Le Health Insurance Portability and Accountability Act (HIPAA) établit des normes nationales pour la protection des informations de santé protégées. Que vous soyez une entité couverte, un partenaire commercial ou un sous-traitant, nous vous aidons à mettre en oeuvre les exigences de la règle de confidentialité, de la règle de sécurité et de notification de violation avec des processus clairs et une documentation prête pour l'audit.
Le Health Insurance Portability and Accountability Act de 1996 (HIPAA) est une loi fédérale qui a établi des normes nationales pour protéger les informations de santé sensibles des patients contre la divulgation sans le consentement ou la connaissance du patient.
Appliquée par : Le département américain de la Santé et des Services sociaux (HHS) Office for Civil Rights (OCR). HIPAA s'applique aux entités couvertes (prestataires de soins, régimes de santé, centres d'échange), aux partenaires commerciaux et à leurs sous-traitants.
ContrĂ´le l'utilisation et la divulgation des PHI
Protège les PHI électroniques (ePHI)
Complète la certification SOC 2 et ISO 27001 pour la sécurité des informations de santé.
Entités couvertes
Prestataires de soins, régimes de santé, centres d'échange de données de santé qui transmettent des informations de santé électroniquement
Partenaires commerciaux
Tiers qui créent, reçoivent, conservent ou transmettent des PHI pour le compte d'entités couvertes
Sous-traitants
Entités qui créent, reçoivent, conservent ou transmettent des PHI pour le compte de partenaires commerciaux
Prestataires de soins
Hôpitaux, cliniques, médecins, dentistes, pharmacies, maisons de retraite, agences de soins à domicile
Régimes de santé
Compagnies d'assurance maladie, HMO, régimes de santé employeur, programmes de santé gouvernementaux
Fournisseurs de technologies de santé
Fournisseurs de DME, stockage cloud, analyse de données, services de facturation, support informatique, consultants
Des capacités concrètes qui répondent aux exigences de la règle de confidentialité, de la règle de sécurité et de notification de violation
Identifiez et documentez tous les systèmes qui créent, reçoivent, conservent ou transmettent des informations de santé protégées. La plateforme maintient une cartographie complète des flux de PHI requise pour la conformité à la règle de confidentialité et la planification de la réponse aux violations.
Couvre : Règle de confidentialité : identification des PHI, minimum nécessaire, documentation des flux
Suivez la mise en oeuvre des mesures administratives, physiques et techniques requises par la règle de sécurité. La plateforme documente les contrôles de sécurité, les contrôles d'accès, les mesures de chiffrement et la journalisation des audits dans votre infrastructure PHI.
Couvre : Règle de sécurité : contrôles d'accès, chiffrement, contrôles d'audit, contrôles d'intégrité
Réalisez des évaluations des risques alignées sur HIPAA identifiant les menaces et vulnérabilités pour la confidentialité, l'intégrité et la disponibilité des PHI. La plateforme génère la documentation des risques et suit les remédiations requises par la règle de sécurité.
Couvre : Règle de sécurité : analyse des risques, gestion des risques, processus de gestion de la sécurité
Maintenez les politiques, procédures et documentation HIPAA requises avec contrôle de version et flux d'approbation. La plateforme garantit que les politiques couvrent toutes les exigences des règles de confidentialité et de sécurité avec des cycles de révision appropriés.
Couvre : Règles de confidentialité et sécurité : politiques, procédures, documentation, formation du personnel
Gérez les enquêtes de violation HIPAA avec des flux structurés respectant le délai de 60 jours de la règle de notification de violation. La plateforme suit la découverte de violation, l'évaluation des dommages, les obligations de notification et le signalement à l'OCR.
Couvre : Règle de notification de violation : découverte, évaluation, notification, documentation
Suivez tous les partenaires commerciaux et sous-traitants avec le statut des BAA, les évaluations des risques et la surveillance continue. La plateforme maintient la supervision des tiers requise par les règles de confidentialité et de sécurité.
Couvre : Règles de confidentialité et sécurité : suivi des BAA, risque fournisseur, gestion des sous-traitants
Toutes les activités liées aux PHI sont suivies avec des horodatages, des responsables assignés et des flux d'approbation. Cette piste d'audit démontre une conformité systématique et soutient les enquêtes ou audits de l'OCR.
