Czym jest HIPAA?
HIPAA to ustawa federalna Stanów Zjednoczonych uchwalona w 1996 roku. Dla bezpieczeństwa i prywatności danych kluczowe są jej przepisy wykonawcze wydane przez Departament Zdrowia (HHS), zebrane w 45 CFR części 160 i 164: Privacy Rule (zasady wykorzystywania i ujawniania chronionych informacji zdrowotnych, PHI), Security Rule (zabezpieczenia elektronicznych danych zdrowotnych, ePHI) oraz Breach Notification Rule (obowiązki zgłaszania naruszeń). Przepisy te wzmocniła ustawa HITECH z 2009 roku i rozporządzenie Omnibus z 2013 roku, które rozszerzyły odpowiedzialność bezpośrednio na partnerów biznesowych.
Security Rule jest neutralna technologicznie i oparta na ryzyku: wymaga zabezpieczeń administracyjnych, fizycznych i technicznych „rozsądnych i odpowiednich" do wielkości, zasobów i profilu ryzyka organizacji. Specyfikacje wdrożeniowe dzielą się na obowiązkowe (required) i warunkowe (addressable). Te drugie można zrealizować środkiem alternatywnym, ale decyzję trzeba udokumentować. Na początku 2025 roku HHS opublikował projekt nowelizacji Security Rule, który ma między innymi uczynić szyfrowanie i uwierzytelnianie wieloskładnikowe wprost obowiązkowymi. Warto śledzić finalizację tych przepisów.
Kogo dotyczy?
HIPAA obowiązuje dwie grupy podmiotów. Pierwsza to podmioty objęte (covered entities): świadczeniodawcy opieki zdrowotnej przesyłający dane elektronicznie (szpitale, przychodnie, apteki), plany zdrowotne (ubezpieczyciele) oraz izby rozliczeniowe (healthcare clearinghouses). Druga to partnerzy biznesowi (business associates), czyli każdy podmiot, który tworzy, otrzymuje, przechowuje lub przesyła PHI w imieniu podmiotu objętego: dostawcy oprogramowania i chmury, firmy rozliczeniowe, kancelarie, podmioty analityczne. Od rozporządzenia Omnibus partnerzy biznesowi (oraz ich podwykonawcy) odpowiadają za zgodność z Security Rule bezpośrednio przed regulatorem.
Dla europejskich firm technologicznych HIPAA staje się istotna w momencie wejścia na rynek amerykański: dostawca SaaS, który obsługuje amerykańskich klientów z sektora zdrowia, działa jako business associate i musi podpisać umowę BAA (Business Associate Agreement) oraz wdrożyć wymagane zabezpieczenia. Bez gotowości do podpisania BAA sprzedaż do amerykańskiej ochrony zdrowia jest w praktyce niemożliwa.
Security Rule — trzy grupy zabezpieczeń
Security Rule (45 CFR §164.302-318) porządkuje wymagania w trzy grupy zabezpieczeń, a fundamentem całości jest analiza ryzyka: pierwsza rzecz, o którą pyta regulator przy każdym postępowaniu.
- Zabezpieczenia administracyjne (§164.308): analiza i zarządzanie ryzykiem, wyznaczenie Security Official, bezpieczeństwo personelu, zarządzanie dostępem do informacji, szkolenia, procedury incydentów, plan awaryjny, okresowa ewaluacja oraz umowy z partnerami biznesowymi.
- Zabezpieczenia fizyczne (§164.310): kontrola dostępu do obiektów, zasady korzystania i zabezpieczenia stacji roboczych oraz kontrola urządzeń i nośników, łącznie z trwałym usuwaniem danych przed utylizacją.
- Zabezpieczenia techniczne (§164.312): kontrola dostępu (unikalne identyfikatory, dostęp awaryjny, automatyczne wylogowanie, szyfrowanie), mechanizmy audytu, integralność danych, uwierzytelnianie osób oraz bezpieczeństwo transmisji.
- Wymagania organizacyjne i dokumentacyjne (§164.314-316): treść umów BAA oraz obowiązek utrzymywania polityk i zapisów przez 6 lat.
