HIPAA-gegevensbewaring & back-up [vereiste & naleving]

Hoe lang moet u medische dossiers bewaren? Dit kan variëren en hoewel er geen specifieke HIPAA-vereisten zijn voor HIPAA dataretentie, zijn er wel beleidsregels waaraan u zich moet houden.

Hoewel e-mailarchivering niet verplicht is volgens de HIPAA Security Rule, moeten zorgverleners toch communicatie, waaronder e-mails die beschermde gezondheidsinformatie (PHI) bevatten, minimaal zes jaar bewaren. Gedurende deze periode mogen deze dossiers niet worden gewijzigd of verwijderd.

Wat is HIPAA en de Privacy Rule?

De Health Insurance Portability and Accountability Act (HIPAA) regelt de verantwoordelijkheid voor patiëntinformatie bij diverse zorgverleners en verzekeringsmaatschappijen. De wetgeving verdeelt HIPAA en de daarin opgenomen regels in drie afzonderlijke regels:

1. De Privacy Rule, die PHI definieert en de verantwoordelijkheden van Covered Entities (CE’s) en Business Associates (BA’s) bij het beheren van veilige toegang tot inhoud bepaalt.
2. De Security Rule beschrijft de minimale effectieve beveiligingsmaatregelen die CE’s en BA’s moeten nemen bij het beveiligen van gegevens, inclusief fysieke, administratieve en technische waarborgen.
3. De Breach Notification Rule, die voorschrijft hoe een CE of BA getroffen patiënten en het brede publiek moet informeren in het geval van een datalek.

Met betrekking tot de bescherming van medische dossieropslag en dataretentie moeten CE’s en BA’s zich houden aan zowel de Privacy als de Security Rules. De Privacy Rule beschrijft echter specifiek de vereisten voor het bewaren en vernietigen van PHI.

Het is belangrijk op te merken dat de in de Privacy Rule genoemde termijnen alleen betrekking hebben op niet-medische dossiers (e-mails, communicatie, enzovoort). De bewaartermijn van medische dossiers wordt per staat geregeld.

Wie mag informatie inzien onder HIPAA?

Het is belangrijk te weten dat HIPAA niet alleen geldt voor zorgverleners en verzekeringsmaatschappijen, maar ook voor andere entiteiten die mogelijk PHI verwerken. In het algemeen wordt elke zorgverlener, waaronder ziekenhuizen, artsen, tandartsen en apotheken, beschouwd als een covered entity onder HIPAA en mag PHI inzien voor behandeling, betaling en andere zorgprocessen.

Naast zorgverleners worden ook zorgverzekeraars, waaronder verzekeringsmaatschappijen, HMO’s en werkgevers met eigen verzekeringsplannen, als covered entities beschouwd en hebben zij toegang tot PHI. Andere entiteiten die onder HIPAA vallen zijn zorgverwerkende instanties, business associates van covered entities, en staats- en federale instanties onder bepaalde omstandigheden.

Patiënten hebben ook toegang tot hun eigen PHI en kunnen een ander machtigen om hun dossiers in te zien. In bepaalde gevallen kunnen familieleden en vrienden ook PHI inzien met toestemming van de patiënt. Tot slot kunnen bevoegde ambtenaren van de volksgezondheid PHI inzien wanneer dat nodig is om de verspreiding van besmettelijke ziekten te beheersen.

HIPAA-bestandsopslag volgens de HIPAA Privacy Rule

HIPAA-bestandsopslag is de veilige opslag van PHI op een elektronisch of fysiek medium, volgens de HIPAA Privacy Rule. Dit omvat het veilig bewaren van medische dossiers van patiënten, gezondheidsdossiers van medewerkers, facturatie-informatie en andere zorggerelateerde gegevens. PHI moet worden beschermd tegen ongeautoriseerde toegang.

Bij het kiezen van een methode om PHI op te slaan, is het belangrijk zowel de benodigde beveiligingsmaatregelen als de kosten van implementatie en onderhoud van de benodigde technologie in overweging te nemen. Organisaties moeten beveiligingsmaatregelen nemen die beschermen tegen zowel opzettelijke als onopzettelijke toegang, gebruik of openbaarmaking van PHI. Afhankelijk van het type gegevens dat wordt opgeslagen en de mogelijke risico’s, moeten organisaties encryptie en andere beveiligingsmaatregelen overwegen, zoals firewalls, toegangscontroles en andere authenticatiemethoden, om ongeautoriseerde toegang te voorkomen.

Organisaties moeten ook bepalen waar PHI moet worden opgeslagen en hoe deze beschermd moet worden. PHI moet worden opgeslagen op systemen die zijn getest op HIPAA-naleving en die continu worden gemonitord op beveiligingsupdates. Organisaties moeten ook een duidelijk gedefinieerde procedure hebben voor back-up, dataretentie en gegevensvernietiging.