VerifyWise fournit des outils dédiés pour toutes les exigences des règles HIPAA
Exigences HIPAA
Exigences avec outils dédiés
Couverture de toutes les règles
Utilisation des PHI, divulgation, droits, minimum nécessaire
Mesures administratives, physiques, techniques
Découverte, notification, documentation, atténuation
Enquêtes, sanctions, conformité, audits
Dossiers de preuves pour les enquêtes et examens de conformité de l'OCR
Flux de notification de violation automatisés respectant les délais de l'OCR
Suivez les partenaires commerciaux et sous-traitants avec le statut des BAA
Combinez HIPAA avec les cadres de gouvernance de l'IA pour les systèmes d'IA clinique
Comprendre les composantes majeures de la conformité HIPAA
Contrôle l'utilisation et la divulgation des informations de santé protégées et établit les droits individuels.
Établit des normes nationales pour protéger les informations de santé protégées électroniques (ePHI).
Exige la notification aux individus, au HHS et, dans certains cas, aux médias lorsque des PHI sont violées.
Établit les procédures d'enquêtes, d'audiences et d'imposition de sanctions pécuniaires civiles.
A renforcé HIPAA avec la responsabilité des partenaires commerciaux, l'extension de la notification de violation et la mise en oeuvre de la loi HITECH.
Mesures administratives, physiques et techniques requises pour la protection des ePHI
Politiques, procédures et processus documentés pour gérer la sécurité des PHI
Analyse des risques, gestion des risques, politique de sanctions, examen de l'activité du système d'information
Responsable de sécurité désigné pour la sécurité HIPAA
Procédures d'autorisation, de supervision, d'habilitation, de cessation d'emploi
Autorisation d'accès, établissement d'accès, modification d'accès
Rappels de sécurité, protection contre les logiciels malveillants, surveillance des connexions, gestion des mots de passe
Réponse et signalement des incidents de sécurité
Sauvegarde des données, reprise après sinistre, mode d'urgence, tests, criticité des applications et données
Évaluation technique et non technique périodique des mesures de sécurité
Contrats Ă©crits avec assurances satisfaisantes concernant la protection des PHI
Mesures physiques pour protéger les systèmes d'information électroniques et les bâtiments
Opérations de contingence, plan de sécurité des installations, contrôle et validation d'accès, registres de maintenance
Politiques et procédures pour les fonctions et la sécurité des postes de travail
Mesures physiques pour restreindre l'accès aux postes de travail aux utilisateurs autorisés
Élimination, réutilisation des supports, responsabilité, sauvegarde et stockage des données
Technologies et politiques pour protéger les ePHI et contrôler l'accès
Identification unique des utilisateurs, accès d'urgence, déconnexion automatique, chiffrement et déchiffrement
Mécanismes matériels, logiciels et procéduraux pour enregistrer et examiner l'accès aux ePHI
Politiques pour garantir que les ePHI ne sont pas modifiées ou détruites de manière inappropriée
Procédures pour vérifier la personne ou l'entité demandant l'accès aux ePHI
Contrôles d'intégrité et chiffrement pour la transmission des ePHI sur les réseaux
Un parcours pratique vers la conformité HIPAA avec des jalons clairs
Comprendre les conséquences financières et pénales de la non-conformité
Ne savait pas (et en faisant preuve de diligence raisonnable n'aurait pas su)
Fourchette
100 $ - 50 000 $
Max annuel
25 000 $
Cause raisonnable (violation due Ă des circonstances hors de tout contrĂ´le raisonnable)
Fourchette
1 000 $ - 50 000 $
Max annuel
100 000 $
Négligence volontaire (mais corrigée dans les 30 jours)
Fourchette
10 000 $ - 50 000 $
Max annuel
250 000 $
Négligence volontaire (non corrigée dans les 30 jours)
Fourchette
50 000 $ - 50 000 $
Max annuel
1 500 000 $
Obtention ou divulgation sciemment de PHI
Jusqu'Ă 50 000 $ et jusqu'Ă 1 an d'emprisonnement
Obtention de PHI sous de faux prétextes
Jusqu'Ă 100 000 $ et jusqu'Ă 5 ans d'emprisonnement
Obtention ou divulgation de PHI avec l'intention de vendre, transférer ou utiliser à des fins commerciales, de gain personnel ou de nuisance
Jusqu'Ă 250 000 $ et jusqu'Ă 10 ans d'emprisonnement
Note : Les sanctions sont évaluées par violation. Des violations multiples peuvent entraîner des sanctions dépassant les maximums annuels. Le ministère de la Justice gère les poursuites pénales pour les violations HIPAA.
Accédez à des modèles de politiques HIPAA prêts à l'emploi couvrant les exigences de la règle de confidentialité, de la règle de sécurité et de notification de violation
Questions courantes sur la conformité HIPAA
Commencez votre parcours de conformité avec notre évaluation HIPAA guidée et nos outils de mise en oeuvre conçus pour les organisations de santé.