USA · HIPAA · HITECH · 42 CFR Part 2 · 45 CFR Parts 160 og 164

Alt USA ber en klinikk om, og hva programvaren gjør med det.

Dette er den fullstendige USA-siden. Den dekker hver regel som gjelder en praksis innen psykisk helse her, sier i klare ord hva hver av dem ber om, og viser hva som er bygget for å svare på det. Den siste delen er den de fleste dokumenter utelater: de faktiske forløpene, steg for steg, som kjører inne i programvaren — hva en ansatt ser, hva systemet sjekker, og hvor det nekter.

Du trenger ingen teknisk kunnskap for å lese den. Der en forskrift er navngitt, sier setningen ved siden av hva den forskriften faktisk vil, i vanlig språk. Ingenting her forutsetter at du har åpnet programvaren.

Personvern- og sikkerhetsansvarlige Klinikkledere Fagansvarlige Kjøpere som gjør aktsomhetsvurdering Advokater

4HIPAA-regler dekket 8 / 8tekniske sikringstiltak 7forløp gjennomgått 6 årmed utleveringer på forespørsel 521automatiske tester som går grønt

Reglene som gjelder Alt HIPAA ber om Privacy Rule Psykoterapinotater Sikkerhet: teknisk Sikkerhet: administrativ Sikkerhet: fysisk Avviksmelding 42 CFR Part 2 Slik virker det fra dag til dag Hvor grensene går Hva som blir hos deg

01 — Orientering

Seks sett regler, og hva hvert av dem egentlig handler om

Folk sier «HIPAA» som om det var én regel. Det er en lov med flere regler under, og de ber om ulike ting. Et system kan være sterkt på én og fraværende på en annen, og det er derfor det er verdt å skille dem før man ser på noen programvare i det hele tatt.

Her er hver av dem i én setning, fulgt av hvor denne plattformen står på den.

45 CFR 164 Subpart E

The Privacy Rule

Hva den handler om: hvem som får se helseopplysninger, hva en pasient kan be om, og hva som må skrives ned når opplysninger deles. Dette er der pasientens rettigheter bor — en kopi av journalen, en retting, en begrensning, og en liste over hvem opplysningene gikk til.

Der vi står: bygget, også de delene de fleste systemene utelater — utsettelsen på en forespørsel, kostnadsbaserte gebyrer, formatet pasienten ba om, å sende en kopi til noen de peker ut, og hva som skjer etter at en retting er nektet.

45 CFR 164 Subpart C

The Security Rule

Hva den handler om: hvordan elektroniske helseopplysninger beskyttes. Den har tre deler — teknisk (hva programvaren gjør), administrativ (hva virksomheten gjør), og fysisk (hvor utstyret er og hvem som kan ta på det).

Der vi står: alle åtte tekniske sikringstiltak bygget. Det administrative programmet har registreringer for hver del av det. De fysiske sikringstiltakene er registre for bygninger, arbeidsstasjoner og utstyr — fordi to av de fire standardene handler om registreringer, ikke låser.

45 CFR 164 Subpart D

The Breach Notification Rule

Hva den handler om: hva du må gjøre etter at helseopplysninger er eksponert. Vurder det mot fire faktorer, si det til de berørte innen 60 dager, si det til pressen hvis mer enn 500 innbyggere i én delstat er involvert, og si det til det føderale helsedepartementet.

Der vi står: bygget, med alt det over pluss de to klokkene som løper når en leverandør er den som oppdager det, og regelen om at en telefon fra politiet bare utsetter deg i 30 dager.

HITECH Act · 2009

HITECH

Hva den handler om: en senere lov som styrket HIPAA. Den er grunnen til at avviksmelding finnes i det hele tatt, at leverandører er direkte ansvarlige, og at en pasient som betaler for behandlingen sin selv i sin helhet, kan kreve at det ikke meldes til forsikringen.

Der vi står: bygget. Den begrensningen ved egenbetaling er den interessante — programvaren lar ikke ansatte avslå den, fordi loven ikke gir dem valget.

