA: Руководство по ресурсам по вопросам кибербезопасности» (Implementing the Health Insurance Portability and Accountability Act (HIPAA) Security Rule: A Cybersecurity Resource Guide) объёмом 152 страницы, см. https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-66r2.ipd.pdf . Документ подготовлен Джефри Марроном (Jeffrey Marron, NIST).

Мой комментарий: Закон США о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) был принят в 1996 году. Первая часть данного закона (Title I) защищает рабочих и членов их семей от потери медицинской страховки в случае смены или потери работы. Для специалистов по безопасности и по управлению документами и информацией представляет интерес вторая часть данного закона (Title II), известная как «Положения об административном упрощении» (Administrative Simplification provisions, AS), предписывающая создание национальных стандартов электронных транзакций в здравоохранении и введение национальных идентификаторов для поставщиков услуг, медицинских страховых полисов и сотрудников. В ряде положений этой же части закона рассматриваются вопросы защиты медицинских данных и защиты неприкосновенности личной жизни. Эти стандарты должны повысить эффективность национальной системы здравоохранения за счёт широкомасштабного использования в отрасли электронного обмена данными. О законе HIPAA cм. также подборку постов на моём блоге http://rusrim.blogspot.ru/search/label/HIPAA   

Как отмечается в извещении NIST, требования по безопасности закона HIPAA (т.н. «Правило безопасности HIPAA - HIPAA Security Rule) уделяют особое внимание защите конфиденциальности, целостности и доступности «электронной защищаемой медицинской информации» (electronic protected health information, ePHI), которая хранится или поддерживается подпадающими под закон HIPAA организациями, в соответствии с обязательным для этих организаций «Правилом безопасности HIPAA».

Электронная защищаемая медицинская информация, которую подпадающая под закон HIPAA организация создает, получает, поддерживает или передает, должна быть защищена от разумно ожидаемых угроз, опасностей, недопустимого использования и/или раскрытия.

В данном документе содержатся практические рекомендации и ресурсы, которые могут использоваться подпадающими под закон HIPAA организациями любого размера для защиты электронной защищаемой медицинской информации и для лучшего понимания концепций безопасности, обсуждаемых в «Правиле безопасности HIPAA».

Новая редакция документа:

• Включает краткий обзор «Правила безопасности HIPAA»,
  
  
• Содержит рекомендации для подпадающих под закон HIPAA организаций по оценке и управлению рисками для электронной защищаемой медицинской информации,
  
  
• Описывает типичные действия, возможность реализации которых в качестве части своей программы информационной безопасности регулируемая организация может рассмотреть,
  
  
• Перечисляет дополнительные ресурсы, которые могут оказаться полезными для регулируемых организаций могут при реализации «Правила безопасности HIPAA».

Публичное обсуждение проекта продлится до 21 сентября 2022 года. Текст документа и указания по представлению замечаний и предложений см. на сайте NIST.

Источник: сайт NIST
https://csrc.nist.gov/publications/detail/sp/800-66/rev-2/draft
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-66r2.ipd.pdf

США: Новые положения закона HIPAA в 2022 году

Данная заметка была опубликована на сайте издания «Журнал HIPAA» (HIPAA Journal) 1 января 2022 года.

Мой комментарий: Закон США о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) был принят в 1996 году. Первая часть данного закона (Title I) защищает рабочих и членов их семей от потери медицинской страховки в случае смены или потери работы. Для специалистов по безопасности и по управлению документами и информацией представляет интерес вторая часть данного закона (Title II), известная как «Положения об административном упрощении» (Administrative Simplification provisions, AS), предписывающая создание национальных стандартов электронных транзакций в здравоохранении и введение национальных идентификаторов для поставщиков услуг, медицинских страховых полисов и сотрудников. В ряде положений этой же части закона рассматриваются вопросы защиты медицинских данных и защиты неприкосновенности личной жизни. Эти стандарты должны повысить эффективность национальной системы здравоохранения за счёт широкомасштабного использования в отрасли электронного обмена данными.

Прошло всего несколько лет с тех пор, как приобрели силу закона новые правила HIPAA (HIPAA Rules - речь идёт о подзаконном нормативном правовом акте, выпущенном в соответствии с законами HIPAA и HITECH – Н.Х.), однако в 2022 году ожидается внесение в них изменений. Последним обновлением правил HIPAA было Сводное правило HIPAA (HIPAA Omnibus Rule), введённое в 2013 году, в которое были включены новые требования, установленные Законом об использовании медицинских информационных технологий в клинической и экономической деятельности (Health Information Technology for Clinical and Economic Health Act, HITECH).

10 декабря 2020 г. Управление по гражданским правам (Office for Civil Rights, OCR) опубликовало Уведомление о предлагаемом нормотворчестве (Notice of Proposed Rulemaking, NPRM), в котором предложен ряд изменений в требования HIPAA об обеспечении неприкосновенности личной жизни (HIPAA Privacy Rule), и ожидается, что окончательная редакция правил будет выпущено в 2022 году; пока, однако, не сообщается, когда изменения HIPAA 2022 года вступят в силу и станут обязательными к исполнению.

В течение последних нескольких лет обсуждались новые правила HIPAA, включающие изменения в том, как защищаются документы о злоупотреблении психоактивными веществами и психическом здоровье. В рамках усилий по преодолению опиоидного кризиса Министерство здравоохранения и социальных услуг (Department of Health and Human Services, HHS) рассматривает возможность внесения изменений как в положения закона HIPAA, так и в положения части 2 главы 42 Свода федеральных нормативных актов (42 CFR часть 2), которые служат для защиты неприкосновенности частной жизни пациентов с расстройствами, связанными со злоупотреблением психоактивными веществами (Substance Use Disorder, SUD), которые обращаются за лечением в рамках поддерживаемых из федерального бюджета программ, для повышения уровня предоставляемого им ухода.

Многие группы заинтересованных сторон в сфере здравоохранения призывали более тесно согласовать положения части 2 главы 42 CFR с HIPAA, чтобы дать возможность практикующим врачам просматривать полную историю болезни пациентов, включая документы по SUD-расстройствам, чтобы получить полное представление об истории болезни пациента с целью принятия обоснованных решений о его лечении. Если подробности лечения SUD-расстройств утаиваются от врачей, существует риск того, что пациенту могут быть назначены опиоиды в восстановительный период. В этом вопросе в 2020 году был достигнут прогресс, но не за счет нормотворчества HHS или OCR, а в рамках Закона «О помощи, содействии и экономической безопасности в связи с коронавирусом» (Coronavirus Aid, Relief, and Economic Security Act, CARES).

Закон CARES 2020 года более тесно согласовал положения части 2 главы 42 Свода федеральных нормативных актов с положениями закона HIPAA. Этот закон был принят Конгрессом 27 марта 2020 года, с целью обеспечить каждому американцу доступ к необходимой ему медицинской помощи во время пандемии COVID-19, и смягчить экономические последствия пандемии коронавируса COVID-19.

Лица, страдающие от расстройств, связанных со злоупотреблением психоактивными веществами (SUD-расстройств), также должны были иметь возможность получать необходимое им лечение в период пандемии COVID-19, что означало необходимость внесения изменений в положения 42 CFR, часть 2 о конфиденциальности документов о пациентах с SUD-расстройствами.

Закон CARES улучшает положения 42 CFR, часть 2, расширяя возможности поставщиков медицинских услуг по обмену документами лиц с SUD-расстройствами, но одновременно ужесточает требования в случае нарушения конфиденциальности. Короче говоря, внесённые законом CARES изменения обеспечили более тесное согласование положений 42 CFR, часть 2, с законом HIPAA.

Изменения положений 42 CFR, часть 2, основаны на проекте «Закона о защите наследия Джессики Граб» (Protecting Jessica Grubb’s Legacy Act, https://www.congress.gov/116/bills/s1012/BILLS-116s1012is.pdf ), который был представлен сенаторами от штата Западная Вирджиния – республиканцем Капито (Capito) и демократом Манчином (Manchin). Вместо получения согласия от пациента с SUD-расстройством на каждый случай использования или раскрытия информации, и указания в формах согласия конкретных сторон, которым будет предоставлена соответствующая информация, пациенты могут дать широкое согласие на использование своих относящихся к SUD-расстройствам документов для целей лечения, оплаты и поддержки медицинской деятельности.

Впоследствии SUD-документы могут быть раскрываться подпадающим под действие закона субъектом или его деловым партнером, на любых основаниях, связанных с лечением, оплатой или оперативной деятельностью (Treatment, Payment, and Operations, TPO), как и в случае с HIPAA. Использование и раскрытие должны быть ограничены минимально необходимой информацией, и пациент может в любое время отозвать (в письменной форме) своё согласие. Закон CARES также позволяет передавать SUD-информацию органу общественного здравоохранения, если она обезличена в соответствии с правилами HIPAA.

