HIPAA Safe Harbor: การตรวจจับรูปแบบ MRN เฉพาะโรงพยาบาลโดยไม่ต้องวิศวกรรม

HIPAA Safe Harbor De-Identification: การตรวจจับรูปแบบ MRN เฉพาะโรงพยาบาลโดยไม่ต้องวิศวกรรม

การ de-identification ตาม HIPAA Safe Harbor กำหนดให้ลบ "หมายเลขบันทึกทางการแพทย์" ในฐานะหนึ่งใน 18 ประเภทตัวระบุ ดูเหมือนตรงไปตรงมาจนกว่าคุณจะเผชิญกับความท้าทายในการดำเนินงานที่แท้จริง: หมายเลขบันทึกทางการแพทย์ไม่ได้มีมาตรฐาน

Epic สร้าง MRN ในรูปแบบหนึ่ง Cerner ใช้รูปแบบที่แตกต่าง Meditech ใช้รูปแบบอื่น เครือข่ายโรงพยาบาลกำหนดรหัสสถานที่ของตนเอง ผลที่ได้: เครื่องมือ PII มาตรฐานที่สแกนเอกสารทางคลินิกเพื่อหา "หมายเลขบันทึกทางการแพทย์" ไม่มีทางรู้ได้ว่าสถาบันของคุณใช้รูปแบบอะไร — และจะพลาดทั้งหมด

ปัญหาการมาตรฐาน MRN

ระบบสาธารณสุขของสหรัฐฯ ไม่มีมาตรฐานระดับชาติสำหรับรูปแบบหมายเลขบันทึกทางการแพทย์ แต่ละสถาบัน (หรือผู้จำหน่าย EHR) กำหนดรูปแบบของตนเอง:

รูปแบบทั่วไปที่พบ:

• Epic-style: ตัวเลข 8-12 หลัก (เช่น 123456789)
• Cerner-style: คำนำหน้ารหัสโรงพยาบาล + ตัวเลข (เช่น MGH-987654)
• เครือข่ายระดับภูมิภาค: รหัสสถานที่ + ปี + ลำดับ (เช่น HOSP-2023-456789)
• Veterans Affairs: 9 หลักพร้อมรูปแบบ check digit เฉพาะ
• ระบบกุมารเวช: คำนำหน้าประเภทผู้ป่วย + ตัวเลข (เช่น PED-12345678)

สิ่งที่เครื่องมือ PII มาตรฐานตรวจจับ: เครื่องมือมาตรฐานมักเน้นที่ตัวระบุที่มีรูปแบบมาตรฐาน: SSN (XXX-XX-XXXX), หมายเลขโทรศัพท์ (XXX-XXX-XXXX), ที่อยู่อีเมล, วันที่ MRN หมายเลขบัญชี และหมายเลขใบรับรอง/ใบอนุญาต — ประเภท HIPAA 8, 10, และ 11 — เฉพาะสถาบันและต้องการการกำหนดค่าแบบกำหนดเอง

ความเสี่ยงการปฏิบัติตามกฎระเบียบ

เครือข่ายโรงพยาบาลระดับภูมิภาคเตรียมแชร์ข้อมูลผู้ป่วยที่ de-identified กับพันธมิตรการวิจัยมหาวิทยาลัย EHR สร้าง MRN ในรูปแบบ: HOSP-YYYY-XXXXXX

พวกเขารันชุดข้อมูลผ่านเครื่องมือ HIPAA de-identification มาตรฐาน เครื่องมือลบออก:

• ชื่อผู้ป่วย ✓
• วันที่ (เกินกว่าปี) ✓
• หมายเลขโทรศัพท์ ✓
• ที่อยู่อีเมล ✓
• SSN ✓

เครื่องมือไม่ลบ MRN — เพราะ HOSP-2023-456789 ไม่ตรงกับรูปแบบ MRN ในตัวใดๆ

นักวิจัยได้รับชุดข้อมูล รัน join กับบันทึกภายในและสามารถระบุตัวตนซ้ำได้ผู้ป่วยที่ "de-identified" จำนวนมาก เครือข่ายโรงพยาบาลมีการละเมิด HIPAA

การสร้าง Custom Entity: วิธีแก้ไข

วิธีแก้คือการกำหนดรูปแบบ MRN เป็น custom entity ในเครื่องมือทำข้อมูลนิรนาม เจ้าหน้าที่ปฏิบัติตาม (ไม่ใช่วิศวกร) สามารถ:

1. ระบุรูปแบบ MRN ของสถาบัน: "ตัวระบุโรงพยาบาลที่ขึ้นต้นด้วย HOSP แล้วขีด แล้วปี 4 หลัก แล้วขีด แล้วตัวเลข 6 หลัก"
2. ใช้ AI pattern assistant เพื่อสร้าง regex ที่เหมาะสม: HOSP-\d{4}-\d{6}
3. ตรวจสอบกับเอกสารตัวอย่าง: อัปโหลดสรุปการจำหน่าย 20 รายการ ยืนยัน pattern จับ MRN ทั้งหมด
4. บันทึกเป็น custom entity: "Hospital MRN" — ใช้งานได้ในโหมดการประมวลผลทั้งหมด
5. รวมใน HIPAA de-identification preset: preset มาตรฐานบวก custom MRN entity ครอบคลุมประเภท Safe Harbor ทั้ง 18 ประเภทสำหรับสถาบันนี้

