18 identificadors HIPAA que la vostra eina passa per alt
Actualitzat per al 2026.
La HIPAA enumera 18 categories d'identificadors de PHI. La majoria d'eines d'anonimitzacio en detecten potser sis. Els altres dotze s'escapen, i cadascun es una bretxa de compliment.
La norma Safe Harbor
La Norma de Privacitat de la HIPAA (45 CFR, seccio 164.514) defineix la desidentificacio Safe Harbor. Les 18 categories d'identificadors han de desapareixer. Elimineu-los tots i les dades queden legalment desidentificades. Per aixo Safe Harbor es popular: es tot o res, no un judici de valor.
Les 18 categories son:
- Noms
- Dades geografiques inferiors a l'estat: adreces, ciutats, comtats, codis postals
- Dates excepte l'any: naixement, ingrés, alta, defuncio
- Numeros de telefon
- Numeros de fax
- Adreces de correu electronic
- Numeros de la seguretat social
- Identificadors de registre medic (MRN)
- Codis de beneficiaris de plans de salut
- Identificadors de compte
- Codis de certificats i llicencies
- Identificadors de vehicles i codis de serie
- Identificadors de dispositius i codis de serie
- URL web
- Adreces IP
- Identificadors biometrics: empremtes digitals, empremtes de veu
- Fotografies de cara completa i imatges similars
- Qualsevol altre codi o valor identificador unic
La majoria d'eines gestionen be les categories 1, 4, 6 i 7. Passen per alt habitualment les categories 8, 9, 10, 11, 13 i 18.
La bretxa dels MRN
Els identificadors de registre medic estan a la categoria 8. Els formats de MRN els estableix cada hospital. No hi ha cap estandard nacional als EUA.
L'hospital A usa un enter de 7 digits. L'hospital B usa "PT-AAAANNNN". L'hospital C usa una cadena alfanumerica de 8 caracters. L'hospital D escriu "MRN: " davant d'un codi de 9 digits.
Una eina generica no marcara "PT-2024-8847" com a PHI. El document supera les comprovacions de desidentificacio. Pero no esta desidentificat. Cap alerta salta. L'equip creu que la feina esta feta. No ho esta.
Aquesta es la pitjor mena de bretxa: una de silenciosa.
Tres maneres de solucionar-ho
Programar-ho a Presidio. Requereix coneixements de Python i manteniment continuat. Funciona, pero costa temps.
Afegir revisio manual. Una persona comprova cada document per trobar MRN. No escala.
Usar la creacio d'entitats personalitzades assistida per IA. No cal codi. L'equip proporciona valors de mostra. La IA construeix el patro.
Així funciona. Un equip proporciona cinc valors de MRN de mostra: SVHS-0012345, SVHS-0987654, SVHS-1122334, SVHS-4455667, SVHS-8899001. La IA retorna SVHS-\d{7} i ho comprova contra les mostres. L'equip ho desa al seu preso HIPAA. Totes les sessions futures detecten el format. El mateix enfocament funciona per als codis de beneficiaris i els codis de serie de dispositius.
Vegeu com funcionen els presets a la guia de deteccio de MRN HIPAA. Apreneu sobre el flux de treball de patrons amb IA.
La suposicio oculta
Molts equips fan proves amb un document de mostra que conte un nom i un numero de telefon. L'eina el supera. Assumeixen una cobertura total. Pero les mostres rarament inclouen identificadors especifics d'una institucio. Els MRN i els codis de beneficiaris semblen cadenes aleatories per a una eina generica. Superen el filtre sense cap marca.
Una auditoria Safe Harbor real mapa les 18 categories a un metode de deteccio. Per a la categoria 8, verifiqueu amb mostres de MRN reals del vostre propi hospital. No assumiu que l'eina coneix el vostre format.
Reviseu el marc complet a la nostra visio general de conformitat HIPAA.
Conclusio
Safe Harbor requereix que desaparaguin les 18 categories d'identificadors. Les eines generiques en cobreixen molt menys. Les bretxes, com ara els MRN, els codis de beneficiaris i els codis de serie de dispositius, no tenen cap format estandard, i per aixo les eines generiques els passen per alt. Les entitats personalitzades assistides per IA tanquen la bretxa sense codi ni revisio manual.
Fonts
- HHS: HIPAA Safe Harbor, 45 CFR, seccio 164.514 - hhs.gov.
- Shaip: tipus d'identificadors de PHI en la desidentificacio sanitaria - shaip.com.
- HHS OCR: orientacio sobre desidentificacio actualitzada el 2024 - hhs.gov.