Для пациентов с SUD-расстройствами были введены меры защиты, устанавливающие ограничения на использование документов о SUD-расстройствах в уголовных, гражданских или административных расследованиях или разбирательствах; также существуют запреты на дискриминацию пациентов, страдающих SUD-расстройствами. Будут применяться те же требования к уведомлению об утечках, что и в законе HIPAA, поэтому при любой утечке данных пациент должен быть уведомлен без неоправданной задержки, и не позднее 60 дней с момента обнаружения утечки.

Источник: сайт «Журнал HIPAA» (HIPAA Journal)
https://www.hipaajournal.com/new-hipaa-regulations/ 

США: Кибератаки на электронные медицинские документы усиливаются «экспоненциально»

Статья Джо Дэвидсона (Joe Davidson – на фото) была опубликована на сайте газеты «Вашингтон пост» 28 сентября 2016 года.

В этом году исполняется 20-я годовщина принятия в США Закона о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA), более известного как HIPAA. С момента его вступления в силу, офисы врачей, больницы и другие поставщики медицинских услуг стали очень осторожны с раскрытием информации.

Порой это удручает. У меня были случаи, когда мои поставщики медицинских услуг отказывались посылать мне мою информацию по электронной почте в связи с тем, что данный способ связи считается менее безопасным, чем ныне устаревшая практика отправки факсов.

Новый отчет (см. http://www.gao.gov/assets/680/679260.pdf ) Счётной палаты США (Government Accountability Office, GAO) показывает, что такая озабоченность обоснована, и в настоящее время - более, чем когда-либо.

В 2015 году утечки затронули 113 миллионов электронных медицинских документов, что стало большим скачком по сравнению с 12,5 миллионами документов годом ранее. В 2009 году эта цифра была менее 135 тысяч. Число официально зарегистрированных крупных взломов и утечек, затронувших документы более чем 500 человек, выросло с нуля в 2009 году до 56 в прошлом году, почти удвоившись по сравнению с 2014 годом.

Счетная палата отметила, что «Масштабы угрозы в отношении медицинской информации выросли в геометрической прогрессии», ссылаясь на исследование, проведенное в 2015 году консультационной фирмой KPMG.

Электронные медицинские документы не просто удобны. Для нашей фрагментированной системы здравоохранения они оказывают экономичную, ценную услугу. Современные технологии позволяют различным поставщикам услуг, - например, ведущему первичный прием врачу общей практики и врачу-специалисту, - обмениваться информацией о пациенте.

Без этого, качество медицинских услуг может пострадать, а расходы на здравоохранение – неоправданно вырасти.

«Отсутствие координации медицинского ухода может повлечь за собой ненужные или дублирующие анализы и процедуры, способные увеличить риск для здоровья пациентов и ухудшить результаты лечения», - пишет Счетная палата. Ранее GAO уже сообщало, что  фрагментация может увеличить расходы на здравоохранение на 148 миллиардов долларов, доведя их до 226 млрд. долларов в год.

Но за внедрение электронных медицинских документов есть своя цена. По мере того, как киберворы становятся смелее, действуют более творчески и более успешно, риски для наших персональных данных увеличиваются. Под угрозой оказываются самые разнообразные данные, начиная от номера социального страхования и до сведений о состоянии здоровья.

Здравоохранение считается настолько важной отраслью, что она была объявлена частью критически-важной национальной инфраструктуры. Критическая инфраструктура, как объясняется в отчете Счетной палаты, является «столь жизненно важной для Соединенных Штатов, что недееспособность или разрушение этих систем и активов окажет разрушительное воздействие на национальную систему общественного здравоохранения, на национальную безопасность и/или экономическую безопасность».

Хотя наша система здравоохранения, безусловно, из строя не выведена, данные об утечках и других инцидентах безопасности  показывают, что она сильно пострадала. В отчет GAO в качестве примеров приведены следующие инциденты:

• Компания Anthem, Inc., входящая в «Ассоциацию голубого креста и голубого щита» (Blue Cross and Blue Shield Association) в январе 2015 года сообщила о том, что в руки хакеров попали персональные данные около 79 миллионов человек, в том числе «имена, даты рождения, номера социального страхования, идентификационные номера в системе здравоохранения, домашние адреса, адреса электронной почты, а также сведения о занятости, такие, как данные о доходах».


• В том же месяце компания Premera Blue Cross, действующая в основном на Аляске и в штате Вашингтон, обнаружила, что кибер-злоумышленники получили несанкционированный доступ к её ИТ-системам. Первоначальная атака была в мае 2014 года и затронула 11 миллионов документов пациентов, в том числе «имена, адреса, адреса электронной почты, номера телефонов, даты рождения, номера социального страхования, идентификационные номера, информация о компенсации расходов на лечение, а также сведения о банковском счете».


• В июле 2014 года компания Community Health Services сообщила, о получении хакерами доступа к документам, содержавшим, в том числе, номера социального страхования, имена пациентов, даты рождения, адреса и номера телефонов 4,5 миллиона человек.


• Университет Калифорнии в Лос-Анджелесе (UCLA) сообщил в мае 2015 года о том, что кибермошенники украла большое количество данных, в том числе «персональные данные, такие как имена, адреса, даты рождения, номера социального страхования, номера медицинских документов, идентификационные номера страховых полисов и полисов Medicare, а также некоторые медицинские данные».

Кибератаки на медицинские документы учащаются, потому что они представляют ценность как для использования, так и для продажи.

«Преступники знают, что получить полные медицинские документы часто намного полезнее, чем отдельную финансовую информацию, такую, как информацию о кредите», отмечает GAO. «Электронные медицинские документы часто содержат обширную информацию о человеке».

По мнению председателя сенатского комитета по вопросам здравоохранения, образования, труда и пенсионного обеспечения сенатора Ламара Александера (Lamar Alexander, республиканец от штата Теннеси), Министерству здравоохранения и социальных услуг (Department of Health and Human Services, HHS), «в чьи задачи входит обеспечение защищенности и безопасности наших персональных медицинских документов», есть над чем поработать. Выпускаемым министерством руководствам трудно следовать; у него нет никаких метрик, так что нет и способа измерить эффективность контроля с его стороны; он не взаимодействует с другими федеральными органами исполнительной власти, которые могут неосознанно давать деньги налогоплательщиков компаниям, имеющим проблемы в области безопасности, и министерство к тому же выдает неактуальные технические советы.

Наиболее высокопоставленный представитель демократической партии в том же комитете сенатор Пэтти Мюррей (Patty Murray, штат Вашингтон, в свою очередь, говорит, что Конгресс должен «обеспечить наличие у Министерства здравоохранения ресурсов и поддержки, которые тому необходимы для внедрения мер и средств безопасности для защиты персональных данных».

Счетная палата сформулировала пять рекомендаций, направленных «на повышение эффективности выполнения Министерством здравоохранения своих контрольных и методических функций в вопросе обеспечения неприкосновенности частной жизни и защиты информации о здоровье». Министерство согласилось и сообщило о намерении реализовать три из этих рекомендаций. По двум другим оно своего отношения не высказало, но отметило, изучит вопрос о возможности реализовать и их тоже.

Слово предостережения: Если вы думаете, что можете доверять любому человеку в белом халате, то задумайтесь над следующими словами из отчета GAO: «инсайдеры систематически классифицируются как самая большая угроза».

Джо Дэвидсон (Joe Davidson)

Мой комментарий: Ясно, что электронные документы пришли навсегда и отказаться от них уже невозможно, за ними будущее. Также ясно, что любая электронная информация будет рано или поздно «слита» и украдена. С учетом этого стоило бы подумать о том, чтобы перенести акцент с защиты персональных данных от утечек (хотя заниматься этим все равно нужно) - на создание таких условий в обществе, когда украденными данными невозможно будет воспользоваться. Сейчас, например, в США возможности для извлечения выгоды из украденных медицинских данных неизмеримо больше, чем в России, что стимулирует активность киберпреступников.

Источник: сайт газеты «Вашингтон пост»
https://www.washingtonpost.com/news/powerpost/wp/2016/09/28/cyberattacks-on-personal-health-records-growing-exponentially/

США: На компанию Advocate Health наложен рекордный штраф за длительные нарушения требований закона HIPAA по защите медицинских данных

Заметка Джозефа Гёдерта (Joseph Goedert) была опубликована 5 августа 2016 года на сайте Information-Management.com

4 августа 2016 года на крупнейшую в американском штате Иллинойс медицинскую сеть Advocate Health Care ( https://www.advocatehealth.com/ ) был наложен самый крупный изо всех штрафов, которые когда-либо приходилось получать учреждениям здравоохранения, привлеченным к ответственности за несоблюдение требований закона HIPAA.