กำหนดเวลา: 3 วันของเวลาเจ้าหน้าที่ปฏิบัติตาม เทียบกับ 3 เดือนของคิวตั๋ว engineering สำหรับการพัฒนาโค้ดแบบกำหนดเอง

ตัวอย่าง: การนำไปใช้ในเครือข่ายโรงพยาบาลระดับภูมิภาค

องค์กร: เครือข่ายโรงพยาบาลระดับภูมิภาค 15 แห่ง รูปแบบ MRN: HOSP-YYYY-XXXXXX (ปรากฏใน PDF สรุปการจำหน่ายหลายพันรายการ) ความท้าทายการปฏิบัติตาม: การเตรียมชุดข้อมูลการวิจัยสำหรับพันธมิตรมหาวิทยาลัย (ข้อตกลงการใช้ข้อมูล HIPAA ดำเนินการแล้ว ต้องการ de-identification) แนวทางเดิม: ผู้จำหน่าย HIPAA de-identification ภายนอก (120,000 ดอลลาร์/ปี) ช่องว่างที่ค้นพบ: เครื่องมือผู้จำหน่ายไม่ตรวจจับรูปแบบ MRN เฉพาะสถาบัน

กระบวนการทำงานใหม่:

1. เจ้าหน้าที่ปฏิบัติตามกำหนด MRN pattern (20 นาที)
2. AI ช่วยตรวจสอบ regex (5 นาที)
3. ทดสอบกับสรุปการจำหน่ายตัวอย่าง 50 รายการ (30 นาที)
4. ยืนยัน MRN ทั้งหมดตรวจจับได้ ไม่มี false positives (10 นาที)
5. เพิ่มใน HIPAA de-identification preset ควบคู่กับ entity มาตรฐาน
6. ประมวลผลชุดข้อมูลการวิจัย 50,000 รายการแบบ batch

เวลารวมในการปิดช่องว่างการปฏิบัติตาม: 1 บ่าย

นอกเหนือจาก MRN: ตัวระบุเฉพาะสถาบันอื่นๆ

แนวทาง custom entity เดียวกันใช้บังคับกับประเภท HIPAA Safe Harbor อื่นๆ ที่องค์กรนำไปใช้ด้วยรูปแบบที่ไม่ได้มาตรฐาน:

หมายเลขผู้รับผลประโยชน์ประกันสุขภาพ (ประเภท 9): รหัสสมาชิกประกันเฉพาะบริษัทประกัน Aetna, Blue Cross, United Healthcare ใช้รูปแบบที่แตกต่างกัน

หมายเลขบัญชี (ประเภท 10): หมายเลขบัญชีโรงพยาบาลสำหรับการเรียกเก็บเงินเฉพาะสถาบัน

หมายเลขใบรับรอง/ใบอนุญาต (ประเภท 11): หมายเลข DEA แพทย์มีรูปแบบมาตรฐาน หมายเลขใบอนุญาตประกอบวิชาชีพแพทย์ของรัฐไม่มี

การตรวจสอบความถูกต้อง

วิธี Safe Harbor ของ HIPAA กำหนดให้ covered entity "ไม่มีความรู้จริงๆ ว่าข้อมูลสามารถใช้เพียงอย่างเดียวหรือร่วมกับข้อมูลอื่นเพื่อระบุตัวบุคคลได้"

สำหรับการตรวจสอบ:

1. ประมวลผลตัวอย่าง 50-100 เอกสารจากชุดข้อมูลการวิจัย
2. ตรวจสอบผลลัพธ์ที่ประมวลผลด้วยตนเอง — มีอะไรที่ดูเหมือนตัวระบุที่อาจเป็นไปได้หรือไม่
3. รันผลลัพธ์ผ่านการตรวจจับรอบที่สอง
4. บันทึกกระบวนการตรวจสอบ

สรุป

HIPAA Safe Harbor de-identification ไม่สำเร็จด้วยเครื่องมือ PII มาตรฐานที่กำหนดค่าสำหรับ pattern ทั่วไป หมายเลขบันทึกทางการแพทย์ — หนึ่งใน 18 ประเภทที่กำหนด — เฉพาะสถาบันและต้องการการตรวจจับแบบกำหนดเองเพื่อการปฏิบัติตาม

การสร้าง custom entity ปิดช่องว่างนี้ในชั่วโมง ไม่ใช่เดือน

แหล่งข้อมูล:

• HIPAA Safe Harbor: 45 CFR §164.514(b) — 18 Identifier Categories
• HHS: Guidance on De-identification of PHI
• ONC: EHR Interoperability and Patient Matching