Articles

Vad är skyddad hälsoinformation (PHI)?

by admin

förkortningen: PHI står för skyddad hälsoinformation-inte personlig hälsoinformation (även om det i huvudsak är vad det innebär), inte personligt identifierbar hälsoinformation (jag har sett den användas även om det tekniskt skulle vara PIHI) och jag är säker på att det finns varianter av detta som du också har hört.

definitionen: här är Wikipedia-definitionen. Skyddad hälsoinformation (PHI) är all information om hälsotillstånd, tillhandahållande av hälsovård eller betalning för hälsovård som kan kopplas till en specifik individ. HHS ger en ännu enklare av PHI – individuellt identifierbar hälsoinformation som överförs eller upprätthålls i någon form eller medium av en täckt enhet eller dess affärspartner.definitionen av en ”affärspartner” har utvidgats med HIPAA Omnibus-regeln som trädde i kraft 2013. Denna term” information ” tolkas ganska brett och inkluderar någon del av en patients journaler eller betalningshistorik. Nyckeln här är denna fras ”som kan kopplas till en specifik individ”. Det är här den andra förkortningen, PII (personligt identifierbar Information) – här är länken till Wikipedia – artikeln om det-blir relevant. Den stora skillnaden mellan PHI och PII är att PII är en juridisk definition – dvs PII är allt som kan användas för att unikt identifiera en individ. PHI är en delmängd av PII genom att en medicinsk post kan användas för att identifiera en person – särskilt om sjukdomen eller tillståndet är sällsynt nog.

skydd

kärnan i HIPAA-förordningarna är att säkerställa att ägande av all medicinsk data behålls enbart av individen. Individen kan sedan besluta att paketera ut tillgång till andra – leverantörer, familjemedlemmar, arbetsgivare om det behövs eller behövs eller helt enkelt av skivägarens preferens. Endast en individ har rätt att ge tillgång till sina medicinska uppgifter. Detta gjordes huvudsakligen av följande skäl:

  1. Sekretess: självklart föredrar vi att vår granne (eller i vissa fall familjemedlemmar) inte vet om vilket tillstånd vi kan drabbas av eller medicinering vi tar.

  2. Bias och diskriminering: AIDS, mental hälsa och andra tillstånd har viss (om än minskande) social stigma i samband med det. HIPAA PHI-bestämmelserna säkerställer att arbetsgivare och andra inte har tillgång till sina journaler och använder informationen i för att diskriminera individen baserat på deras hälsoinformation.

unikhet

uppenbarligen skydd och integritet spelar in när individen kan / har identifierats unikt. Det finns trots allt 25,8 miljoner amerikaner har diabetes. Detta leder till frågan om vilka data som kan användas för att unikt identifiera en individ. Den allmänt accepterade uppsättningen individuellt unika dataelement inkluderar följande:

# identifierare beskrivning
1 namn tja, naturligtvis dvs förnamn, efternamn, flicknamn kombinationer. Man kan hävda att bara någon av ovanstående inte unikt identifierar en individ trots allt ”James” är ett ganska vanligt namn. Men det kan vara möjligt att identifiera en individ med en kombination av data, dvs förnamn, Postnummer, gatuadress etc.
2 Geografiska lokaliserare allt (gatuadress, stad, distrikt, Postnummer, lat-långa koordinater etc.) anses vara PII. De tre första siffrorna i postnumret anses vanligtvis vara ok för användning utom när det gäller vissa Postnummer som täcker en liten befolkning (mindre än 20 000). Det finns för närvarande 17 Postnummer som passar den profilen – 036, 692, 878, 059, 790, 879, 063, 821, 884, 102, 823, 890, 203, 830, 893, 556, 831. Så tresiffriga postnummer är ok att användas förutom de ovan angivna.
3 datum som hänför sig till betydande händelser i en individs liv – födelse, död, äktenskap, antagning, urladdning etc. Bara året anses i allmänhet vara bra för användning utom för mycket äldre (> 89 år; i vilket fall de skulle representeras av en aggregerad kategori, t.ex. <90)
4 telefonnummer Tja självklart.
5 faxnummer Detta är, IMHO, en överföring från gamla dagar. Känner du många människor med ett personligt faxnummer? Men det är vettigt.
6 elektroniska postadresser (e-post) kontrollera
7 personnummer kontrollera
8 Journalnummer detta är vanligtvis en ”slumpmässig” nummer och kan användas om man också kände till den institution som tilldelade den.
9 hälsoplan mottagarnummer Detta är ditt försäkringskort / medlems-ID.
10 kontonummer banknummer etc.
11 certifikat/licensnummer körkort, födelsecertifikatnummer etc.
12 fordonsidentifierare och serienummer, inklusive registreringsnummer om det är tillräckligt bra för polisen att spåra någon…
13 enhetsidentifierare och serienummer medicintekniska produkter har unika serienummer. Datorns MAC-id är också unikt.
14 Web Universal Resource Locators (URL: er) Detta är lite skumma men är här för att täcka alla möjligheter. http://www.facebook.com är inte särskilt unik. Men om loggas inom en specifik applikation, kan verkligen vara mycket unik för en individ.
15 Internet Protocol (IP) adressnummer din IP-adress kan användas för att enkelt identifiera din adress. Det finns flera gratis tjänster som erbjuder detta (gör en snabb google-sökning efter en adress från ip och prova detta som ett exempel
16 biometriska identifierare, inklusive finger och voiceprints glöm inte retinala bilder.
17 full face fotografiska bilder och alla jämförbara bilder kontrollera
18 alla andra unika identifieringsnummer, kännetecken eller kod Recode – OBS Detta betyder inte den unika kod som tilldelats av systemet för att koda data.

dessa 18 element är kärnuppsättningen av dataelement som individuellt eller i kombination kan användas för att unikt identifiera en individ. Och med tanke på att ovanstående lista över identifierare har faxnummer och inte Twitter @användarnamn, Facebook-ID eller en mängd andra moderna, vanligare identifierare, är det uppenbart att PII-listan inte är den mest uppdaterade och lite mer tanke bör gå in på att känna igen och skydda identifierbar information. Eftersom patientdata är värdefulla i kliniska prövningar, medicinska fallstudier etc., ovanstående lista används som en riktlinje för att säkerställa integritet. Detta leder till…

anonymisering& avidentifiering

anonymisering är en process genom vilken PHI-element tas bort eller ändras i syfte att minimera/ta bort möjligheten att gå tillbaka till den ursprungliga datamängden. Detta innebär att ta bort alla identifierande data för att skapa olänkbara data.

avidentifiering under HIPAA inträffar när data har tagits bort från gemensamma identifierare med två metoder:

  1. Ta bort de 18 elementen som anges ovan;

  2. om ett annat tillvägagångssätt används, se till att en statistiskt liten / försumbar risk för återidentifiering som valideras av en statistikexpert (du måste älska tolkbarheten för den regeln).

designa HIPAA-kompatibla lösningar

Med tanke på ovanstående begränsningar är det viktigt att alla applikationer som du utformar tar hänsyn till denna anonymisering och / eller avidentifieringskrav innan data delas med någon extern enhet. PHI-data kan ”delas” med en extern enhet förutsatt att du har BAA (business associate agreement) på plats och individen har undertecknat lämpliga samtyckedokument. Hur PHI behöver hanteras under HIPAA är ett helt ämne i sig. Leta efter ett blogginlägg från oss som kort beskriver hur vi möjliggör HIPAA-efterlevnad och förenklar efterlevnaden av lagens bokstav och anda vid Datica.