Мой комментарий: Закон о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) был принят в 1996 году. В ряде положений части II закона HIPAA рассматриваются вопросы защиты медицинских данных и защиты неприкосновенности личной жизни. См. также подборку http://rusrim.blogspot.ru/search/label/HIPAA

Управление Министерства здравоохранения США по гражданским правам (HHS Office for Civil Rights, OCR) оштрафовало Advocate на 5.55 миллиона долларов. Объявляя о наказании, Управление отметило, что размер штрафа стал «результатом масштабов и длительности нарушений (в некоторых случаях, начиная с момента введения законом правил обеспечения безопасности информации и документов), вовлечения Генерального прокурора штата в ход соответствующего расследования, а также большое количество граждан, чья информация была затронута в результате действий компании Advocate, являющейся одной из крупнейших систем здравоохранения в стране».

В заявлении, приуроченном к объявлению решения о штрафе, директор OCR Джоселин Сэмюэлс (Jocelyn Samuels) отметила: «Мы надеемся, что данное решение пошлёт сильный сигнал подпадающим под требования HIPAA организациям о том, что они должны проводить всесторонний анализ рисков и управлять рисками с тем, чтобы обеспечить безопасность электронной защищаемой информации о здоровье (protected health information) физических лиц».

В 2013 году компания Advocate представила три уведомления об отдельных инцидентах безопасности, имевших место в рамках дочерней компании Advocate Medical Group и затронувших около 4 миллионов человек.

Мой комментарий: Таким образом, в расчете на одного пострадавшего утечка персональных медицинских данных наказана на сумму менее чем в полтора доллара (порядка 100 рублей) :) Сами пострадавшие могут потерять (и часто реально теряют) многие тысячи долларов вследствие подобных инцидентов. Так что штраф хотя и большой, но на самом деле очень скромный по сравнению с теми потерями, которые могут быть у компании, если пострадавшие массово пойдут в суд за компенсациями.

В ходе последующего исследования Управление по гражданским правам выявило существенные недостатки:

• В том, как компания проводила оценку рисков, связанных с защищаемой электронной медицинской информацией;


• В том, как компания на практике реализовывала политики, процедуры и меры управления доступом на своих объектах для ограничения доступа к электронным медицинским документам;


• В том, как компания контролировала защиту медицинской информации своими деловыми партнерами и


• Как защищалась информация в незашифрованном ноутбуке, оставленном на ночь в незапертой автомашине.

В рамках плана корректирующих действий компания Advocat должна будет:

• Провести всесторонний анализ рисков для имеющейся у неё защищаемой медицинской информации;


• Реализовать общекорпоративный план управления в рисками;


• Регулярно оценивать изменения в оперативной деятельности и изменения внешних условий, влияющие на безопасность электронных медицинских данных;


• Представить отчет об использовании шифрования вместе с объяснениями по поводу применения устройств и оборудования без шифрования;


• Разработать программу ознакомления и подготовки персонала по вопросам обеспечения усиленной защиты персональных данных и безопасности;


• Представить план мониторинга хода выполнения компанией плана корректирующих действий; и


• Проанализировать и доработать политики в отношении использования мер защиты устройств и носителей информации, управления доступом на объекты и контроля над своими деловыми партнерами.

Компания Advocate опубликовала следующее заявление об урегулировании вопроса с OCR: «Защита неприкосновенности частной жизни и конфиденциальности наших пациентов и одновременное обеспечение самого высокого уровня медицинского ухода и услуг являются нашими главными приоритетами. Как и все отрасли, имеющие дело с постоянно меняющимся электронным ландшафтом и воздействием, которое тот оказывает на безопасность, мы усилили наши меры по шифрованию данных для предотвращения повторений инцидентов такого рода. Хотя по-прежнему нет никаких признаков того, что информация была злонамеренно использована, мы глубоко сожалеем о тех неудобствах, которые этот инцидент создал для наших пациентов. Мы намерены и дальше в полной мере сотрудничать с правительством в интересах совершенствования мер по защите неприкосновенности частной жизни наших пациентов».

Джозеф Гёдерт (Joseph Goedert)

Источник: сайт Information-Management.com
http://www.information-management.com/news/security/advocate-health-hit-with-record-hipaa-fine-for-lenghty-violations-10029464-1.html

США: Готовится руководство по правам пациентов на доступ к собственной медицинской информации

Заметка временного вице-президента по вопросам публичной политики Ассоциации руководителей в сфере медицинской информатики (College of Healthcare Information Management Executives, CHIME, http://chimecentral.org/ ) Лесли Кригштейн (Leslie Kriegstein – на фото) была опубликована 18 августа 2015 года на сайте «Медицинская информатика» (HCI - Healthcare Informatics).

Управление Национального координатора по использованию информационных технологий в медицине (Office of the National Coordinator for Health Information Technology, ONC), подчиняющееся Министерству здравоохранения США, объявляет о предстоящей публикации руководства по выполнению требований закона HIPAA и метрикам интероперабельности.

Основной урок: ONC отреагировало на поступающие из Конгресса запросы и на разочарование заинтересованных сторон в связи с отсутствием существенного обмена данными. В результате будут созданы дополнительные информационные ресурсы для поставщиков медицинских услуг.

Почему это важно: Управление Национального координатора по использованию информационных технологий в медицине (ONC) объявила о предстоящих усилиях по разъяснению прав граждан на доступ к собственным медицинским документам и подготовке отдельного руководства по количественной оценке степени совместимости (интероперабельности) ИТ-систем больниц.

Национальный координатор по использованию информационных технологий в медицине д-р Карен Де Сальво (Karen DeSalvo – на фото справа) отметила, что некоторые учреждения здравоохранения, ссылаясь на федеральные законы о защите неприкосновенности частной жизни, отказывают в предоставлении медицинских документов пациентам и их родственникам. Она рассказала, что в готовящихся к публикации в этом году методических материалах её ведомство постарается более четко разъяснить права граждан на доступ к собственным медицинским документам с соответствии с положениями закона HIPAA.

Мой комментарий: Закон о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) был принят в 1996 году. Первая часть данного закона (Title I) защищает рабочих и членов их семей от потери медицинской страховки в случае смены или потери работы. Вторая часть (Title II), известная как «Положения об административном упрощении» (Administrative Simplification provisions), предписывает создание национальных стандартов электронных транзакций в здравоохранении и введение национальных идентификаторов для поставщиков услуг, медицинских страховых полисов и сотрудников. В ряде положений этой же части закона рассматриваются вопросы защиты медицинских данных и защиты неприкосновенности личной жизни. Данные стандарты должны повысить эффективность национальной системы здравоохранения за счёт широкомасштабного использования в отрасли электронного обмена данными.

Отдельно в докладе для Комитета по ИТ-политике в здравоохранении (Health IT Policy Committee) ONC представило проект методологии оценки совместимости систем для использования при анализе деятельности по обмену информацией в больницах как в краткосрочной, так и длительной перспективе, см. https://www.healthit.gov/facas/sites/faca/files/HITPC_Data_Update_Presentation_2015-08-11.pdf. ONC обнародует окончательную редакцию этой методологии в составе «Дорожной карты интероперабельности» (Interoperability Roadmap), которая будет выпущена осенью 2015 года.

Методология будет использоваться для изучения того, как больницы отправляют, получают, отыскивают и используют медицинскую информацию; а также доступности для врачей электронной медицинской информации из источников за пределами больницы.

Лесли Кригштейн (Leslie Kriegstein)

Источник: сайт HCI - Healthcare Informatics
http://www.healthcare-informatics.com/article/washington-debrief-onc-announces-forthcoming-industry-guidance-hipaa-interoperability-metric

США: Федеральное правительство обновило руководство по выполнению требований закона HIPAA в отношении безопасности и защиты неприкосновенности частной жизни

Данная заметка Джозефа Гёдерта (Joseph Goedert – на фото) была опубликована 13 апреля 2015 года на сайте «Управление данными о здоровье» ( HealthDataManagement.com ).
   
Федеральное правительство США выпустило обновленные рекомендации по выполнению требований закона HIPAA в отношении обеспечения безопасности и неприкосновенности частной жизни, учитывающие ускоренный переход к интероперабельному обмену информацией о здоровье.

Мой комментарий: Закон о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) был принят в 1996 году. В ряде положений части II закона HIPAA рассматриваются вопросы защиты медицинских данных и защиты неприкосновенности личной жизни. См. также подборку http://rusrim.blogspot.ru/search/label/HIPAA 

Документ, подготовленный Управлением Национального координатора по использованию информационных технологий в медицине (Office of the National Coordinator for Health Information Technology, ONC) и Управлением Министерства здравоохранения по гражданским правам (HHS Office for Civil Rights, OCR), заменяет руководство, опубликованное в 2011 году.

