Redaksi yang Dapat Dijelaskan: Audit Trail untuk Kepatuhan HIPAA
Office for Civil Rights (OCR) HHS dapat meminta audit mendadak kepatuhan HIPAA. Ketika itu terjadi, Anda memerlukan audit trail redaksi yang dapat menjelaskan setiap keputusan yang dibuat selama de-identifikasi data.
Apa yang Diminta dalam Audit HIPAA
Auditor OCR biasanya mengevaluasi:
- Kebijakan dan prosedur tertulis untuk de-identifikasi PHI
- Bukti bahwa prosedur diikuti secara konsisten
- Pelatihan staf pada protokol de-identifikasi
- Log dari keputusan de-identifikasi spesifik
Untuk alat de-identifikasi, ini berarti mereka ingin melihat: entitas apa yang terdeteksi, apa yang diredaksi, oleh siapa, dan kapan.
Dua Metode De-identifikasi HIPAA
HIPAA mengakui dua metode resmi:
Metode Safe Harbor: Hapus 18 kategori identifier PHI yang spesifik:
- Nama
- Lokasi geografis lebih spesifik dari negara bagian
- Tanggal (kecuali tahun) terkait individu
- Nomor telepon
- Nomor fax
- Alamat email
- Nomor jaminan sosial
- Nomor rekam medis
- Nomor penerima manfaat kesehatan
- Nomor rekening bank
- Nomor sertifikat/lisensi
- Identifier kendaraan dan serial number
- Identifier perangkat
- URL web
- Alamat IP
- Identifier biometrik (sidik jari, retina)
- Foto wajah
- Nomor identifikasi unik lainnya
Metode Pakar: Pakar statistik bersertifikat memvalidasi bahwa risiko re-identifikasi sangat kecil.
Membangun Audit Trail yang Dapat Dipertahankan
Audit trail HIPAA yang baik harus mencatat:
Tanggal/Waktu: 2025-03-15 14:23:07 UTC
Dokumen: patient_notes_12345.pdf
Metode: Safe Harbor
Reviewer: Dr. Amanda Chen (ID karyawan: E-4521)
Entitas Terdeteksi:
- Nama: "John Smith" (kepercayaan: 0.98) → DIREDAKSI
- Tanggal: "03/15/1985" (kepercayaan: 0.95) → DIREDAKSI [tanggal lahir]
- MRN: "MRN-4521-B" (kepercayaan: 0.91) → DIREDAKSI
- Tanggal: "2024" (kepercayaan: 0.88) → DISIMPAN [hanya tahun, diizinkan]
- Nama Obat: "Metformin" (kepercayaan: 0.99) → TIDAK DIREDAKSI [bukan PHI]
Status: De-identifikasi Selesai
Integrasi dengan Sistem EHR
Untuk organisasi healthcare dengan sistem EHR besar:
- Audit trail harus dapat diekspor dalam format yang dapat dianalisis (CSV, JSON)
- Harus terintegrasi dengan SIEM atau sistem logging keamanan yang ada
- Harus mendukung pencarian dan pelaporan berbasis waktu
anonym.legal menyediakan audit trail terperinci dalam format JSON yang dapat diintegrasikan dengan sistem compliance monitoring yang ada.
Sumber:
- HHS: De-identification of Protected Health Information (November 2012)
- HHS OCR: HIPAA Audit Program