Organisaties moeten beschikbare oplossingen voor bestandsopslag grondig evalueren om te waarborgen dat ze voldoen aan de specifieke behoeften van de organisatie. Het kiezen van een geschikte oplossing is een belangrijke stap om de veiligheid van PHI en de naleving van HIPAA-regelgeving te waarborgen.

Houd uw cloudopslag en back-up HIPAA-compliant

Als u werkt met gevoelige medische gegevens, is het cruciaal dat uw cloudopslag voldoet aan de HIPAA-regelgeving. Niet voldoen kan ernstige gevolgen hebben, zoals hoge boetes, rechtszaken en reputatieschade. Het is daarom essentieel om samen te werken met een cloudopslagprovider (CSP) die HIPAA-compliant oplossingen biedt. Dit betekent dat de provider specifieke beveiligingsmaatregelen inzet om PHI en andere gevoelige inhoud te beschermen, zoals encryptie, toegangscontroles en audit logs. Daarnaast moet de provider een Business Associate Agreement (BAA) met u ondertekenen, waarin hun verantwoordelijkheden rond gegevensbescherming in het kader van HIPAA-naleving worden vastgelegd. Door te kiezen voor een HIPAA-compliant cloudopslagoplossing, zorgt u ervoor dat uw gegevens veilig zijn en uw organisatie voldoet aan alle relevante regelgeving.

Het inzetten van een cloud-back-upoplossing die voldoet aan de HIPAA-vereisten voor dataretentie en back-up helpt zorgverleners niet alleen om HIPAA-naleving aan te tonen, maar verbetert ook hun beveiligingsstatus en gemoedsrust.

Wat zijn de HIPAA dataretentievereisten voor Covered Entities?

Volgens HIPAA-regelgeving moeten CE’s en BA’s medische dossiers bewaren voor een periode van minimaal zes jaar vanaf de aanmaakdatum of de laatste ingangsdatum, afhankelijk van welke datum het laatst is.

Deze wettelijke standaard geldt alleen voor specifieke documenten, waaronder:

1. Het schriftelijke of elektronische document dat de organisatie aanduidt als CE of BA.
2. Alle documentatie van beveiligings- en privacyprocedures die HIPAA-naleving aantonen.
3. Door HIPAA vereiste beoordelingsdocumentatie.
4. Overeenkomsten voor gegevensgebruik en andere formulieren die vereist zijn door HIPAA-naleving.
5. Ondertekende machtigingen van patiënten waarmee CE’s of BA’s PHI mogen vrijgeven, of documentatie van pogingen om deze machtigingen te verkrijgen.
6. Kennisgeving van privacypraktijken.
7. Medische en facturatiegegevens van patiënten.
8. Documentatie van HIPAA compliance officers en andere personen binnen de organisatie die verantwoordelijk zijn voor naleving. Dit omvat namen, functietitels en contactgegevens.
9. Verantwoording van alle openbaarmakingen van PHI.

Let op: individuele staten hebben hun eigen bewaartermijnen die voorrang hebben op HIPAA.

Deze dataretentievereisten zijn gelijk voor zowel Covered Entities als Business Associates. Beveiligingsstandaarden voor gegevensopslag onder HIPAA blijven hetzelfde voor langdurige opslag, dus overleg met uw provider of IT-team om uw HIPAA-naleving te waarborgen.

Hoewel online back-up niet verplicht is onder HIPAA, wordt het door HITECH wel aangemoedigd.

Is er een verschil tussen een HIPAA data back-upplan en een disaster recovery plan?

Ja. Een HIPAA Data Back-upplan richt zich op het back-uppen van PHI voor langdurige opslag en toegang. Dit plan beschrijft hoe gegevens worden geback-upt, het medium dat wordt gebruikt voor opslag en waar de back-ups worden opgeslagen. Het plan moet ook informatie bevatten over wanneer back-ups worden uitgevoerd, wie de back-ups controleert en hoe gegevens worden hersteld bij een systeemstoring of gegevensverlies.

Een disaster recovery plan daarentegen is een plan voor het reageren op en herstellen van een noodsituatie of ramp. Dit plan beschrijft de stappen die moeten worden genomen om de normale bedrijfsvoering te herstellen, zoals het opnieuw opstarten na een stroomstoring, apparatuurstoring, natuurramp of ander incident. Dit plan bevat ook noodcontactinformatie, procedures voor gegevensherstel en de stappen om de bedrijfscontinuïteit te waarborgen.

Waar moet ik op letten bij het ontwikkelen van een HIPAA data back-upplan?