Как отметила в своём посте на блоге директор ONC по защите персональных данных Лиси Сэведж (Lucia Savage), в руководство более детально, чем раньше, рассматриваются вопросы кибербезопасности. В соответствии с принятыми в 2014 году правилами сертификации ЭМК-систем обновлен и ряд других разделов, например, по вопросам доступа пациентов к их электронным документам. В документ также включены практические примеры правил обеспечения конфиденциальности и безопасности.

В руководство описан ряд сценариев, помогающих понять, когда лицо является (или не является) ассоциированным деловым партнером (business associate, BA - согласно закону, ассоциированные деловые партнеры также подпадают под требования HIPAA по обеспечению безопасности (Security Rule) и частично под требования об обеспечении неприкосновенности личной жизни (Privacy Rule), и под соответствующий контроль. Об этом см. подробнее здесь: http://rusrim.blogspot.ru/2013/02/hipaa-hitech-i.html - Н.Х.). Вот несколько примеров, предложенных ONC:

• Вы нанимаете субподрядчика, оказывающего услуги по выявлению тех Ваших страдающих диабетом пациентов, у которых высок риск несоблюдения предписанного им режима, и рекомендующего Вам оптимальные действия в отношении этих пациентов. Такой сервис является ассоциированным деловым партнером, действующим от Вашего имени, путем оказания Вам соответствующих услуг.


• Вы нанимаете веб-дизайнера для поддержки веб-сайта вашей врачебной практики и улучшения онлайн-доступа для пациентов, желающих просматривать / скачать или передавать свою медицинскую информацию. В интересах поддержания работоспособности сайта веб-дизайнеру требуется постоянный доступ к документам пациентов. Веб-дизайнер в таком случае также является ассоциированным деловым партнером.


• Вы нанимаете веб-дизайнера для поддержки веб-сайта вашей врачебной практики.  Дизайнер устанавливает новую электронную версию Уведомления о практике соблюдении конфиденциальности (Notice of Privacy Practices, NPP) и улучшает внешний вид и эргономику сайта. Дизайнер, однако, не имеет доступа к защищаемой медицинской информации. В этом случае веб-дизайнер не является ассоциированным деловым партнером.

Помимо этого, руководство содержит сценарии, поясняющие, как применяется шифрование, потребность в нем и те вопросы, которые следует задать поставщикам с тем, чтобы обеспечить достаточную защищённость информационных систем организации. Вот несколько примеров:

• Когда мои сотрудники пытаются общаться с сотрудниками разработчика медицинской информационной системы, как каждая из сторон будет себя аутентифицировать? Как, например, мои сотрудники, установят, что связавшийся с ними человек действительно является представителем разработчика, а не замаскировавшимся под него хакером?


• В каком объёме разработчик медицинской информационной системы будет иметь удаленный доступ к моей системе для обеспечения её поддержки и оказания других услуг? Как будет обеспечиваться безопасность такого удаленного доступа?


• Если я хочу вести защищённую электронную переписку со своими пациентами, позволит ли мне моя система сделать это в соответствии с требованиями правилом безопасности HIPAA?

Дополнительные рекомендации затрагивают вопросы такого рода, как:

• Когда подпадающее под положения закона HIPAA юридическое лицо может использовать сведения об оплате, оказанных медицинских услугах и т.п. без подписания заранее соответствующего документа;


• Как пациенты могут разрешить раскрытие своей защищаемой медицинской информации третьей стороне (например, другу или родственнику) без официального письменного оформления; и


• Как использовать сертифицированную на соответствие требования 2014 года ЭМК-систему для электронного информационного взаимодействия с пациентами, соответствуя при этом правилу безопасности закона HIPAA.

Целая глава, которую можно скачать отдельно, описывает «Примерный 7-этапный подход к реализации процесса управления безопасностью» (Sample Seven-Step Approach for Implementing a Security Management Process).

«Руководство по обеспечению конфиденциальности и безопасности электронной медицинской информации» (Guide to Privacy and Security of Electronic Health Information) 2-й редакции 2015 года доступно по адресу: http://www.healthit.gov/sites/default/files/pdf/privacy/privacy-and-security-guide.pdf 

Джозеф Гёдерт (Joseph Goedert)

Источник: сайт HealthDataManagement.com
http://www.healthdatamanagement.com/news/Feds-Update-HIPAA-Privacy-Security-Guidance-50257-1.html 

США: Остерегайтесь запросов на предоставление медицинских документов - Верховный суд штата Коннектикут опубликовал заключение, признающее халатностью несоответствие требованиям закона HIPAA по защите персональных данных

Заметка Кэтрин Сильвии (Kathryn Sylvia - на фото) из фирмы Robinson & Cole LLP была опубликована 3 апреля 2015 года на сайте «JD Supra Business Advisor».

Поставщики медицинских услуг и хранители их медицинских документов постоянно подвергаются давлению с целью заставить их раскрыть медицинские документы сразу же после получения требования на их предоставление (subpoena). Тем не менее, независимо от наличия требования о представлении документов и надоедливой настойчивости запрашивающего их адвоката, с учётом недавнего постановления Верховного суда Коннектикута по делу 314 Conn. 433 (2014) «Эмили Бирн (Emily Byrne) против Центра акушерства, гинекологии и перинатологии Avery» (см. http://www.gordonrees.com/Templates/media/files/pdf/314_Conn__433.PDF ), ответы поставщиков медицинских услуг на такие запросы должны, как никогда раньше, строго соответствовать положениям закона HIPAA (Health Insurance Portability and Accountability Act – «Закон о переносимости и подотчётности медицинского страхования», содержащий, в частности, положения, касающиеся защиты медицинских данных и неприкосновенности личной жизни – Н.Х.).

Для того, чтобы соответствовать правилам, установленным законом HIPAA, поставщики медицинских услуг сначала должны получить «достаточные подтверждения» того, что лицо, чьи медицинские документы запрашиваются, было уведомлено о таком запросе. Хотя в большинстве требований о предоставлении документов в той или иной форме говорится об уведомлении субъекта персональных данных, Верховный суд штата подчеркнул, что для того, чтобы по-настоящему подтвердить наличие достаточной уверенности в уведомлении, запрашивающий документы адвокат должен:

• Послать письменное уведомление субъекту персональных данных;


• Предоставить этому лицу информацию, достаточную для того, чтобы оно заявить свои возражения; и


• Дать этому лицу время на то, чтобы высказать свои возражения либо подтвердить, что возражений нет или что все спорные моменты были урегулированы.

Запрашивающий документы адвокат также должен подтвердить получение им до подачи требования судебного приказа (protective order), ограничивающего доступ к содержащейся в документах информации. В своём решении Верховный суд отметил, что недостаточно включить в требование заявление о том, что такой приказ будет получен, равно как и проект текста такого приказа. Надлежащий приказ уже должен быть получен в суде.

Следует помнить о том, что могут быть и другие законы штатов, относящиеся к защищаемой информации о здоровье (protected health information). Законы штатов могут быть более ограничивающими, чем HIPAA, в вопросах, касающихся «чувствительной» медицинской информации, такой, как сведения о лечении психических заболеваний или болезней, передающихся половым путем.

В соответствии с позицией, занятой в этом решении Верховным судом штата Коннектикут, к действующим в штате поставщикам медицинских услуг, не исполняющим требования HIPAA, могут быть предъявлены иски со стороны пациента (а также, возможно санкции со стороны штата) за халатность и причинение морального ущерба, в дополнение к возможному федеральному расследованию нарушений закона HIPAA.

Кэтрин Сильвия (Kathryn Sylvia)

Мой комментарий: Отмечу, что решение, принятое по актуальным вопросам высшим судов какого-нибудь одного из штатов США, часто быстро тиражируется другими штатами, - поэтому специалисты внимательно за ними следят.

Наша правовая система, конечно, отличается от американской, однако американский опыт правовой защиты медицинских персональных данных может в ближайшем будущем нам пригодиться по мере перехода медицинской отрасли на использование электронных документов.

Источник: сайт JD Supra Business Advisor
http://www.jdsupra.com/legalnews/beware-medical-records-subpoenas-connec-47917/ 

Взлом крупнейшей американской компании в сфере медицинского страхования Premera: Компания накануне успешно прошла государственный аудит

Статья Иана Томсона (Iain Thomson – на фото) была опубликована 23 марта 2015 года на сайте британского издания «The Register».

Судя по всему, закон HIPAA оказался в этой ситуации не слишком эффективен.

Мой комментарий: Закон о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA) был принят в 1996 году. В ряде положений части II закона HIPAA рассматриваются вопросы защиты медицинских данных и защиты неприкосновенности личной жизни.

Серьезные сомнения в эффективности введенных правительством США правил защиты персональных данных возникли после того, как выяснилось, что компания Premera Blue Cross – крупный игрок в области медицинского страхования - была признана «дядей Сэмом» надлежащим образом защищённой буквально за несколько месяцев до того, как этот гигант здравоохранения был взломан хакерами с целью получения доступа к финансовой и медицинской информации.

