Почему HIPAA обязателен в медицинском биллинге
Медицинский биллинг работает с защищенной медицинской информацией (PHI) на каждом этапе цикла доходов: демографические данные, коды диагнозов и процедур, страховые сведения и платежные записи. Поэтому биллинг является зоной высокого риска нарушений HIPAA. Office for Civil Rights (OCR) налагало штрафы в миллионы долларов за нарушения HIPAA, связанные с биллингом, а штрафы получали даже небольшие практики за нарушения, которых позволила бы избежать надлежащая программа соблюдения требований.
Что считается PHI в медицинском биллинге?
В биллинге PHI — это любая индивидуально идентифицируемая информация о здоровье: имя пациента, адрес, дата рождения, номер телефона, номер Social Security, номер медицинской карты, страховой ID, коды диагнозов и процедур, даты лечения и все остальное, что может обоснованно идентифицировать человека и относится к его здоровью, лечению или оплате. Все это должно быть защищено.
HIPAA Security Rule: технические меры защиты ePHI
HIPAA Security Rule устанавливает конкретные требования к защите электронной PHI (ePHI) — формы, в которой сегодня хранятся практически все данные биллинга. Обязательные технические меры включают контроль доступа, ограничивающий ePHI уполномоченными пользователями, аудит, отслеживающий, кто, к чему и когда обращался, контроль целостности, предотвращающий несанкционированное изменение, шифрование при передаче и хранении, а также автоматический выход из системы при неактивности. Каждая система биллинга, подключение к клиринговому центру и канал передачи должны соответствовать этим требованиям.
Соглашения с деловыми партнерами (BAA)
Когда охватываемая организация (covered entity — ваша практика) передает PHI внешней организации для выполнения функций биллинга, например биллинговой компании, клиринговому центру, службе кодирования или коллекторскому агентству, эта организация становится деловым партнером (Business Associate) по HIPAA и должна подписать соглашение с деловым партнером (BAA). BAA обязывает делового партнера защищать PHI по тому же стандарту, что и охватываемые организации, и незамедлительно сообщать о любой утечке. Передача PHI любому поставщику без подписанного BAA является прямым нарушением HIPAA, независимо от того, произошла ли утечка.
Самые распространенные нарушения HIPAA в биллинге
- Отправка клеймов по незащищенной электронной почте или через нешифрованную передачу файлов
- Совместное использование учетных данных сотрудниками биллинга
- Хранение PHI на личных устройствах без шифрования или удаленного стирания
- Отсутствие BAA с поставщиками, клиринговыми центрами или коллекторскими агентствами
- Обсуждение биллинга пациентов там, где это могут услышать посторонние
- Отправка EOB или счетов по неверным адресам
- Пропуск ежегодного обучения HIPAA для сотрудников биллинга
Выбор биллингового партнера, соответствующего HIPAA
При передаче биллинга на аутсорсинг убедитесь, что биллинговая компания обеспечивает полное соблюдение HIPAA, включая подписанные BAA, шифрование передачи данных, задокументированные политики безопасности, ежегодное обучение сотрудников и формальную процедуру уведомления об утечках. Спросите о сертификатах безопасности и об обращении с PHI при передаче, хранении и при прекращении сотрудничества. Нарушение HIPAA поставщиком может затронуть и вашу практику, если не были приняты меры защиты.
Три правила, которые должны знать команды биллинга
Команды биллинга в основном работают в рамках трех федеральных правил HIPAA. Эта статья носит общеобразовательный характер и не является юридической консультацией. Обязанности зависят от вашего размера, штата и договоров, поэтому уточняйте детали у квалифицированного юриста в сфере здравоохранения.
| Правило | Что регулирует | Что это значит для биллинга |
|---|---|---|
| Privacy Rule | Кто может использовать или раскрывать PHI и в каких целях | Биллинг относится к разрешенному использованию для «оплаты», но раскрытие должно быть ограничено, а у пациентов есть права, например доступ к своим записям |
| Security Rule | Административные, физические и технические меры защиты ePHI | Охватывает системы биллинга, подключения к клиринговым центрам, ноутбуки, общие диски и облачные инструменты |
| Breach Notification Rule | Действия при недопустимом использовании или раскрытии незащищенной PHI | Требует оценки инцидента и, при утечках, подлежащих уведомлению, извещения пострадавших лиц, HHS и иногда СМИ |
Стандарт минимально необходимого объема данных в биллинге
В большинстве случаев использования и раскрытия HIPAA требует ограничивать PHI минимально необходимым объемом. Исключение составляет передача данных между поставщиками для лечения. В биллинге:
- Предоставляйте сотрудникам доступ по ролям; специалисту по проведению платежей клинические записи не нужны.
- Отправляйте плательщикам только то, что они запрашивают, а не всю карту целиком.
- Удаляйте лишние идентификаторы в примерах для обучения или анализа.
- Ограничивайте счета пациентам тем, что объясняет начисление и остаток.
- Документируйте доступ и пересматривайте его при смене ролей.
Проведение анализа рисков безопасности
Задокументированный анализ рисков по всей организации — ключевое требование Security Rule и частая находка в расследованиях OCR. Повторяйте и обновляйте его при изменении вашей среды.
- Составьте перечень мест хранения ePHIПеречислите каждую систему, устройство, облачный сервис, подключение к клиринговому центру, резервную копию и рабочий процесс, которые создают, хранят или отправляют данные биллинга.
