의료 청구에서 HIPAA가 타협할 수 없는 이유
의료 청구는 수익 주기의 모든 단계에서 보호 대상 건강 정보(PHI)를 다룹니다. 인적 사항, 진단 및 시술 코드, 보험 정보, 지급 기록이 여기에 해당합니다. 그래서 청구는 HIPAA 위반 위험이 높은 영역입니다. 민권국(OCR)은 청구와 관련된 HIPAA 위반에 수백만 달러의 과징금을 부과했으며, 소규모 병의원도 적절한 규정 준수 프로그램으로 막을 수 있었던 위반 때문에 벌금을 부과받았습니다.
의료 청구에서 PHI란 무엇입니까?
청구에서 PHI는 개인을 식별할 수 있는 모든 건강 정보를 말합니다. 환자의 이름, 주소, 생년월일, 전화번호, Social Security 번호, 의무 기록 번호, 보험 ID, 진단 및 시술 코드, 치료 일자, 그리고 개인을 합리적으로 식별할 수 있고 건강, 진료 또는 지급과 관련된 그 밖의 모든 정보가 포함됩니다. 이 모두를 보호해야 합니다.
HIPAA 보안 규정: ePHI를 위한 기술적 보호 조치
HIPAA 보안 규정은 오늘날 거의 모든 청구 데이터가 취하는 형태인 전자 PHI(ePHI)를 보호하기 위한 구체적인 요건을 정하고 있습니다. 필수 기술적 보호 조치에는 권한이 있는 사용자만 ePHI에 접근하도록 하는 접근 통제, 누가 언제 무엇에 접근했는지 추적하는 감사 통제, 무단 변경을 막는 무결성 통제, 전송 중 및 저장 시 암호화, 비활동 시 자동 로그오프가 포함됩니다. 모든 청구 시스템, 청구 대행 기관 연결, 전송 경로가 이를 준수해야 합니다.
업무 제휴 계약(BAA)
적용 대상 기관(귀 병의원)이 청구 업체, 청구 대행 기관, 코딩 서비스, 채권 추심 업체 등 외부 조직과 청구 업무를 위해 PHI를 공유하면, 해당 조직은 HIPAA상 업무 제휴자(Business Associate)가 되며 업무 제휴 계약(BAA)에 서명해야 합니다. BAA는 업무 제휴자에게 적용 대상 기관과 동일한 수준으로 PHI를 보호하고 모든 침해 사고를 신속하게 보고할 의무를 부과합니다. 서명된 BAA 없이 어떤 업체와든 PHI를 공유하는 것은 침해 사고 여부와 관계없이 명백한 HIPAA 위반입니다.
가장 흔한 HIPAA 청구 위반 사례
- 보안되지 않은 이메일이나 암호화되지 않은 파일 전송으로 청구를 보내는 경우
- 청구 담당 직원끼리 로그인 정보를 공유하는 경우
- 암호화나 원격 삭제 기능 없이 개인 기기에 PHI를 저장하는 경우
- 업체, 청구 대행 기관, 채권 추심 업체와 BAA를 체결하지 않는 경우
- 다른 사람이 들을 수 있는 곳에서 환자의 청구 내용을 논의하는 경우
- EOB나 청구서를 잘못된 주소로 발송하는 경우
- 청구 담당 직원의 연간 HIPAA 교육을 건너뛰는 경우
HIPAA를 준수하는 청구 파트너 선택하기
업무를 위탁할 때는 청구 업체가 서명된 BAA, 암호화된 데이터 전송, 문서화된 보안 정책, 연간 직원 교육, 공식 침해 통지 절차를 포함한 포괄적인 HIPAA 준수 체계를 갖추고 있는지 확인하십시오. 보안 인증과 함께 전송 중, 저장 시, 계약 종료 시의 PHI 취급 방식도 문의하십시오. 보호 조치가 마련되어 있지 않았다면 업체의 HIPAA 위반이 귀 병의원에까지 영향을 미칠 수 있습니다.