Мой комментарий: Дополнительную информацию об инциденте можно найти здесь: http://www.theregister.co.uk/2015/03/19/premera_blue_cross_is_sick_after_hackers_plunder_their_servers/ . Были скомпрометированы более 11 миллионов документов, содержащих финансовые и медицинские сведения, в том числе имена, даты рождения, адреса электронной почты и физические адреса, телефонные номера, номера социального страхования, банковские реквизиты, сведения о компенсации расходов на лечение, в том числе клинические данные. Хакерам досталось практически всё, что нужно для «кражи личности» и совершения мошеннических операций.

Компания прошла аудит компьютерной безопасности, который провёл федеральный контролирующий орган в январе 2014 года. В апреле 2014 года компании было сообщено о необходимость улучшений в ряде областей, и в июне она начала вносить нужные изменения. В конце года Premera получила официальный знак, показывающий её соответствие установленным законом HIPAA базовым национальным требованиям, обеспечивающие безопасное использование электронных медицинских документов.

На прошлой неделе стало известно, что на фоне всех этих событий Premera в мае 2014 года была незаметно взломана преступниками. Изменения в системе безопасности, сделанные после апреля-мая, возможно, уже опоздали.

Поскольку базирующаяся в Вашингтоне компания Premera является поставщиком медицинских услуг для персонала государственных органов и подпадает под положения федерального «Закона о медицинском страховании федеральных государственных служащих» (Federal Employees Health Benefits Act), то её аудит проводил Департамент управления персоналом (Office of Personnel Management, OPM). По итогам двухмесячного обследования были выявлены несколько требующих внимания областей:

• Сотрудники компании несвоевременно устанавливали обновления для используемого ими программного обеспечения, что делало их компьютеры уязвимыми для атак;


• Системные администраторы не договорились о «базовом» наборе конфигурационных установок, который бы обеспечивал безопасность систем не ниже определенного стандартного уровня.

В своём заключительном отчете, датированном 28-м ноября 2014 года, аудиторы отметили следующее:

• У компании Premera имелись документированные политики и процедуры управления обновлениями программного обеспечения. Тем не менее, результаты сканирования уязвимостей показали, что критически-важные исправления, пакеты обновлений и срочные исправления не всегда устанавливались своевременно. Ненадлежащая установка важных обновлений увеличивает риск того, что уязвимости не будут закрыты и станет возможной утечка конфиденциальных данных;


• Компания не в состоянии проводить эффективный аудит настроек безопасности своих серверов и баз данных, не имея утвержденной базовой конфигурации в качестве основы для сравнения. Неспособность установить и регулярно контролировать утвержденные параметры конфигурации системы увеличивает риск того, что система может не отвечать установленным организацией требованиям к производительности и безопасности.

Несмотря на все это, Premera была объявлена соответствующей требования закона HIPAA.
В заключительном отчет аудиторов отмечается, что «Мы не заметили ничего такого, что заставило бы нас усомниться в соответствии компании требования HIPAA в отношении обеспечения безопасности и защиты неприкосновенности частной жизни».

В отчете отмечено ещё несколько вызывающих озабоченность моментов. Для доступа к центру обработки данных компании использовалась ключ-карта, однако не использовался второй фактор аутентификации, такой, как биометрические данные. Также не было направленных на входы в серверные помещения камеры наблюдения, которые могли бы заметить одновременный вход в дверь двух человек при предъявлении только одного набора идентификационных данных.

Были отмечены недостатки, связанные с возможностью повторного использования паролей. Что касается планирования действий на случай катастроф, то аудиторы отметили наличие у компании Premera хорошего плана действий по восстановлению после катастроф. В то же время отсутствие базовой конфигурации для наиболее важных приложений могло бы не позволить быстро восстановить информацию.

Premera была ознакомлена с проектом отчета об аудите в апреле 2014 года, а в июне дала свой ответ, пообещав устранить все замечания до конца года, если не раньше. Но уже было слишком поздно - 5 мая хакеры успешно получили доступ к серверам, и взлом был замечен лишь в январе 2015 года.

Как сказал представитель Premera в интервью изданию «The Register», «Важно отметить, что проведенный OPM аудит не выявил у компании каких-то проблем с управлением безопасностью и с соблюдением стандартов безопасности HIPAA».

Сотрудники Premera, похоже, уверены, что выявленные аудиторами OPM в апреле недостатки не были использованы хакерами в мае; однако они признали, что расследование обстоятельств взлома продолжается. Либо преступники использовали уязвимости, также выявленные аудиторами, либо нет – но, как нам кажется, в таком случае уровень требований HIPAA является настолько низким, что они не в силах предотвратить сетевые вторжения.

«Мы не обнаружили свидетельств или указаний на то, что кибератака на компанию Premera стала следствием какого-то из выявленных аудиторами OPM недостатков. С тех пор мы реализовали корректирующие меры, которые обещали выполнить в нашем ответе. Установление источника атаки пока что остается частью продолжающегося расследования, которое проводит ФБР», - отметил пресс-секретарь компании.

Иан Томсон (Iain Thomson)

Источник: сайт издания «The Register»
http://www.theregister.co.uk/2015/03/23/premera_healthcare_hipaa/ 

«Доступ запрещён»: Нужно понимать, кто и как контролирует Ваши электронные медицинские документы

Заметка Рэйчел Ирвинг Питтс (Rachel Irving Pitts – на фото) была опубликована 25 сентября 2014 года на сайте «Национальное правовое обозрение» (National Law Review).

В начале этой недели моя коллега Диана Бурк (Dianne Bourque) прокомментировала ситуацию, когда в один из июльских дней небольшая медицинская практика не смогла получить доступ к медицинским документам своих пациентов после того, как поставщик используемой ею системы управления медицинскими документами (ЭМК-системы) заблокировал этой практике доступ к хранящимся в системе данным.

В статье, опубликованной в газете «Бостон глоб» (Boston Globe, см. http://www.bostonglobe.com/news/nation/2014/09/21/electronic-health-records-vendor-compugroup-blocks-maine-practice-from-accessing-patient-data/6ILpMv78NARDsrdU5O0T9N/story.html ), сам поставщик ЭМК-системы сравнил ситуацию с тем, как электрические компании отключают электроэнергию после нескольких месяцев неуплаты.

По мере развития технологий, мы отказываемся от «устаревших» способы ведения дел - наши беспроводные телефоны не будут работать в случае отключения питания, а врач, переключившийся на работу с использованием ЭМК-системы, уже не может схватить бумажную историю болезни с полки в случае её отключения. Основной целью, ради которой поставщиков медицинских услуг подталкивают к переходу на ЭМК, является упрощение оказания медицинских услуг - врачу в больнице не нужно ждать, пока от участкового врача будет привезена или передана по факсу карта с соответствующей медицинской историей; он лишь загружает соответствующий набор данных с историей пациента и может сразу приступить к его диагностированию и лечению. Но все эти удобства вылетают в форточку, если Ваша ЭМК-система перестает работать и Вы оказываетесь не в состоянии добраться до документов.

Наш лучший совет врачам, желающим избежать такого рода ситуации, - это, уделяя при заключении контракта с поставщиком ЭМК-систем особое внимание исполнению правил обеспечения безопасности и защиты персональных данных, принятым в соответствии с законом HIPAA (Закон о переносимости и подотчётности медицинского страхования - Health Insurance Portability and Accountability Act, HIPAA, был принят в США в 1996 году – Н.Х.) и требований об «осмысленном использовании», не упускать из виду другие практические аспекты взаимоотношений. Ваши взаимоотношения с ЭМК-поставщиком не должны оказаться превыше Ваших взаимоотношений с пациентами.

Вот несколько вопросов, которые желательно учесть в Ваших контрактах:

• Убедитесь, что в Ваших соглашениях с поставщиков ЭМК-систем указано, кто является владельцем данных, и что поставщик не сможет использовать «отключение от данных» в качестве средства давления в случае спора по контракту;


• Помните, что обеспечение резервного копирования данных является одним из требований, которое должно быть выполнено для соответствия закону HIPAA. Подпадающие под данный закон учреждения и организации обязаны поддерживать читаемые точные копии электронной персональной медицинской информации, поэтому неспособность обеспечить медицинский уход из-за потери доступа к данным может быть истолкована как неисполнение закона HIPAA.


• Включите в контракт положение о том, что в случае его расторжения любой из сторон и по любой причине, данные должны быть возвращены поставщику медицинских услуг. В соответствии с законодательством, поставщики медицинских услуг обязаны обеспечить хранение медицинских документов в течение установленных сроков, вне зависимости от того, продолжает ли их поставщик ЭМК-систем свою деловую деятельность или нет.