42 CFR Part 2

Journaler fra rusbehandling

Hva den handler om: en egen føderal regel, strengere enn HIPAA, for journaler fra føderalt støttet rusbehandling. Alt som deles, må bære et varsel som forbyr mottakeren å gi det videre.

Der vi står: bygget, også endringene fra 2024 — det ene samtykket som dekker behandling, betaling og drift, begrensninger som forstår Part 2, og Part 2-avvik som går gjennom HIPAA-prosessen.

Delstatsrett

Din egen delstat, oppå alt det

Hva den handler om: HIPAA er et gulv, ikke et tak. Californias CMIA, og regler i New York, Texas og andre steder går lenger — ofte på oppbevaringstider og på hva en mindreårig kan samtykke til selv.

Der vi står: innstillingene er per selskap, så en strengere delstatsregel kan settes opp istedenfor å bli diskutert. Hva innstillingen bør være, er et spørsmål for din advokat, og dette er det ene punktet på siden ingen programvare kan svare på for deg.

02 — Hele listen

Alt HIPAA ber en praksis om, og hva vi gjør med hvert punkt

Dette er den fullstendige listen, i vanlige ord. Hver rad er noe loven ber praksisen din om, og ved siden av står hva programvaren gjør med det — i én setning, uten fagsjargong.

Leser du bare ett avsnitt på denne siden, les dette. Alt etter det er samme stoff i mer dybde, for den som må sjekke detaljene.

✓Programvaren gjør detBygget og i drift. Du kan bli vist det på et levende system. ⚙Programvaren gjør det, du setter talleneMaskineriet er der. Hvor lenge, hvor strengt, og hvem — det er ditt. ◐Delvis derNoe reelt mangler fortsatt, og avsnitt 11 sier nøyaktig hva. §Ikke noe programvare kan gjøreDet handler om bygget ditt, folkene dine eller papirene dine. Avsnitt 12.

Pasientenes rettigheter over sine egne journaler

Hva loven krever		Hva vi gjør
Gi pasienter en personvernmelding	✓	Meldingen bevares som en datert versjon, og når en pasient kvitterer for den, noterer vi hvilken versjon de faktisk så — ikke bare at de kvitterte for noe.
La en pasient se og få en kopi av journalen sin	✓	Forespørselen er en oppgave med et navn på og en frist systemet regner ut. Ingen skriver datoen, så ingen skriver den gale.
Gi det til dem i den formen de ba om	✓	Kunne du ikke lage det de ba om, lukker forespørselen seg ikke før det du ble enige om isteden er skrevet ned.
Krev ikke mer enn et rimelig gebyr	✓	Bare de fire kostnadene loven tillater, kan legges inn. Det er ingen steder å skrive de ekstra tingene som vanligvis gir boten.
La en pasient be deg rette journalen sin	✓	En retting overskriver aldri originalen — den legger til en ny versjon. Den gamle blir lesbar, og det er det som gjør en journal til bevis.
Nekter du en retting, la dem levere en uenighetserklæring	✓	Erklæringen deres reiser med journalen fra da av, og alt du sender ut etterpå, bærer den også. Et avslag avslutter ikke saken.
Si til en pasient hvem du delte journalen deres med	✓	Hver utlevering noteres når den skjer, så seksårshistorikken er alt der når noen ber om den.
Etterlev et ønske om å bli kontaktet på en annen måte	✓	Sier en pasient ikke ring dette nummeret, vil systemet ikke bruke det — og er den eneste tillatte måten å nå dem sperret, feiler meldingen høyt heller enn stille å falle tilbake til nummeret de ba deg ikke bruke.
Etterlev et ønske om å begrense deling	✓	Også den ene begrensningen du ikke kan nekte — der en pasient betaler privat og ber deg om ikke å si det til forsikringen sin.
Bruk eller del bare det minste som er nødvendig	✓	En utlevering kan ikke lagres uten et notat om hvorfor ikke mer enn nødvendig gikk ut.
Håndter klager om personvern	✓	En klage er en registrering med en eier og et utfall. Den kan ikke lukkes uten å si hva som skjedde.
Gjengjeld aldri mot noen som klager	✓	Notert mot klagen, så mappen viser at det ble vurdert.
Hold terapeutens prosessnotater for seg	✓	Det sterkeste på denne siden. De er låst med en annen nøkkel, holdt utenfor det en innsynsforespørsel gir, og et notat kan ikke stille flyttes inn i den vanlige journalen senere.
Vit hvem som kan handle for en pasient	◐	Vi kan notere at en forelder eller verge har signert noe. Vi kan ennå ikke notere at en navngitt person kan lese en pasients journal — se avsnitt 11.