청구 팀이 알아야 할 세 가지 규정
청구 팀은 주로 세 가지 HIPAA 연방 규정의 적용을 받아 업무를 수행합니다. 이 글은 일반적인 교육 자료이며 법률 자문이 아닙니다. 의무 사항은 규모, 소재 주, 계약에 따라 달라지므로 세부 사항은 자격을 갖춘 의료 분야 변호사와 확인하십시오.
| 규정 | 규율하는 내용 | 청구에 미치는 의미 |
|---|---|---|
| 개인정보 규정(Privacy Rule) | 누가 어떤 목적으로 PHI를 사용하거나 공개할 수 있는지 | 청구는 허용되는 "지급" 목적의 사용이지만 공개는 제한되어야 하며, 환자에게는 기록 열람 등의 권리가 있습니다 |
| 보안 규정(Security Rule) | ePHI를 위한 관리적, 물리적, 기술적 보호 조치 | 청구 시스템, 청구 대행 기관 연결, 노트북, 공유 드라이브, 클라우드 도구를 포괄합니다 |
| 침해 통지 규정(Breach Notification Rule) | 보호되지 않은 PHI가 허용되지 않게 사용되거나 공개되었을 때의 대응 | 사고 평가가 필요하며, 보고 대상 침해의 경우 영향을 받은 개인, HHS, 때로는 언론에 통지해야 합니다 |
청구에서의 최소 필요 기준
대부분의 사용 및 공개에서 HIPAA는 PHI를 필요한 최소한으로 제한하도록 요구합니다. 제공자 간의 치료 목적 공개는 예외입니다. 청구 업무에서는 다음과 같이 합니다.
- 직원에게 역할 기반 접근 권한을 부여합니다. 수납 처리 담당자에게는 진료 기록이 필요하지 않습니다.
- 지급자에게는 요청한 자료만 보내고 전체 차트를 보내지 않습니다.
- 교육이나 분석 예시에서는 불필요한 식별 정보를 삭제합니다.
- 환자 청구서에는 청구액과 잔액을 설명하는 내용만 담습니다.
- 접근 내역을 기록하고, 담당 역할이 바뀌면 검토합니다.
보안 위험 분석 수행
문서화된 전사적 위험 분석은 보안 규정의 핵심 요건이며 OCR 조사에서 자주 지적되는 사항입니다. 환경이 바뀌면 분석을 반복하고 갱신하십시오.
- ePHI가 있는 곳 파악청구 데이터를 생성, 저장 또는 전송하는 모든 시스템, 기기, 클라우드 서비스, 청구 대행 기관 연결, 백업, 업무 흐름을 목록으로 정리합니다.
- 위협과 취약점 파악기기 분실, 피싱, 랜섬웨어, 이메일 오발송, 취약한 비밀번호, 패치되지 않은 소프트웨어를 고려합니다.
- 발생 가능성과 영향 평가각 위험의 등급을 매겨 가장 높은 위험부터 처리합니다.
- 기존 보호 조치 검토기존 암호화, 다단계 인증, 로그 기록, 백업을 점검합니다.
- 위험 관리 계획 수립미비한 부분을 보완할 담당자와 일정을 지정하고, 수용하기로 한 잔여 위험은 기록합니다.
- 문서화 및 반복서면 분석 자료를 보관하고, 새 시스템이나 업체 도입 등 중요한 변경이 있으면 갱신합니다.
접근 통제와 일상적인 보호 조치
- 고유 사용자 ID: 공유 로그인은 감사 기록을 무력화합니다.
- 강력한 인증: 원격 접속, 이메일, 청구 시스템에 다단계 인증을 사용합니다.
- 최소 권한: 역할에 필요한 권한만 부여하고, 퇴사나 역할 변경 시 즉시 회수합니다.
- 암호화: 노트북, 휴대폰, 이동식 저장 매체를 포함해 전송 중 및 저장 시의 ePHI를 보호합니다.
- 감사 로그: 접근 로그를 주기적으로 검토하여 이상 활동이 없는지 확인합니다.
- 안전한 전송: 일반 이메일이 아닌 보안이 적용된 청구 대행 기관 채널 또는 SFTP를 사용합니다.
- 업무 환경 수칙: 자동 로그오프, 보안 필름, 종이 기록 잠금 보관.
- 교육: 신규 입사자는 입사 시 교육하고, 정기적으로 재교육하며, 참석 기록을 보관합니다.