• Четко определите в соглашениях обязанности каждой из сторон - кто, что, когда и как.

Это лишь некоторые из множества вопросов, которые необходимо будет принять во внимание в ходе переговоров и заключение договоров с поставщиками ЭМК-систем. Поучительная история, приключившаяся с небольшой медицинской практикой в штате Мэн, - это повод для того, чтобы проанализировать Ваши существующие соглашения и оценить, не требуется ли внести в них большую четкость.

Основным лозунгом реформы здравоохранения (и, в том числе, обоснованием для подталкивания процесса перехода на ЭМК-системы) является достижение тройной цели: улучшение качества обслуживания пациентов, улучшение здоровья населения и снижение расходов в расчете на одного человека. Однако сбой в работе новой или усовершенствованной системы не будет способствовать достижению ни одной из этих целей. В конечном итоге, безопасность пациентов имеет первостепенное значение для всех заинтересованных сторон - и там, где у технологии есть в этом смысле определенные пределы, стороны должны заранее понимать, где будут находиться данные.

Рэйчел Ирвинг Питтс (Rachel Irving Pitts)

Источник: сайт «Национальное правовое обозрение» (National Law Review)
http://www.natlawreview.com/article/access-denied-understand-how-your-electronic-health-records-are-controlled

США: Методы уничтожения медицинских документов следует установить законом

Данная редакционная статья была опубликована 26 июня 2014 года в американской газете «Меркурий» (The Mercury), издаваемой в городе Потстацн, штат Пенсильвания (Pottstown, Pennsylvania).

Посещая врача, Вы рассчитываете на определенный уровень конфиденциальности. Вам нужна уверенность в том, что можно обсуждать связанные со здоровьем интимные подробности Вашей жизни, не опасаясь, что они могут быть разглашены. Поэтому столь тревожно было узнать о том, что, наверное, тысячи медицинских документов были обнаружены в общедоступных мусорных контейнерах на площадке для сбора мусора Управления по утилизации твердых отходов округа Йорк (York County Solid Waste Authority), расположенной рядом с его печью для сжигания отходов.

Обнаруживший документы Стэнли Хилл (Stanley Hill) собрал 47 дел, которые были разбросаны на земле возле мусорного контейнера. Не зная, что с ними делать, он передал их в местную газету York Daily Record, сказав, что нужно предупредить общественность об этой ситуации.

Хорошо, что эти дела нашел г-н Хилл, а не какой-нибудь злоумышленник. Документы, помимо сведений о заболеваниях пациентов, содержали их номера социального страхования и даты рождения - два элемента данных, которых занимающихся «кражей личности» мошенникам достаточно для того, чтобы разрушить жизнь человека.

Государственный департамент штата Пенсильвания проводит сейчас расследование инцидента, – оно началось после того, когда газета передала документы государственному органу штата, - но пока не ясно, что штат сможет сделать. Также не ясно, сможет ли принять какие-либо меры Министерство здравоохранения США.

Ушедший на пенсию в ноябре прошлого года врач Дейл Маккормик (Dr. R. Dale McCormick) признал, что уничтожал массив документов, накопившихся за время его врачебной практики. С этой целью он вместе с ещё одним человеком отвез документы в комплекс Управления по утилизации твердых отходов, расположенный в микрорайоне Манчестер Тауншип, где и бросил их в мусорный контейнер в общедоступной зоне комплекса.  По его словам, он не знает, каким образом документы оказались на мостовой - и отметил, за время его долгой карьеры у него никогда не было никаких проблем.

Федеральные законы и законы штата требуют от медицинских практик надлежащим образом уничтожать медицинские документы, но ни те, ни другие не регламентируют способы уничтожения. Да и фиаско с запуском проекта реформ в здравоохранении, проводимых президентом Обамой («Obamacare»), как-то не вселяет уверенность в том, что нынешняя администрация сможет обеспечить защищённость медицинской информации.

В данном случае доктор Маккормик, по-видимому, считал, что бросить документы в мусорный контейнер на площадке около печи для сжигания мусора, принадлежащей муниципальным властям, было достаточно для удовлетворения требованиям закона.

Министерство здравоохранения и социальных услуг (Department of Health and Human Services), которое следит за исполнением правил, принятых в соответствии с законом HIPAA, говорит, что медицинские учреждения «не вправе просто бросить» документы или выбросить их «в мусорные контейнеры или иные емкости, которые доступны для неавторизованных лиц. Тем не менее, правила по защите неприкосновенности частной жизни и обеспечению безопасности не предписывают использовать какой-то определенный метод уничтожения». Как сообщается на сайте Министерства здравоохранения, врачи несут ответственность за разработку политик, «разумных в плане защиты» неприкосновенности частной жизни пациентов.

Пока же, судя по всему, Управление по утилизации твердых отходов имеет более подробный план уничтожения содержащих персональные данные документов, чем федеральное правительство и власти штата. Управление сотрудничает с медицинскими практиками, позволяя их представителям лично бросать старые документы в печь и/или присутствовать при этом, и удостоверяет выполнение уничтожения. Такой подход во многих случаях срабатывает – но, очевидно, не в этот раз.

Федеральным властям и властям штата следует установить конкретную процедуру уничтожения медицинских документов. И те, и другие власти не стесняются требовать исполнения детально регламентированных процедур по другим вопросам, входящим в сферу их компетенции. Представляется, что и к вопросу обеспечения конфиденциальности медицинских документов следует подходить таким же образом.

Министерство здравоохранения должно предписать уничтожение медицинских документов путем сжигания, а также потребовать, чтобы уничтожение документов было засвидетельствовано и подтверждено документально – подобно процедуре, используемой Управлением.

Государственный департамент штата Пенсильвания должен включить это требование в качестве одного из условий при проведении процедур лицензирования медицинских практик, сделав наличие политики уничтожения документов обязательным условием получения медицинской лицензии - и обеспечить исполнение данного требования так же, как он контролирует исполнение прочих нормативных требований.

Защита неприкосновенности частной пациентов имеет первостепенное значение. Регламентация процедуры уничтожения медицинской документации позволит сделать большой шаг на пути претворения в жизнь ожиданий пациентов в этой области.

Мой комментарий: Я предлагаю читателям эту статью в первую очередь потому, что и у нас такая проблема тоже, к сожалению, существует. С появлением частной медицины и с внедрением электронных медицинских документов её острота неминуемо будет нарастать, и лучше бы уже сейчас задуматься над тем, как её решать – в отношении как бумажных, так и электронных медицинских документов и информации,

Источник: сайт газеты «The Mercury»
http://www.pottsmerc.com/opinion/20140627/editorial-medical-record-disposal-methods-should-be-specified-by-law

В американском штате Иллинойс украдены номера социального страхования 4 миллионов пациентов, создавая для них риск «кражи личности»

По материалам статьи Шона О’Коннора (Sean O'Connor), опубликованной на сайте Scambook.com 13 сентября 2013 года.

Примерно 4 миллиона пациентов в районе Чикаго рискуют стать жертвами преступлений типа «кражи личности» в связи с утечкой персональных данный в крупнейшей в штате Иллинойс медицинской компании  Advocate Health Care (группа объединяет около тысячи врачей, работающих в 200 лечебных учреждениях, включая 13 больниц). 15 июля 2013 года из одного из офисов компании были украдены четыре компьютера, хранившие базу таких персональных данных пациентов, как номера социального страхования, адреса и даты рождения - мошенникам таких данных вполне достаточно для совершения «кражи личности», в результате которой будет испорчена репутация жертвы и подорван её кредит.  Собственно медицинские документы на украденных компьютерах не хранились, однако в базе данных присутствовали диагнозы и сведения, относящиеся к медицинскому страхованию.

Это вторая по масштабности утечка за все время действия закона HIPAA, обязывающего поставщиков медицинских услуг сообщать о таких инцидентах. В штате Иллинойс это десятая по счёту серьёзная утечка за этот год. Лишь после кражи компания организовала круглосуточную охрану данного офиса. До этого она полагалась лишь на камеры видеонаблюдения и тревожную кнопку.

Офис, из которого были украдены компьютеры

Хотя сами компьютеры, согласно сообщению компании, были защищены паролями, ни один из жёстких дисков не был зашифрован. Достаточно немного разбираться в компьютерах, чтобы получить доступ к этим данным. Как известно, утечка номеров социального страхования (Social Security number, SSN) создает для пострадавших целый ряд проблем. Используя их, преступники могут открыть банковские счета, брать кредиты, и вообще выдавать себя за человека, которому принадлежит этот SSN. Персональные данные – это также товар, который активно продается и покупается на «чёрном рынке».

Компания сообщила об утечке только через месяц, в течение которого, по её словам, оценивались последствия и определялся круг пострадавших пациентов, которым сейчас предлагается в течение года бесплатно воспользоваться услугами мониторинга своего кредита, помогающего обнаружить несанкционированные операции по счетам.