- Определите угрозы и уязвимостиУчтите потерянные устройства, фишинг, программы-вымогатели, письма, отправленные не туда, слабые пароли, необновленное программное обеспечение.
- Оцените вероятность и последствияОцените каждый риск, чтобы самые высокие обрабатывались первыми.
- Проверьте действующие меры защитыПроверьте действующее шифрование, многофакторную аутентификацию, журналирование и резервное копирование.
- Составьте план управления рискамиНазначьте ответственных и сроки устранения пробелов и зафиксируйте любой принятый остаточный риск.
- Документируйте и повторяйтеХраните письменный анализ и обновляйте его после крупных изменений, таких как новая система или поставщик.
Контроль доступа и повседневные меры защиты
- Уникальные ID пользователей: общие учетные записи нарушают журналы аудита.
- Надежная аутентификация: используйте многофакторную аутентификацию для удаленного доступа, электронной почты и систем биллинга.
- Минимальные привилегии: предоставляйте только то, что нужно для роли, и сразу отзывайте доступ при увольнении или смене роли.
- Шифрование: защищайте ePHI при передаче и хранении, включая ноутбуки, телефоны и съемные носители.
- Журналы аудита: периодически проверяйте журналы доступа на предмет необычной активности.
- Защищенная передача: используйте защищенные каналы клирингового центра или SFTP, а не обычную электронную почту.
- Привычки на рабочем месте: автоматический выход из системы, экраны конфиденциальности, бумажные документы под замком.
- Обучение: обучайте новых сотрудников при приеме на работу, регулярно повторяйте обучение и ведите учет посещаемости.
Контрольный список соглашения с деловым партнером
BAA должно быть заключено до передачи PHI биллинговой компании, клиринговому центру, поставщику услуг кодирования, коллекторскому агентству, IT-провайдеру или облачному сервису, который ее хранит. Надежное BAA, как правило, охватывает следующее; попросите юриста проверить формулировки:
- Разрешенное использование и раскрытие PHI и запрет любого другого использования
- Обязательные меры защиты, включая соблюдение Security Rule
- Своевременное сообщение об инцидентах и утечках в установленный срок
- Распространение тех же обязательств на субподрядчиков, имеющих доступ к PHI
- Поддержка запросов пациентов на доступ к данным и их исправление
- Возврат или уничтожение PHI при прекращении сотрудничества либо сохранение защиты, если возврат невозможен
- Ваше право расторгнуть соглашение при существенном нарушении
Если произошла утечка: порядок действий
Breach Notification Rule исходит из того, что недопустимое использование или раскрытие незащищенной PHI является утечкой, если задокументированная оценка рисков не показывает низкую вероятность компрометации.
- ЛокализуйтеОтключите учетную запись, отзовите сообщение или верните устройство.
- Сохраните доказательстваСохраните журналы и записи. Пока не стирайте данные в системах.
- Эскалируйте внутри организацииУведомите ответственных за конфиденциальность и безопасность, а при необходимости юриста и вашего страховщика киберрисков.
- Оцените рискЗадокументируйте характер PHI, кто ее получил, была ли она фактически просмотрена или получена и насколько снижен риск.
- Уведомите в установленном порядкеЕсли утечка подлежит уведомлению, известите пострадавших лиц без неоправданной задержки и не позднее 60 дней после обнаружения. Сообщите в HHS (об утечках, затрагивающих 500 и более человек, в тот же 60-дневный срок, о меньших утечках в течение 60 дней после окончания календарного года) и в СМИ при крупных утечках в одном штате. Деловые партнеры обязаны уведомить охватываемую организацию. В некоторых штатах установлены более короткие сроки.
- Устраните и задокументируйтеУстраните первопричину, повторно обучите сотрудников, обновите анализ рисков.
Типичные ошибки и их исправление
| Ошибка | Исправление |
|---|---|
| Нет задокументированного анализа рисков или он устарел на годы | Проведите его сейчас, затем обновляйте по графику и после крупных изменений |
| Поставщики с доступом к PHI, но без BAA | Составьте перечень поставщиков, затем заключите или обновите BAA до дальнейшей передачи PHI |
| Общие учетные записи в системе биллинга | Выдайте уникальные ID и включите журналирование аудита |
| Клеймы или счета отправляются обычной электронной почтой | Используйте защищенную передачу и портал пациента или шифрованные сообщения |
| Нешифрованные ноутбуки и телефоны | Обеспечьте шифрование и удаленное стирание и ограничьте использование личных устройств |
| Уволившиеся сотрудники сохраняют доступ | Добавьте удаление учетной записи в контрольный список увольнения |
| Обучение проведено один раз и не задокументировано | Запланируйте повторное обучение и ведите журналы подписей |
Обратитесь к юристу. Этот обзор носит общий характер. Законы штатов, договоры с плательщиками и ваш профиль рисков могут добавлять требования помимо HIPAA. Попросите юриста в сфере здравоохранения или квалифицированного специалиста по комплаенсу проверить ваши политики, BAA и план реагирования на инциденты.
Ключевые выводы
- Биллинг ежедневно затрагивает правила Privacy, Security и Breach Notification.
- Применяйте принцип минимально необходимого объема данных и доступ по ролям в каждой задаче.
- Задокументированный и актуальный анализ рисков — основа соблюдения Security Rule.
- Подпишите BAA до того, как любой поставщик получит доступ к PHI.
- Имейте письменный план реагирования на утечки и знайте федеральные сроки и сроки вашего штата.