akronymet: PHI står for beskyttede sundhedsoplysninger – ikke personlige sundhedsoplysninger (selvom det i det væsentlige er, hvad det indebærer), ikke personligt identificerbare sundhedsoplysninger (jeg har set det brugt, selvom det teknisk set ville være PIHI), og jeg er sikker på, at der er varianter af dette, som du også har hørt.

definitionen: her er definitionen på Facebook. Beskyttet sundhedsinformation (PHI) er enhver information om sundhedsstatus, levering af sundhedspleje eller betaling for sundhedspleje, der kan knyttes til en bestemt person. HHS giver en endnu enklere af PHI-individuelt identificerbare sundhedsoplysninger, der transmitteres eller vedligeholdes i enhver form eller medium af en omfattet enhed eller dens forretningsforbindelse; definitionen af en “forretningsforbindelse” er blevet udvidet med HIPAA omnibus-reglen, der trådte i kraft i 2013. Dette udtryk” information ” fortolkes ret bredt og inkluderer enhver del af en patients medicinske journal eller betalingshistorie. Nøglen her er denne sætning “der kan knyttes til et bestemt individ”. Det er her det andet akronym, PII (personligt identificerbare oplysninger) – her er linket til artiklen om det – bliver relevant. Den største forskel mellem PHI og PII er, at PII er en juridisk definition – dvs.PII er alt, hvad der kan bruges til entydigt at identificere et individ. PHI er en delmængde af PII, idet en medicinsk journal kan bruges til at identificere en person – især hvis sygdommen eller tilstanden er sjælden nok.

beskyttelse

kernen i HIPAA-reglerne er at sikre, at ejerskab af alle medicinske data udelukkende bevares af den enkelte. Den enkelte kan derefter beslutte at pakke adgang til andre – udbydere, familiemedlemmer, arbejdsgivere, hvis det er nødvendigt eller nødvendigt eller blot efter pladsejerens præference. Kun en person har ret til at give adgang til deres medicinske data. Dette blev hovedsageligt gjort af følgende grunde:

1. privatliv: Vi foretrækker naturligvis, at vores nabo (eller i nogle tilfælde familiemedlemmer) ikke ved, hvilken tilstand vi måtte lide af eller medicin, vi tager.

2. Bias og diskrimination: AIDS, mental sundhed og andre forhold har noget (omend faldende) socialt stigma forbundet med det. HIPAA PHI-bestemmelserne sikrer, at arbejdsgivere og andre ikke har adgang til ens medicinske journal og bruger oplysningerne i til at diskriminere den enkelte på baggrund af deres sundhedsoplysninger.

unikhed

naturligvis kommer beskyttelse og privatliv i spil, når individet kan / er blevet entydigt identificeret. Der er trods alt 25,8 millioner amerikanere, der har diabetes. Dette fører til spørgsmålet om, hvilke data der kan bruges til entydigt at identificere et individ. Det generelt accepterede sæt individuelt unikke dataelementer inkluderer følgende:

disse 18 elementer er kernesættet af dataelementer, der individuelt eller i kombination kan bruges til entydigt at identificere et individ. Og i betragtning af det faktum, at ovenstående liste over identifikatorer har falske numre og ikke kvidre @brugernavne, Facebook-ID ‘ er eller en række andre moderne, mere almindelige identifikatorer, er det klart, at PII-listen ikke er den mest opdaterede, og nogle flere tanker bør gå ind i at genkende og beskytte identificerbare oplysninger. Da patientdata imidlertid er værdifulde i kliniske forsøg, medicinske casestudier osv., ovenstående liste bruges som en retningslinje for at sikre privatlivets fred. Dette fører til…

anonymisering& de-identifikation

anonymisering er en proces, hvorved PHI-elementer fjernes eller ændres med det formål at minimere / fjerne muligheden for at gå tilbage til det originale datasæt. Dette indebærer at fjerne alle identificerende data for at oprette ikke-synkbare data.

De-identifikation under HIPAA opstår, når data er blevet fjernet af fælles identifikatorer ved to metoder:

1. fjern de 18 elementer, der er anført ovenfor;

2. Hvis der anvendes en anden tilgang, skal du sikre en statistisk lille / ubetydelig risiko for genidentifikation, som er valideret af en statistikekspert (du skal elske fortolkningen af denne regel).

design af HIPAA-kompatible løsninger

i betragtning af ovenstående begrænsninger er det vigtigt, at ethvert program, du designer, tager højde for denne anonymisering og / eller de-identifikationskrav, før data deles med en ekstern enhed. PHI-data kan “deles” med en ekstern enhed, forudsat at du har BAA (business associate agreement) på plads, og den enkelte har underskrevet de relevante samtykkedokumenter. Hvordan PHI skal styres under HIPAA er et helt emne i sig selv. Se efter et blogindlæg fra os, der kort beskriver, hvordan vi muliggør HIPAA-overholdelse og forenkler overholdelse af lovens bogstav og ånd hos datica.