Å holde journalene trygge — hva programvaren må gjøre

Hva loven krever		Hva vi gjør
Alle har sin egen pålogging	✓	Delte pålogginger er ikke støttet. I det øyeblikket to personer deler en konto, slutter registreringen av hvem som gjorde hva å betyde noe.
Krypter journalene så en stjålet kopi er ubrukelig	✓	Hver dokumentversjon får sin egen nøkkel, og hovednøkkelen holdes utenfor databasen — så en stjålet database er en haug støy.
Hold oversikt over hvem som så på hva	✓	Skrevet før journalen åpnes, og lenket sammen så en fjernet post viser seg som et hull. Ikke engang din egen administrator kan stille redigere den.
Sørg for at journaler ikke er endret	✓	Hver versjon bærer et fingeravtrykk som sjekkes hver gang den åpnes.
Skjermer låser seg når de står alene	✓	Håndhevet av serveren, så det kan ikke slås av i en nettleser. Du velger antall minutter; den varsler først så ingen mister et halvskrevet notat.
En vei inn i en reell nødssituasjon	✓	En kliniker kan nå en journal de ikke har noe forhold til — og det noteres som en hendelse og gjennomgås etterpå. Et system som bare sperrer, stryker også på denne regelen.
Beskytt journaler som reiser over nettet	✓	Kryptert under overføring, og systemet sjekker sine egne tilkoblingsinnstillinger og beholder resultatet som bevis heller enn som en forsikring.
Bekreft at folk er dem de sier de er	✓	Tostegsbekreftelse kan kreves før noen åpner en journal. Begynn på bare varsle: tilgangen endres ikke, og systemet noterer nøyaktig hvem som fortsatt må registreres, så du slår det på fra en liste heller enn fra en gjetning. Nødtilgang er bevisst unntatt — en mistet eller tom telefon er nøyaktig den situasjonen den finnes for.

Å drive praksisen — hva som må skrives ned

Hva loven krever		Hva vi gjør
Vurder risikoene dine, skriftlig	✓	Risikoer er registreringer, ikke et dokument — hver med navn på hva som kan gå galt, hvor sannsynlig det er, hvor ille det ville være, og hva som står igjen etter at du har håndtert det.
Reduser faktisk de risikoene du fant	✓	En ubehandlet alvorlig risiko er et tall på forsiden av vurderingen, ikke en linje noen må legge merke til.
Gå gjennom tilgangsloggene dine jevnlig	✓	En datert gjennomgang med en navngitt gjennomgåer, spørsmålene som faktisk ble stilt, og alt som ble funnet — pluss en sjekk av at loggen selv ikke er tuklet med.
Sjekk hele greia på nytt med jevne mellomrom	✓	En egen evaluering som dekker både den tekniske siden og om de skriftlige reglene dine fortsatt beskriver hva praksisen virkelig gjør — som er den halvdelen som vanligvis hoppes over.
Utpek en sikkerhetsansvarlig og en personvernansvarlig	✓	Utpekinger med start- og sluttdatoer, og systemet merker når en rolle stille er blitt ledig.
Gi folk bare den tilgangen de trenger	✓	Tilgangen følger behandlingsforholdet, ikke stillingstittelen — og den slutter når forholdet gjør det. Å være administrator åpner ingen klinisk journal i seg selv.
Gå gjennom hvem som har tilgang, og hold det oppdatert	✓	Hver tildeling har en gjennomgangsdato, og systemet flagger der noens faktiske tilgang har glidd bort fra det som ble godkjent.
Fjern tilgang når noen slutter	✓	En sjekkliste i seks steg — også det å avslutte behandlingsforholdenederes, steget alle glemmer fordi det er det som faktisk gir tilgangen.
Lær opp de ansatte	⚙	Opplæringsregistreringer med utløpsdatoer. Selve opplæringen er din å gi.
Reager overfor ansatte som bryter reglene	✓	En sanksjonsregistrering som navngir regelen, hva som ble gjort og hvem som bestemte.
Ha en plan for brann, flom eller løsepengevirus	✓	Planer lister hvert system med hvor raskt det må være tilbake og hvor mye data du kunne tålt å miste — og et mål planen faktisk ikke kan nå, er et navngitt felt, ikke en optimistisk antakelse.
Test den planen	✓	Tester er registreringer. En plan som aldri er testet, ser annerledes ut enn en som er det, som er hele poenget.
Ta sikkerhetskopi av journalene	§	Denne er din. Systemet beskriver hva sikkerhetskopien må oppnå; det kan ikke ta den for deg. Avsnitt 12.
Hold skriftlige avtaler med leverandørene dine	✓	Et register med hver avtales datoer og de tre løftene loven krever, så et halvsignert forhold er synlig istedenfor antatt.
Hold reglene dine oppdaterte, og bevar dem i seks år	✓	Hver regel er versjonert med sine egne datoer, og gamle versjoner overskrives aldri.