Bij het opstellen van een HIPAA-compliant back-upstrategie moeten diverse factoren worden overwogen. Ten eerste is het essentieel om te bepalen welk type gegevens geback-upt moet worden, waar deze worden opgeslagen en wie er toegang toe heeft. Ten tweede moet u een analyse uitvoeren van de beveiligingsrisico’s bij het opslaan van de gegevens om potentiële kwetsbaarheden te identificeren. Ten derde moet de back-upstrategie specifieke maatregelen bevatten, zoals encryptie en toegangscontroles, om het risico op PHI-datalekken te beperken. Ook is het belangrijk om een disaster recovery plan op te stellen, zodat gegevens eenvoudig kunnen worden hersteld bij een datalek, cyberaanval of natuurlijke of door mensen veroorzaakte ramp. Verder moet u de back-upstrategie regelmatig testen en bijwerken om te zorgen dat deze relevant, effectief en in overeenstemming met de HIPAA-regelgeving blijft.

HIPAA-compliant PHI-dossiervernietigingsmethoden die voldoen aan HIPAA

Vereisten voor gegevensbescherming eindigen niet wanneer CE’s en BA’s medische dossiers vernietigen.

Dit komt doordat:

• Verwijderde gegevensdragers kunnen worden hersteld, waardoor PHI illegaal kan worden vrijgegeven.
• Onvoldoende gewiste of verwijderde gegevensdragers kunnen nog steeds PHI bevatten die illegaal toegankelijk is.

HIPAA beschrijft specifieke methoden voor het vernietigen van medische dossiers die voldoen aan de HIPAA dataretentievoorschriften:

1. Papieren dossiers moeten worden verbrand, versnipperd, uit elkaar getrokken of verpulverd zodat PHI onleesbaar wordt gemaakt.
2. Medicijnflesjes met etiketten waarop PHI staat moeten op de juiste manier worden vernietigd, meestal via een externe BA die fysieke objecten kan vernietigen.
3. Elektronische media moeten worden gewist of verwijderd met speciale software die gegevens verwijdert. Elektronische media kunnen ook fysiek worden vernietigd door te verpulveren of onleesbaar worden gemaakt door degaussing.

Bereik HIPAA-compliant dataretentie- en back-upvereisten met Kiteworks

Het Kiteworks Private Content Network beschermt PHI tegen ongeautoriseerde toegang om effectief te voldoen aan de HIPAA Data Retention en Backup vereisten. Belangrijke functies, waaronder volledige zichtbaarheid in alle bestandsactiviteiten, ondersteund door een gedetailleerde audit log, zorgen ervoor dat van elke handeling een registratie wordt bijgehouden, wat bijdraagt aan verantwoordelijkheid en naleving.

Met Kiteworks hebben organisaties de flexibiliteit om de bewaartermijnen voor verschillende soorten gevoelige gegevens, zoals PHI, aan te passen aan de specifieke vereisten die door HIPAA worden opgelegd. Deze mogelijkheid maakt efficiënte en op maat gemaakte dataretentie mogelijk, waardoor organisaties kunnen voldoen aan HIPAA en andere regelgeving en standaarden. Kiteworks biedt geautomatiseerde end-to-end encryptie om PHI te beschermen gedurende het hele e-mailtraject, zelfs via firewalls van verzender en ontvanger, wat de gegevensbeveiliging versterkt.

Kiteworks biedt ook granulaire toegangscontrolemechanismen, waarmee beheerders gebruikersrechten kunnen definiëren en de toegang tot PHI kunnen beperken op basis van rollen en verantwoordelijkheden. Dit zorgt ervoor dat alleen geautoriseerd personeel gevoelige inhoud kan bekijken, openen, bewerken of delen. Daarnaast biedt Kiteworks uitgebreide rapportagemogelijkheden, waaronder een HIPAA-compliancerapport met één klik, waarmee covered entities en hun business associates kunnen aantonen dat zij beschikken over adequate administratieve, fysieke en technische beveiligingsmaatregelen in overeenstemming met HIPAA.

Kiteworks integreert met veel oplossingen in uw beveiligingsinfrastructuur, zoals preventie van gegevensverlies (DLP), advanced threat protection (ATP), security information and event management (SIEM) en content disarm and reconstruction (CDR), om PHI-datalekken en cyberaanvallen te voorkomen. Daarnaast beschermen digital rights management (DRM)-functies zoals watermerken, bestandsencryptie en op permissies gebaseerde toegangscontroles PHI en andere gevoelige gegevens tegen ongeautoriseerde toegang of misbruik.

Wilt u meer weten over hoe Kiteworks u kan helpen bij het behalen van HIPAA-naleving, inclusief dataretentie en back-up, plan dan een demo die is afgestemd op uw specifieke use cases en bedrijfsvereisten.