Privacy Rule i zgłaszanie naruszeń
Privacy Rule określa, kiedy wolno wykorzystywać i ujawniać PHI (w każdej formie, także papierowej). Bez zgody pacjenta dopuszczalne są co do zasady wykorzystania do leczenia, rozliczeń i działalności operacyjnej; inne cele (na przykład marketing czy sprzedaż danych) wymagają pisemnej zgody (authorization). Regułą przekrojową jest zasada minimum niezbędnego. Pacjenci mają prawa: dostęp do dokumentacji (co do zasady w 30 dni), sprostowanie, zestawienie ujawnień, żądanie ograniczeń i poufnej komunikacji. Organizacja musi też opublikować informację o praktykach prywatności (Notice of Privacy Practices).
Breach Notification Rule nakazuje zawiadamiać o naruszeniach niezabezpieczonego PHI: osoby poszkodowane bez zbędnej zwłoki, najpóźniej w 60 dni; HHS przy naruszeniach dotykających 500 lub więcej osób w tym samym terminie (mniejsze zgłasza się raz do roku); media, gdy naruszenie dotyczy ponad 500 mieszkańców jednego stanu. Dane zaszyfrowane zgodnie z wytycznymi HHS korzystają z tak zwanego safe harbor: ich utrata nie podlega notyfikacji. Ciężar wykazania, że zawiadomienia wykonano albo nie były wymagane, spoczywa na organizacji.
Egzekwowanie, kary i „certyfikacja"
Zgodność z HIPAA egzekwuje Biuro Praw Obywatelskich HHS (Office for Civil Rights, OCR) na podstawie skarg, zgłoszonych naruszeń i własnych audytów. Kary cywilne są stopniowane według winy (od nieświadomości po świadome zaniedbanie) i sięgają (po korektach inflacyjnych) kwot rzędu dwóch milionów dolarów za kategorię naruszenia rocznie; ugody OCR z dużymi podmiotami przekraczały kilkanaście milionów dolarów. Za umyślne nadużycia grozi odpowiedzialność karna egzekwowana przez Departament Sprawiedliwości. Osobnym priorytetem egzekucyjnym OCR jest prawo dostępu pacjenta do dokumentacji (Right of Access Initiative).
HIPAA nie przewiduje oficjalnej certyfikacji. Żaden urząd nie wydaje „certyfikatu HIPAA", a deklaracje dostawców o „certyfikowanej zgodności" mają charakter wyłącznie handlowy. W praktyce rynkowej gotowość wykazuje się udokumentowaną analizą ryzyka, kompletem polityk i dowodów oraz niezależnymi atestacjami, którymi posługują się dostawcy technologii dla ochrony zdrowia, najczęściej HITRUST CSF lub raport SOC 2 rozszerzony o kryteria HIPAA.
Jak pomaga Guardiso?
Guardiso przekłada wymagania HIPAA na konkretny, mierzalny program zgodności: od pierwszej samooceny, przez analizę ryzyka, po komplet dowodów gotowych na audyt OCR lub na badanie dostawcy prowadzone przez klienta.
- Kontrole HIPAA tworzone automatycznie po włączeniu standardu: zabezpieczenia administracyjne, fizyczne i techniczne, Privacy Rule i Breach Notification, ze statusami wdrożenia i właścicielami.
- Rejestr ryzyk wspierający analizę ryzyka wymaganą przez §164.308(a)(1): identyfikacja zagrożeń dla ePHI, ocena, plany postępowania i ryzyko rezydualne.
- Polityki i procedury generowane z szablonów (bezpieczeństwo, incydenty, plan awaryjny, sankcje) z wersjonowaniem i akceptacją kierownictwa, gotowe do 6-letniej retencji dokumentacji.
- Rejestr dostawców i partnerów biznesowych z oceną ryzyka: kontrola, z kim macie podpisane BAA i kiedy oceniano ich zabezpieczenia.
- Zbieranie dowodów zgodności w jednym miejscu: szkolenia pracowników, przeglądy dostępów, logi, testy odtworzeniowe kopii zapasowych.
- Rejestr incydentów z oceną, czy zdarzenie stanowi naruszenie podlegające notyfikacji, oraz śledzeniem terminów zawiadomień.
- Mapowanie krzyżowe na ISO 27001, SOC 2 i NIST CSF. Praca wykonana dla jednego standardu zalicza pokrywające się wymagania HIPAA.