Takaisin BlogiinTerveydenhuolto

18 HIPAA-tunnistetta, joita PII-työkalusi...

HIPAA listaa 18 PHI-tunnistetta. Useimmat anonymisointityökalut havaitsevat ehkä 6 niistä.

April 19, 20269 min lukuaika
HIPAA 18 identifiersPHI complete detectionMRN detectionNPI DEA numbersHIPAA Safe Harbor compliance

18-tunnistevaatimus

HIPAA:n yksityisyys sääntö (45 CFR Section 164.514) määrittelee Safe Harbor -anonymisointimenetelmän: suojatun terveystiedon anonymisoimiseksi on poistettava 18 erityistä tunnistetta. Safe Harbor -menetelmä on yksi kahdesta HIPAA-anonymisointimenetelmästä; sitä käytetään yleisemmin, koska vaatimustenmukaisuus on deterministinen — jos kaikki 18 kategoriaa poistetaan, tiedot anonymisoidaan lain mukaan.

18 kategoriaa:

  1. Nimet
  2. Maantieteelliset tiedot (pienempi kuin osavaltio — mukaan lukien katuosoite, kaupunki, piirikunta, postinumero)
  3. Päivämäärät (ilman vuotta) liittyen yksilöön — syntymä, sairaalaan pääsy, kotiutuminen, kuolema
  4. Puhelinnumerot
  5. Faksinumerot
  6. Sähköpostiosoitteet
  7. Sosiaaliturvatunnukset
  8. Potilastietonumerot (MRN)
  9. Terveydenhuoltosuunnitelman etuudetunnukset
  10. Tilinumerot
  11. Todistus/luvanumerot
  12. Ajoneuvotunnisteet ja sarjanumerot
  13. Laitetunnisteet ja sarjanumerot
  14. Verkkosivujen URL-osoitteet
  15. IP-osoitteet
  16. Biometriset tunnisteet (sormenjäljet, äänenpainot)
  17. Koko kasvokuvia ja verrattavia kuvia
  18. Mikä tahansa muu ainutlaatuinen tunnistusnumero tai -koodi

Useimmat PII-havaitsemistyökalut havaitsevat luotettavasti kategoriat 1, 4, 6 ja 7 — nimet, puhelinnumerot, sähköpostiosoitteet ja sosiaaliturvatunnukset. Ne epäonnistuvat systemaattisesti kategorioissa 8, 9, 10, 11, 13 ja 18.

MRN-havaitsemisvaje

Potilastietonumerot on nimenomaisesti lueteltu PHI-tunnisteena (kategoria 8). MRN-muodot vaihtelevat laitoksen mukaan — ei ole standardoitua kansallista muotoa. Sairaala A käyttää 7-numeroista kokonaislukua. Sairaala B käyttää "PT-YYYYNNNN", jossa YYYY on vuosi ja NNNN on järjestysnumero. Sairaala C käyttää alfanumeerista 8-merkkistä merkkijonoa. Sairaala D käyttää "MRN: " jota seuraa 9-numeroista lukua.

Yleinen PII-havaitsemistyökalu, joka ei tunne sairaala B:n MRN-muotoa, ei havaitse "PT-2024-8847" PHI-tunnisteena. Tämä MRN sisältävä asiakirja käsitellään anonymisoituna standardiprosessin jälkeen — vaikka se ei ole sitä.

Tämä luo vaatimustenmukaisuuden epäonnistumismoodin, joka on organisaatiolle näkymätön: anonymisointi näyttää olevan valmis, koska työkalu ei merkinnyt mitään rikkomuksia. Puuttuva havaitseminen on ongelma.

Räätälöity entiteettiratkaisu

Terveydenhuolto-organisaatioilla, jotka tarvitsevat MRN-havaitsemista, on kolme vaihtoehtoa. Ensinnäkin, toteuttaa havaitseminen suoraan Presidiossa — mikä vaatii Python-ohjelmointitaitoja ja jatkuvaa ylläpitoa, kun MRN-muodot kehittyvät. Toiseksi, ylläpitää manuaalista tarkistusvaihetta erityisesti MRN:ille — luoden systemaattisen heikon lenkin anonymisointiputkessa. Kolmanneksi, käyttää järjestelmää, joka tarjoaa AI-avusteista räätälöityä entiteettien luomista ilman koodin vaatimista.

AI-mallin apu: kliininen informatiikkatiimi tarjoaa 5 esimerkkisarjan MRN-arvoista (SVHS-0012345, SVHS-0987654, SVHS-1122334, SVHS-4455667, SVHS-8899001) ja pyytää havaitsemismallia. AI luo regexin — SVHS-d{7} — ja validoi sen annettujen esimerkkien perusteella. Malli tallennetaan tiimin HIPAA-vaatimustenmukaisuuden esiasetukseen. Kaikki seuraavat anonymisointisessiot havaitsevat tämän MRN-muodon automaattisesti.

Sama lähestymistapa pätee muihin laitoksen erityisiin tunnisteisiin: terveydenhuoltosuunnitelman etuudetunnusmuodot, laitteiden sarjanumeromuodot ja kaikki organisaatiolle spesifiset omat tunnuskoodit.

Lähteet:

Valmiina suojaamaan tietojasi?

Aloita PII-anonymisointi yli 285 entiteettityypillä 48 kielellä.