Bygget, pultene og utstyret

Hva loven krever		Hva vi gjør
Styr hvem som fysisk kan komme til systemene	⚙	Dette handler om dører og rom, så hva programvaren holder, er registeret som beviser at du gjorde det — med en eier og en gjennomgangsdato. Det registeret er det en revisor ber om.
Si hva hver arbeidsstasjon er til, og sikre den	⚙	Det samme — notert, med en eier.
Kast journaler og gammelt utstyr på rett måte	✓	Denne er virkelig vår. Å kaste en journal ødelegger nøkkelen, så innholdet er uleselig også fra en gammel sikkerhetskopi — mens beviset for at du kastet den, lever videre. Å slette en rad kan angres; dette kan ikke.

Når opplysninger kommer ut

Hva loven krever		Hva vi gjør
Gå ut fra at det er et avvik med mindre du kan vise noe annet	✓	De fire spørsmålene loven stiller, er fire ting du må svare på. Registreringen lukker seg ikke som «ikke et avvik» uten noe skrevet i den — et svar uten resonnement er det et tilsyn ikke tror på.
Krypterte opplysninger er kanskje ikke et avvik i det hele tatt	✓	Fordi hver journal er kryptert med sin egen nøkkel, har «kunne noen faktisk lese det?» et virkelig svar heller enn et håpefullt.
Si det til berørte pasienter innen 60 dager	✓	Fristen kommer av seg selv, regnet fra dagen du fikk vite det.
Si de fem tingene meldingen må si	✓	Også hva pasienten bør gjøre med det — den delen som oftest skrives dårlig, og den eneste delen de handler på.
Si det til pressen hvis 500 personer i én delstat er berørt	✓	Regnet per delstat, ikke på totalen — summen de fleste systemene tar feil.
Si det til tilsynet	✓	Med en gang for store avvik; for små en årlig liste, bygget automatisk — fristen ingen husker fordi den kommer én gang i året.
La politiet utsette meldingen	✓	En skriftlig anmodning gjelder for perioden den sier. En muntlig utløper av seg selv etter tretti dager med mindre den settes skriftlig — fellen i regelen, håndtert for deg.
Kunne bevise at du gjorde alt dette	✓	Det er én sammenlenket mappe fra første mistanke til siste brev — heller enn noe satt sammen etterpå av tre postkasser.

Rusjournaler — de strengere reglene

Hva loven krever		Hva vi gjør
Gi pasienter en egen fortrolighetsmelding	✓	Sin egen melding, versjonert og bekreftet på samme måte som hovedmeldingen.
Legg et varsel til hver utlevering	✓	Varselet om at mottakeren ikke må gi det videre, er laget av systemet, ikke skrevet av et menneske, så det kan ikke glemmes på en travel dag.
Disse journalene kan ikke brukes mot pasienten	✓	Sagt i meldingen pasienten får.

