Classificazione dati HIPAA: comprendere PHI e informazioni sanitarie protette

La Privacy Rule HIPAA

L'HIPAA (Health Insurance Portability and Accountability Act) Privacy Rule è una legge federale che protegge la privacy dei consumatori sanitari e stabilisce standard per uso e conservazione delle informazioni sanitarie. Classifica i dati in tre categorie:

1. Informazioni sanitarie (Health Information)

Include qualsiasi informazione relativa all'assistenza medica di un individuo (passata, presente o futura) creata o mantenuta da fornitori, assicuratori, datori di lavoro, scuole o autorità sanitarie pubbliche (es. CDC). Essendo la categoria più ampia, le "informazioni sanitarie" come tali non sono protette da HIPAA.

2. Informazioni sanitarie individualmente identificabili (Individually Identifiable Health Information)

Sottoinsieme più selettivo: include la definizione precedente più il requisito che l'informazione identifichi un individuo o fornisca base ragionevole per credere che possa essere usata per identificarlo.

3. Informazioni sanitarie protette - PHI (Protected Health Information)

È ciò che le disposizioni HIPAA sono progettate per proteggere. Include tutte le informazioni sanitarie individualmente identificabili con l'eccezione di alcuni registri scolastici e lavorativi (per dettagli vedere Family Educational Rights and Privacy Act).

Gerarchia delle categorie

Health Information ⊃ Individually Identifiable Health Information ⊃ PHI (con eccezioni)

Importanza pratica

Comprendere questa gerarchia è essenziale per determinare quali dati richiedono le tutele HIPAA (crittografia, controlli accesso, audit trail, formazione personale, accordi business associate, ecc.).