Pengenal HIPAA 18: Deteksi PHI Lengkap untuk...

18 Kategori HIPAA PHI

Peraturan HIPAA 45 CFR 164.502 mendefinisikan informasi kesehatan yang terlindungi (PHI) sebagai:

1. Nama
2. Nomor jaminan sosial (SSN)
3. Tanggal (lahir, masuk rumah sakit, discharge, kematian)
4. Alamat (kota, county, zipcode, negara)
5. Nomor telepon
6. Nomor faks
7. Alamat email
8. Nomor rekening medis
9. Nomor polis asuransi kesehatan
10. Nomor identifikasi penerima
11. Nomor identifikasi rencana kesehatan
12. Nomor identifikasi pekerja
13. Nomor lisensi
14. Nomor identifikasi kendaraan dan nomor plat
15. Asal geografis (riwayat tinggal lebih kecil dari county, kecuali state-level OK)
16. Tanggal lengkap: tanggal lahir, tanggal masuk, tanggal rujukan, tanggal pemeriksaan
17. Informasi biometrik termasuk sidik jari dan scan suara
18. Foto dan citra wajah apa pun; dan anggaran identifikasi atau nomor yang sebaliknya dapat diidentifikasi

Alat PII standar (seperti Presidio) menangkap kategori 1-10 dengan baik tetapi sering melewatkan 11-18, terutama:

• Kategori 15: Asal geografis di bawah tingkat county (misalnya, nama kota dalam dokumen pindaian)
• Kategori 16: Tanggal lengkap dalam konteks medis (misalnya, "Pasien mengalami stroke pada 15 Maret 2020")
• Kategori 17: Biometrik (sidik jari, scan suara) — biasanya hanya terlihat dalam dokumen media

Kesenjangan Deteksi HIPAA Umum

73% organisasi kesehatan hanya mendeteksi 6-8 dari 18 kategori PHI:

• Dideteksi dengan baik: nama, SSN, nomor telepon, nomor rekening medis (1, 2, 5, 8)
• Sering terlewatkan: asal geografis lokal (kota, jalan), tanggal lengkap dalam narasi, biometrik, informasi identifikasi kendaraan

Contoh kasus pelanggaran:

• Catatan pasien: "Pasien Sarah, DOB 3/15/1975, dari Springfield, IL, mengalami stroke pada 15/3/2020"
• Alat PII standar: mendeteksi "Sarah" (nama) + "3/15/1975" (DOB) + "IL" (state, OK untuk dihapus)
• Terlewatkan: "Springfield, IL" (asal geografis county-level, harus dihapus per 45 CFR 164.514(b)(2)(iv)), "15/3/2020" (tanggal lengkap dalam narasi, berbeda dari DOB)

OCR OCR HIPAA mengklasifikasikan pelanggaran seperti itu sebagai "ketidakpatuhan identifikasi" jika organisasi tidak dapat menunjukkan usaha yang masuk akal untuk mendeteksi PHI 18 kategori.

Implementasi Deteksi PHI Lengkap

Organisasi dapat mengatasi kesenjangan dengan:

1. Validator geografis — untuk setiap dokumen medis, ekstrak nama kota dan bandingkan dengan database kota AS (untuk HIPAA compliance)
2. Pengenalan tanggal kontekstual — gunakan model NER kesehatan khusus untuk mendeteksi tanggal dalam kalimat medis (misalnya, "pasien mengalami stroke pada 15 Maret 2020")
3. Deteksi biometrik — jika dokumen adalah gambar, gunakan OCR + deteksi wajah untuk flag informasi identifikasi wajah
4. Validasi checksum identifikasi kendaraan — untuk nomor plat dan nomor identifikasi kendaraan (VIN), validasi format nasional

Contoh pengayaan deteksi geografis:

• Sistem memindai dokumen medis: "Pasien dari Springfield, IL"
• Regex dasar tidak mendeteksi (bukan nama asli, hanya kota)
• Pencarian geografi: Springfield, IL → tingkat county (Sangamon County), <100,000 penduduk
• Flag untuk dihapus: Springfield, IL adalah asal geografis county-level, melanggar HIPAA 45 CFR 164.514(b)(2)(iv)

Kepatuhan HIPAA

Deteksi PHI lengkap 18 kategori memenuhi persyaratan HIPAA:

• Safe Harbor — 45 CFR 164.514(b) mendefinisikan jenis informasi yang harus dihapus
• Expert Determination — alternatif untuk Safe Harbor, organisasi harus menunjukkan bahwa risiko re-identifikasi <0.04%
• Akuntabilitas — deteksi yang tepat membuktikan usaha yang masuk akal untuk kepatuhan

Organisasi kesehatan harus secara rutin mengaudit alat PII mereka terhadap dataset uji 18 kategori untuk memastikan kepatuhan.