Det ærlige sammendraget, i ett avsnitt

Av alt HIPAA ber om, bærer programvaren det store flertallet av det rett ut, en håndfull er dine å sette et tall på, og to er virkelig uferdige — å nekte en pålogging uten tostegsbekreftelse, og å notere hvem som kan handle for en pasient. Begge er navngitt i avsnitt 11 heller enn overlatt til deg å oppdage. Noen få ting er ikke programvarens jobb i det hele tatt — sikkerhetskopiene dine, bygget ditt, opplæringen din — og de står i avsnitt 12. Ingen produkter kan gjøre en praksis HIPAA-etterlevende. Hva dette gjør, er å bære din kopi av plikten, og holde beviset for at du møtte den.

03 — The Privacy Rule

Hver pasientrettighet, og hva som bærer den

Les midtkolonnen først. Kolonnen til høyre sier hva det faktisk gjør, i vanlige ord. Kodenumrene står der så en gjennomgåer kan sjekke dem; du kan se helt bort fra dem, og setningen gir fortsatt mening.

Fire merker brukes i hver tabell på denne siden, og forskjellen mellom de to i midten betyr noe. Ett betyr at noe mangler. Det andre betyr at ingenting mangler og at en avgjørelse er din å ta.

✓ByggetI programvaren nå. Noen kan bli vist det i drift. ⚙Bygget — du velger verdienIngenting mangler. Tallet eller svaret er en avgjørelse for praksisen din, og raden sier hvilken avgjørelse. ◐Delvis byggetNoe mangler faktisk. Raden sier nøyaktig hva, så det kan planlegges rundt. —Ikke byggetListet i avsnitt 10 heller enn overlatt til å bli oppdaget.