업무 제휴 계약(BAA) 체크리스트
청구 업체, 청구 대행 기관, 코딩 업체, 채권 추심 업체, IT 업체 또는 PHI를 저장하는 클라우드 서비스와 PHI를 공유하기 전에 BAA가 체결되어 있어야 합니다. 충실한 BAA는 일반적으로 다음 내용을 포함합니다. 문구는 변호사의 검토를 받으십시오.
- PHI의 허용되는 사용 및 공개 범위와 그 외 사용의 금지
- 보안 규정 준수를 포함한 필수 보호 조치
- 정해진 기간 내의 사고 및 침해 신속 보고
- PHI를 다루는 하도급 업체에도 동일한 의무를 적용
- 환자의 열람 및 정정 요청 지원
- 계약 종료 시 PHI 반환 또는 파기, 반환이 불가능한 경우 지속적인 보호
- 중대한 위반 시 계약을 해지할 수 있는 권리
침해 사고 발생 시 대응 단계
침해 통지 규정은 보호되지 않은 PHI의 허용되지 않은 사용 또는 공개를, 문서화된 위험 평가에서 유출 가능성이 낮다고 확인되지 않는 한 침해로 간주합니다.
- 확산 차단계정을 비활성화하고, 메시지를 회수하거나, 기기를 회수합니다.
- 증거 보존로그와 기록을 보관합니다. 아직 시스템을 초기화하지 마십시오.
- 내부 보고개인정보 및 보안 책임자에게 알리고, 상황에 따라 변호사와 사이버 보험사에도 알립니다.
- 위험 평가PHI의 성격, 수령자, 실제로 열람되거나 취득되었는지 여부, 위험이 어느 정도 줄었는지를 기록합니다.
- 요구에 따른 통지보고 대상 침해인 경우 부당한 지연 없이, 늦어도 발견 후 60일 이내에 영향을 받은 개인에게 통지합니다. HHS에는 500명 이상에게 영향을 미친 침해는 동일한 60일 기한 내에, 그보다 소규모인 침해는 해당 연도 말 이후 60일 이내에 보고하며, 한 주에서 대규모 침해가 발생한 경우 언론에도 알립니다. 업무 제휴자는 적용 대상 기관에 통지해야 합니다. 일부 주에서는 더 짧은 기한을 추가로 정하고 있습니다.
- 시정 및 기록근본 원인을 시정하고, 직원을 재교육하며, 위험 분석을 갱신합니다.
흔한 실수와 시정 방법
| 실수 | 해결 |
|---|---|
| 문서화된 위험 분석이 없거나 수년간 갱신되지 않음 | 지금 작성하고, 이후 일정에 따라 그리고 중요한 변경 후에 갱신합니다 |
| PHI에 접근하지만 BAA가 없는 업체 | 업체 목록을 파악한 뒤, PHI가 더 전달되기 전에 BAA를 체결하거나 갱신합니다 |
| 청구 시스템의 로그인 공유 | 고유 ID를 발급하고 감사 로그를 활성화합니다 |
| 청구서나 명세서를 일반 이메일로 발송 | 보안 전송과 환자 포털 또는 암호화된 메시지를 사용합니다 |
| 암호화되지 않은 노트북과 휴대폰 | 암호화와 원격 삭제를 의무화하고 개인 기기 사용을 제한합니다 |
| 퇴사한 직원이 접근 권한을 유지함 | 퇴사 절차 체크리스트에 계정 삭제를 추가합니다 |
| 교육을 한 번만 하고 기록하지 않음 | 재교육 일정을 잡고 출석 기록을 보관합니다 |
변호사와 상담하십시오. 이 개요는 일반적인 내용입니다. 주 법률, 지급자 계약, 귀사의 위험 특성에 따라 HIPAA 외의 요건이 추가될 수 있습니다. 의료 분야 변호사 또는 자격을 갖춘 규정 준수 전문가에게 정책, BAA, 사고 대응 계획의 검토를 받으십시오.
핵심 요약
- 청구 업무는 개인정보 규정, 보안 규정, 침해 통지 규정과 매일 맞닿아 있습니다.
- 모든 업무에 최소 필요 원칙과 역할 기반 접근 권한을 적용하십시오.
- 문서화된 최신 위험 분석은 보안 규정 준수의 기반입니다.
- 어떤 업체든 PHI를 보기 전에 BAA를 체결하십시오.
- 서면 침해 대응 계획을 보유하고 연방 및 주 기한을 숙지하십시오.