HIPAA: Deteksi MRN Khusus Rumah Sakit

Diperbarui untuk 2026

De-Identifikasi HIPAA Safe Harbor: Mendeteksi Format MRN Khusus Rumah Sakit Tanpa Rekayasa

HIPAA Safe Harbor mengharuskan penghapusan nomor rekam medis. Ini adalah satu dari 18 jenis ID yang wajib dihilangkan. Kedengarannya sederhana. Masalahnya adalah format MRN tidak terstandarisasi.

Epic menggunakan satu format. Cerner menggunakan format yang berbeda. Meditech menggunakan format lain lagi. Setiap rumah sakit menambahkan kode sendiri. Kelompok kesehatan regional menciptakan lebih banyak format lagi. Alat PII standar tidak bisa mengetahui format Anda. Alat itu akan melewatkan MRN Anda.

Ini bukan risiko kecil. Tim IT layanan kesehatan sering menemukan MRN yang masih ada dalam dataset yang seharusnya sudah di-de-identifikasi. Alatnya hanya dikonfigurasi untuk jenis PII umum.

Masalah Format MRN

AS tidak memiliki standar nasional untuk nomor rekam medis. Setiap rumah sakit atau vendor EHR mendefinisikan format mereka sendiri.

Pola umum yang diamati:

• Gaya Epic: 8–12 digit numerik (mis. 123456789)
• Gaya Cerner: Prefiks kode rumah sakit + numerik (mis. MGH-987654)
• Jaringan regional: Kode fasilitas + tahun + urutan (mis. HOSP-2023-456789)
• Veterans Affairs: 9 digit dengan digit periksa
• Sistem pediatrik: Prefiks jenis pasien + numerik (mis. PED-12345678)

Tidak ada satu aturan yang cocok untuk semua ini. Tidak ada pola MRN universal.

Apa yang ditangkap alat PII standar: Sebagian besar alat HIPAA berfokus pada ID dengan format tetap. SSN mengikuti pola XXX-XX-XXXX. Nomor telepon mengikuti XXX-XXX-XXXX. Alamat email memiliki bentuk yang jelas. Ini mudah ditemukan.

MRN, nomor akun, dan nomor lisensi adalah jenis HIPAA 8, 10, dan 11. Ini bervariasi per rumah sakit. Mereka membutuhkan pengaturan khusus. Alat generik tidak akan mendeteksinya.

Kesenjangan Kepatuhan

Sebuah rumah sakit regional ingin berbagi data pasien dengan mitra penelitian universitas. EHR mereka menggunakan format MRN ini: HOSP-YYYY-XXXXXX.

Mereka menjalankan data melalui alat HIPAA mereka. Alat tersebut menghapus nama, tanggal, nomor telepon, dan SSN. Alat tidak menghapus MRN. HOSP-2023-456789 tidak cocok dengan aturan bawaan mana pun.

Peneliti mendapatkan dataset tersebut. Mereka menggabungkannya dengan catatan mereka sendiri. Catatan tersebut mencakup MRN dari rujukan masa lalu di rumah sakit yang sama. Banyak pasien kini bisa diidentifikasi kembali. Rumah sakit mengalami pelanggaran HIPAA.

Ini adalah mode kegagalan nyata. Lihat juga de-identifikasi HIPAA Safe Harbor untuk penelitian layanan kesehatan untuk informasi lebih lanjut tentang di mana Safe Harbor gagal.

Solusi: Pembuatan Entitas Kustom

Solusinya adalah mendefinisikan format MRN Anda sebagai entitas kustom. Seorang petugas kepatuhan bisa melakukannya. Tidak diperlukan insinyur.

Langkah-langkah:

1. Tuliskan formatnya: "Dimulai dengan HOSP, lalu tanda hubung, tahun 4 digit, tanda hubung, dan angka 6 digit"

2. Gunakan alat AI untuk membangun regex: HOSP-\d{4}-\d{6}

3. Uji pada 20 ringkasan pemulangan. Konfirmasi bahwa semua MRN terdeteksi.

4. Simpan sebagai entitas kustom bernama "Hospital MRN"

5. Tambahkan ke preset HIPAA Anda bersama 17 jenis ID standar lainnya

Proses ini membutuhkan waktu sekitar 3 hari bagi seorang petugas kepatuhan. Membangun kode kustom bisa memakan waktu 3 bulan.