Фрагмент из искового заявления против компании

Помимо неприятностей с регулятором и немалых денег, в которые уже обошлись оповещение пациентов и организация для них бесплатного кредитного мониторинга, компания Advocate Health Care также столкнулась с групповым судебным иском, в результате которого она рискует потерять многие миллионы долларов – куда больше, чем пришлось бы заплатить за средства шифрования данных. Руководитель юридической группы истцов отметил, что «В наш век передовых технологий компании Advocate Health Care следовало понимать, что её неортодоксальные способы хранения важных персональных данных ставят под угрозу безопасность и защищённость пациентов».

Хотя бесплатный мониторинг кредита – хороший первый шаг, однако, к сожалению, «кража личности» может произойти спустя годы после первоначальной утечки персональных данных и создать для жертвы серьёзные проблемы на длительное время.

По материалам статьи Шона О’Коннора (Sean O'Connor)

Источники:
http://www.scambook.com/blog/2013/09/4-million-illinois-healthcare-patients-social-security-numbers-stolen-exposed-to-identity-theft/ 
http://www.dailyherald.com/article/20130823/news/708239619/
http://nakedsecurity.sophos.com/2013/09/10/us-health-care-company-faces-giant-class-action-suit-for-losing-over-4000000-unencrypted-records/

США: Наложен семизначный штраф за нарушение требований по защите персональных медицинских данных

Заметка Дианы Бурке (Dianne J. Bourque – на фото) была опубликована 15 августа 2013 года на блоге «Вопросы права и политики в здравоохранении» (Health Law & Policy Matters), принадлежащем консультационной фирме Mintz Levin.

Наложенный только что Управлением по гражданским правам (Office for Civil Rights, OCR, http://www.hhs.gov/ocr/office ) Министерства здравоохранения США семизначный штраф за нарушения требований закона HIPAA («Закон о переносимости и подотчётности медицинского страхования» 1996 года, регламентирующий, в частности, вопросы защиты медицинских данных и защиты неприкосновенности личной жизни – Н.Х.) стал следствием неудаления конфиденциальной медицинской информации с жёсткого диска взятого в аренду фотокопировального устройства.

Согласно условиям мирового соглашения с компанией Affinity Health Plan, Inc, та выплатит свыше 1,2 миллиона долларов. Таковы последствия того, что компания Affinity, не обеспечила удаление конфиденциальной медицинской информации большого числа лиц (по оценкам, до 350 тысяч), когда возвращала владельцу ряд арендованных копировальных аппаратов. В ходе расследования Управление по гражданским правам, установило, что Affinity не предусмотрела мер защиты для хранящихся на жестких дисках фотокопировальных устройств данных в своих HIPAA-политиках и процедурах обеспечения безопасности.

Помимо денежного штрафа, Управление обязало компанию выполнить условия Мирового соглашения и Плана мероприятий по устранению недостатков (см. http://www.hhs.gov/ocr/privacy/hipaa/enforcement/examples/affinity_agreement.pdf ), согласно которым компания должны сделать всё возможное для возврата остальных жестких дисков фотокопировальных устройств от арендодателя  и обеспечить защищённость находящихся на них персональных медицинских данных. Компания Affinity обязана документировать предпринимаемые ею усилия, и в случае неспособности вернуть жёсткие диски, ей придётся давать объяснения Управлению.

Это действия регулятора служат напоминанием для всех организаций, подпадающих под действие закона HIPAA, о том, что:

• Компьютеры и ноутбуки - не единственные устройства, имеющие жесткие диски. Копиры, факсы, ноутбуки и карманные PDA-компьютеры также оснащены внутренними устройствами хранения информации, на которых может находиться подлежащие защите персональные медицинские данные;


• Самостоятельно поданное извещение о возможной утечке незащищённых конфиденциальных данных может стать причиной расследования. В данном случае расследование Управления и последующее мировое соглашение стали результатом поданного компанией Affinity извещения, а не жалобы или аудита;


• Масштабные утечки данных обычно наказываются более крупными штрафами;


• Большие штрафы неприятны, но обязательные Планы мероприятий по устранению недостатков также могут оказаться суровыми, а их исполнение - дорогостоящим. Подобный плана для Affinity требует принятия широкомасштабных мер в жесткие временные сроки и  условиях строгого надзора со стороны Управления по гражданским правам. Affinity будет выполнять этот план на свои собственные средства.

Диана Бурке (Dianne J. Bourque)

Источник: блог «Вопросы права и политики в здравоохранении» (Health Law & Policy Matters)
http://www.healthlawpolicymatters.com/2013/08/15/seven-figure-hipaa-settlement-prompted-by-photocopier-breach/

США: Компания WellPoint выплатит Министерству здравоохранения 1,7 миллиона долларов за то, что персональные медицинские данные оказались свободно доступными через интернет

Данный пресс-релиз Министерства здравоохранения США (U.S. Department of Health & Human Services) был опубликован 11 июля 2013 года на сайте BusinessWire.

Компания-поставщик услуг по медицинскому уходу WellPoint Inc. согласилась выплатить Министерству здравоохранения и социальных служб США (HHS) штраф в размере 1,7 млн. долларов, чтобы закрыть дело о возможных нарушениях правил по защите персональных данных и обеспечению их безопасности, установленных в соответствии с Законом о переносимости и подотчётности медицинского страхования (Health Insurance Portability and Accountability Act, HIPAA), принятым в 1996 году.

Текст соответствующего мирового соглашения (Resolution Agreement)  доступен на сайте Управления по гражданским правам Министерства здравоохранения по адресу http://www.hhs.gov/ocr/privacy/hipaa/enforcement/examples/wellpoint-agreement.html .

Этот случай должен послужить сигналом для всех подпадающих под требования HIPAA лиц и организаций, побудив их проявлять осторожность при осуществлении существенных изменений в своих информационных системах, особенно если эти изменения связаны с обновлениями веб-приложений или порталов, используемых для предоставления интернет-доступа к данным о здоровье клиентов.

Управление Министерства здравоохранения по гражданским правам (HHS Office for Civil Rights, OCR) начало свое расследование после получения от компании WellPoin извещения об утечке данных, представленного в соответствии с требованиями закона HITECH (Закон об использовании медицинских информационных технологий в клинической и экономической деятельности - Health Information Technology for Clinical and Economic Health Act, HITECH - был принят в 2009 году – Н.Х.). Введённое законом HITECH правило требует от всех лиц и организаций, подпадающих под действие закона HIPAA, уведомлять Министерство здравоохранения о фактах утечки незащищённой персональной медицинской информации.

Согласно уведомлению, недостатки в системе безопасности работающей в онлайн-режиме прикладной базы данных привели к тому, что стал возможен несанкционированный интернет-доступ к подлежащим защите электронным медицинским данным 612 тысяч человек.

В ходе проведенного Управлением по гражданским правам расследования было установлено, что компания WellPoint не приняла надлежащие организационные и технические меры в соответствии с требованиями Правила обеспечения безопасности закона HIPAA (HIPAA Security Rule). В частности, выяснилось, что компания:

• Не реализовала  надлежащим образом политику и процедуры авторизации доступа к прикладной базе данных;


• Не провела надлежащую техническую оценку в связи с обновление программного обеспечения своих информационных систем;


• Не реализовала технических мер защиты для проверки физических и юридических лиц, желающих получить доступ к защищаемой электронной медицинской информации, хранящейся в прикладной базе данных.

В результате, начиная с 23 октября 2009 года и до 7 марта 2010 года, компания WellPoint несанкционированно раскрыла персональные медицинские данные на 612 тысяч клиентов, предоставив доступ к информации, хранящейся в базе данных. Эти данные включали имена, даты рождения, адреса, номера социального страхования, номера телефонов и информацию о здоровье.

Вне зависимости от того, осуществляются ли обновления систем самими лицами и организациями, подпадающими пот требования закона HIPAA, или их ассоциированными деловыми партнерами, Министерство здравоохранения ожидает от организаций наличия внедренных в практику разумных и адекватных технических, организационных и физических мер безопасности для защиты конфиденциальности, целостности и доступности электронной медицинской информации - в особенности информации, доступной через Интернет.

Начиная с 23 сентября 2013 года ответственность за выполнение многих требований HIPAA будет распространяться непосредственно на ассоциированных деловых партнеров, получающих или хранящих конфиденциальную медицинскую информацию, например, на подрядчиков и субподрядчиков.

Граждане, считающие, что подпадающее под закон HIPAA лицо или организация нарушило их права (или права третьих лиц) на конфиденциальность информации о здоровье или совершило иное нарушение правил HIPAA по защите персональных данных и обеспечению их безопасности, могут подать жалобу в Управление по гражданским правам на портале https://ocrportal.hhs.gov/ocr/cp/complaint_frontpage.jsf  .