Contoh: Jaringan Rumah Sakit 15 Fasilitas

Organisasi: Jaringan rumah sakit regional dengan 15 fasilitas

Format MRN: HOSP-YYYY-XXXXXX (dalam ribuan PDF ringkasan pemulangan)

Tujuan: Berbagi dataset penelitian dengan mitra universitas berdasarkan perjanjian penggunaan data HIPAA

Pendekatan lama: Vendor de-identifikasi eksternal seharga $120.000 per tahun

Kesenjangan yang ditemukan: Alat vendor tidak mendeteksi format MRN khusus institusi

Alur kerja baru:

1. Petugas kepatuhan mendefinisikan pola MRN — 20 menit
2. AI memvalidasi regex — 5 menit
3. Uji pada 50 ringkasan sampel — 30 menit
4. Konfirmasi tidak ada MRN yang tersisa, tidak ada false positive — 10 menit
5. Tambahkan entitas kustom ke preset HIPAA
6. Jalankan dataset lengkap 50.000 catatan dalam batch

Total waktu untuk menutup kesenjangan: satu sore.

Jaringan Multi-Fasilitas: Beberapa Format MRN

Jaringan rumah sakit yang dibangun melalui merger sering menjalankan beberapa sistem EHR. Setiap sistem lama mungkin menggunakan format MRN yang berbeda.

Cara menanganinya:

Buat entitas kustom terpisah untuk setiap format:

• "MRN Format A (Epic)" — 8 digit numerik
• "MRN Format B (Cerner lama)" — prefiks + 7 digit numerik
• "MRN Format C (afiliasi yang diakuisisi)" — kode negara bagian + tahun + urutan

Satu preset menyimpan ketiga entitas kustom plus jenis ID HIPAA standar. Setiap dokumen dari setiap fasilitas akan memiliki MRN-nya yang dihilangkan.

Lihat deteksi MRN kustom dalam pipeline HIPAA tanpa kode untuk panduan langkah demi langkah tentang pengaturan multi-format ini.

Di Luar MRN: Pengidentifikasi Non-Standar Lainnya

Pendekatan yang sama berlaku untuk jenis ID HIPAA Safe Harbor lainnya.

Nomor anggota rencana kesehatan (Kategori 9): Setiap perusahaan asuransi menggunakan formatnya sendiri. Aetna, Blue Cross, dan United Healthcare semuanya terlihat berbeda. Tim penagihan membutuhkan pola kustom untuk setiap pembayar.

Nomor akun (Kategori 10): Nomor akun penagihan rumah sakit berbeda per rumah sakit.

Nomor lisensi (Kategori 11): Nomor DEA memiliki format federal standar. Nomor lisensi medis negara bagian tidak. Setiap dewan negara bagian menggunakan formatnya sendiri.

Pengidentifikasi perangkat (Kategori 14): Nomor seri perangkat medis ditetapkan oleh masing-masing produsen.

Untuk setiap kategori ini, entitas kustom menutup kesenjangan tersebut. Tidak diperlukan insinyur.

Lihat pengidentifikasi PII kustom untuk anonimisasi organisasi untuk informasi lebih lanjut tentang jenis ID non-standar.

Validasi: Membuktikan Kepatuhan Safe Harbor

HIPAA Safe Harbor menyatakan bahwa entitas yang dicakup tidak boleh memiliki "pengetahuan nyata" bahwa data tersebut dapat mengidentifikasi seseorang. (45 CFR §164.514(b)(1))

Validasi entitas kustom membuktikan bahwa semua 18 jenis ID sudah tercakup.

Langkah-langkah validasi:

1. Proses 50–100 dokumen sampel dari dataset penelitian
2. Tinjau output — apakah ada sesuatu yang terlihat seperti ID?
3. Jalankan deteksi kedua untuk menangkap item yang terlewat
4. Dokumentasikan apa yang Anda lakukan

Pengaturan entitas kustom, tinjauan sampel, dan log pemrosesan Anda membentuk catatan Safe Harbor Anda.

Kesimpulan

Alat PII standar dengan pengaturan default tidak menyelesaikan de-identifikasi HIPAA Safe Harbor. Nomor rekam medis bersifat khusus per rumah sakit. Mereka membutuhkan deteksi kustom.

Pembuatan entitas kustom menutup kesenjangan ini dalam hitungan jam. Petugas kepatuhan dapat mendefinisikan pola, mengujinya, dan memproses data. Tidak diperlukan pekerjaan rekayasa.