Источник: сайт BusinessWire
http://www.businesswire.com/news/home/20130711006294/en/WellPoint-pays-HHS-1.7-million-leaving-information

США: Растет число нарушений требований законодательства, касающихся защиты персональных медицинских данных, часть II

(Окончание обзора доклада Леона Родригеса, начало см. http://rusrim.blogspot.ru/2013/04/i.html )

Имея опыт юридической практики по обе стороны «баррикад» - и как прокурор, и как адвокат защиты, - я осознал, насколько важно проявлять осторожность в тех случаях, когда мы собираемся применять санкции. Мы хотим, чтобы эти случаи показали правильный путь подконтрольным организациям и их ассоциированным деловым партнерам, подсказали, о чём им следует в первую очередь побеспокоиться и что подвергает их наибольшему риску наших санкций. Мы особенно настоятельно рекомендовали им держаться подальше от «компании штрафников», поскольку средства массовой информации охотно поднимают шум по поводу медицинских документов, выброшенных в мусорные баки или забытых в метро. Но с точки зрения контролирующего органа, реальной проблемой является тщательное соблюдение тех правил, нарушения которых связаны с высоким риском утечек. Делайте все, что в ваших силах, для того, чтобы обеспечить безопасность информации. Проводите оценку рисков. Не снижайте внимания к вопросам исполнения законодательно-нормативных требований.

Примеры: В прошлом году мы пришли к соглашению с компанией BCBS TN об уплате ею штрафа в 1,5 миллиона долларов за то, что из её здания было украдено 57 жестких дисков, Штраф был наложен не за факт кражи, а за то, что компания не приняла надлежащих организационных мер, не провела оценку риска и не реализовала на практике мер контроля над доступом к носителям информации. Это хранилище можно было бы превратить в Форт-Нокс (место хранения золотого запаса США – Н.Х.), и там всё равно могла бы иметь место утечка. Проблема компании была в том, что она не ввела никаких политик и процедур, направленных на предотвращение инцидентов, и не приняла надлежащих организационно-технических мер и мер физической защиты. Это яркий пример отсутствия постоянного внимания к соблюдению требований законодательства.

Управление Национального координатора по использованию информационных технологий в медицине (Office of the National Coordinator for Health Information Technology, ONC) не смотрит на уведомления об утечках как на кормушку, позволяющую выбирать «сочные» случаи для применения санкций. Настоящая задача этого механизма – добиться, чтобы подконтрольные организации знали об имеющих место нарушениях и о приводящих к ним уязвимостях, и чтобы накапливался коллективный опыт, на котором  могли бы учиться все остальные.

В другом случае, портативное устройство было украдено в баре. Санкции были наложены за следующее:

• Отсутствие адекватных политик и процедур, обеспечивающих исполнение требований HIPAA, и, в частности, отсутствие соответствующих организационных мер;


• Отсутствие обучения  персонала по вопросам требований HIPAA по безопасности;


• Непринятие надлежащих мер физической защиты;


• Неиспользование шифрования информации на устройстве (или равноценных мер защиты).

Мой комментарий: Родригес далее упоминает ещё одно громкое дело, когда агентство штата Аляска, отвечающее за программу медицинского страхования Medicaid, было в 2012 году оштрафовано федеральными властями на 1,7 миллиона долларов. Причиной утечки стала кража в 2009 году содержащего медицинские персональные данные USB-накопителя из машины одного из сотрудников агентства. См. также http://www.hhs.gov/news/press/2012pres/06/20120626a.html .

Что не очевидно из Аляскинского дела, так это то, что проблемы в агентстве продолжались еще длительное время после сообщения об утечке. Первоначально Аляска подпадала только под штраф до 25 тысяч долларов. Но они так долго продолжали не исполнять требования законодательства после первоначального инцидента, что стало возможным назначение также и штрафа в 1,5 миллиона долларов. В случае утечки  необходимо действовать решительно, с тем, чтобы устранить уязвимость. Неспособность решить проблему автоматически подтолкнет ONC к тому, чтобы рекомендации о назначении санкций отражали отсутствие должной осмотрительности.

При выборе объектов для проведения аудита у ONC нет каких-либо предпочтений. Каждый раз, когда ONC начинает расследовать какой-либо инцидент, журналисты начинают спрашивать, не уделяется ли теперь особое внимание данному виду практики или учреждения. Так вот, абсолютно нет. ONC старается расследовать случаи, в которых наблюдаются длительные нарушения сразу нескольких положений, несоблюдение которых связано с высоким риском утечек.

Одним из вопросов, который всплывает в каждом случае применения санкций, является неспособность организаций регулярно проводить анализ рисков. Отсутствие такого анализа рисков является ключевым моментом, от которого завит исход разбирательства в подобных ситуациях.

Ещё одним из видов деятельности, которому ONC уделяет большое внимание, является  плановые проверки и аудит. Пилотные аудиты, выполнение которых было поручено известной фирме KPMG, проводился не ради погони за штрафами. Специалисты по комплайенсу ряда подконтрольных организации обращались в ONC с просьбой о проведении аудита до того, как будет начаты официальные проверки, Теперь, когда пилотные аудиты завершились, наложение санкций будет в большей степени интегрировано в процесс аудита.

Из общего числа  крупных учреждений-поставщиков медицинских услуг и более мелких управлений, которые были охвачены пилотным аудитом силами фирмы KPMG, очень многие не провели анализ рисков – либо вообще его не делали, либо он был совершенно неадекватным.

Мой любимый результат проделанной нами аналитической работы касается шифрования. Это вполне выполнимое требование, что означает, что вы либо его выполняете, либо у Вас должны быть веские причины на то, чтобы вместо него использовать иные эквивалентные меры защиты. Многие организации вообще никак не отреагировали на данное требование, и ONC еще не разобралось с причинами. Наше представление следующее: Вы проводите анализ рисков и обдумываете его результаты, Подконтрольным организациям и их ассоциированным деловым партнерам имеет смысл применять шифрование, потому что это экономически эффективно и надежно. Возможно, организации пока что об этом не думали. По мере дальнейшего анализа результатов аудитов, ONC будет лучше понимать, в чем тут дело.

Еще несколько месяцев уйдёт на то, чтобы завершить анализ и оценку итогов пилотных аудитов и определить окончательный вид программы аудита. На проведение 150 пилотных аудитов мы потратили около14 миллионов долларов. Наш годовой бюджет составляет сейчас около 40 миллионов долларов, и расходы на аудит в настоящее время официально включены в него. В будущем аудиты будут продолжаться, но они станут еще более «стратегическими», фокусируя внимание на конкретных видах уязвимостей и охватывая при этом большее число организаций.

Если вы посмотрите на то, как выглядели дела, которые мы расследовали до появления закона HITECH, то увидите, что они начинались с жалоб пациентов. Но пациенты видят ситуацию только со своей точки зрения «у стойки» - они не в состоянии увидеть все области существования уязвимостей, такие, как рабочие процессы бэк-офиса, центры обработки данных или услуги поставщиков облачных вычислений. Как для ONC, так и для подконтрольных организаций важно видеть весь потенциал для утечек в рамках внутренней деятельности.

Модель деловой деятельности ONC будет по-прежнему ориентирована на технические системы и на образование как на наиболее важные элементы. Одной из проблемных областей являются малые поставщики, которые существенно отличаются от крупных поставщиков: у них нет ни ИТ-директоров, ни специалистов по комплайенсу, поэтому их иные возможности в плане реализации мер защиты. Мы только что завершили подготовку инструментального набора для обеспечения безопасности мобильных устройств, нацеленного на то, чтобы дать понятные, простые для понимания правила, показывающие путь к исполнению требований по безопасности. Министерство здравоохранения собирается выпустить ещё ряд видеороликов серии MedScape о безопасности и исполнении требований законодательства. На одном из них врач из штата Мэриленд рассказывает о том, как она и ее практика смогли реализовать надежную программу продуманного соблюдения законодательно-нормативных требований.

ONC требуется обратная связь от поставщиков медицинских услуг и ассоциированных деловых партнеров, чтобы понять, как вместе мы можем достичь нужного уровня исполнения законодательства. Если вы ВИЧ-инфицированы и не верите в то, что сведения о Вашем здоровье останутся конфиденциальным и будет обеспечена их надёжная защита, то, возможно, Вы не сообщите своему врачу критически-важную информацию. Это не только плохо для пациента, это плохо для всего общества. Доверие пациентов имеет решающее значение для хорошего качества медицинской помощи.

Леон Родригес (Leon Rodriguez)

Источник:  сайт SmartData Collective
http://smartdatacollective.com/onlinetech/113486/hipaa-hitech-world-hipaa-violations-rise-according-director-ocr