Hva regelen ber om	Status	Hva som er bygget
Pasienten kan be om en kopi av journalen sin164.524	✓	En sporet forespørsel med en frist systemet regner ut selv, og en avgjørelse til slutt. Fullstendig med de fem delene som gir mesteparten av den føderale håndhevingen: én utsettelse på opptil tretti dager, som noterer både grunnen og datoen pasienten faktisk fikk vite det; et oppdelt gebyr begrenset til de fire tingene regelen tillater, med et varsel når det går over taket du har satt; formatet de ba om; å sende en kopi til noen de peker ut, knyttet til deres skriftlige instruks; og gjennomgang av et avslag av en navngitt fagperson som ikke var del av den opprinnelige avgjørelsen.
De kan be om at noe rettes164.526	✓	En retting arkiveres som en ny versjon — originalen overskrives aldri. Fullstendig gjennom hva som skjer når en retting blir nektet: pasientens uenighetserklæring med deres egne ord, klinikkens skriftlige svar, og regelen om at begge må reise med enhver framtidig deling av den journalen. Systemet legger dem ved automatisk, så det avhenger ikke av at noen husker.
De kan be deg begrense noe164.522(a)	✓	En begrensning forsegler dokumentene den dekker og noterer grunnen og avgjørelsen. Å løfte den setter dokumentet tilbake til den følsomheten det hadde før, ikke til «vanlig». Den omfatter begrensningen ved egenbetaling: der pasienten betalte alt selv, nekter programvaren å la ansatte avslå forespørselen i det hele tatt, fordi HITECH ikke gir dem det valget.
De kan be om å bli kontaktet på en annen måte164.522(b)	✓	«Ikke ring hjem til meg. Skriv til denne adressen.» I en tjeneste for psykisk helse er dette ikke administrasjon — det er mekanismen en tjeneste bruker for å unngå å avsløre for en voldelig partner eller pårørende at noen er i terapi. Forespørselen, avgjørelsen og bindingen av den avgjørelsen til hver utgående melding er alt bygget.
De kan spørre hvem opplysningene deres gikk til164.528	✓	Et register over hva som forlot tjenesten, til hvem, på hvilket grunnlag og når — til å rapportere i seks år, laget på forespørsel heller enn satt sammen for hånd. Det samler fra hvert register i systemet, som betyr noe: det er mer enn ett, og et svar hentet fra bare ett av dem ville gitt en pasient seks utleveringer av åtte med ingenting som tydet på at noe manglet.
Familie og venner kan få vite — med mindre pasienten motsetter seg164.510	✓	Regelen gir fire ulike grunnlag for å si noe til en som er involvert i en pasients behandling, og de blir fire heller enn å kollapse til en «familien kan få vite»-avkrysning — fordi spørsmålet etterpå aldri er om noen fikk vite, det er på hvilket grunnlag. En innvending blir håndhevet, ikke vist: programvaren nekter å notere en utlevering til en person pasienten motsatte seg.
Du må gi dem en personvernmelding164.520	✓	Meldingen er et versjonert dokument med en virkningsdato. Mottak bekreftes og noteres — og der pasienten ikke vil kvittere, noteres forsøket i god tro og grunnen til at det ikke gikk, også, som er hva regelen faktisk krever. En vesentlig endring lager en ny versjon heller enn å redigere den gamle.
De kan klage, og du må notere det164.530(d)	✓	En klage kan ikke lukkes uten både et utfall og resonnementet bak. «Ingen handling» er et tillatt utfall — regelen sier at avgjørelsen kan være ingenting, ikke at den kan være unotert. Klager kan ikke slettes.
Skriftlig fullmakt der det trengs164.508	✓	Signerte fullmakter holdes i e-signaturmodulen, og en utlevering som hevder å bygge på en, nektes med mindre den navngir fullmakten den bygger på. Det gjør «vi hadde samtykke» fra noens hukommelse til en lenke.
Bare det som trengs for jobben164.502(b)	◐	Bygget: ansatte når journalene til folkene på sin egen liste heller enn klinikkens, fordi tilgangen følger behandlingsforholdet og ikke stillingstittelen. På delingsstien noteres både formålene regelen unntar og skjønnet som ble utøvd. Det som står igjen: det skjønnet blir notert heller enn brukt automatisk på hver rute. Et menneske bestemmer fortsatt hvor mye som sendes; systemet fanger avgjørelsen istedenfor å ta den. Å lukke dette ville betydd at programvaren bestemte «minste nødvendige» på din vegne, og et produkt som hevder å gjøre det, overdriver hva programvare kan gjøre — så vent å vise en regel og en registrering her, ikke en algoritme.
Rett skaden når noe går galt164.530(f)	✓	En registrering av utbedring: hvilken skade som ble gjort, hva som ble gjort med det, av hvem og når. Atskilt fra avviksregistreringen, fordi de fleste tingene som må utbedres, ikke er avvik.
Å bestemme at data ikke lenger kan identifiseres164.514	✓	Systemet noterer avgjørelsen; det tar den ikke. De atten identifikatorene er atten egne svar, fordi påstanden faller på den ingen tenkte på, og testen «vet du faktisk at det kunne identifiseres på nytt» er et eget spørsmål igjen. Programvare som hevdet å anonymisere data automatisk, ville vært det farligste her: tar du feil, forlater en journal huset uten beskyttelse og uten en måte å kalle den tilbake.
Avtaler med leverandørene dine164.308(b) · 164.314	✓	Et register over business associates med datoene for avtalene deres — og en utlevering til en av dem sjekkes mot om en gjeldende avtale finnes. En utløpt kontrakt slutter å være papirarbeid og begynner å bli en avvisning.
Hvor mye du kan kreve for en kopi164.524(c)(4)	⚙	Bygget: gebyret deles opp i de fire komponentene regelen tillater og ingenting annet, og forespørselen varsler når summen går over taket ditt. Du setter: selve taket. Forskriften navngir ingen sum — den sier «rimelig, kostnadsbasert», og den føderale veiledningen og rettspraksisen om hva det betyr, har flyttet seg og vil flytte seg igjen. Så taket er en innstilling på selskapet ditt heller enn et tall skrevet inn i programvaren som noen måtte finne og endre. Bli enig om det med advokaten din, og legg det inn én gang.
Seks år med dokumentasjon164.316(b)(2)	✓	Leveres som oppbevaringsregler, også den for mindreårige som løper til voksen alder pluss seks år. Hver periode regnes fra en lagret dato — siste kontakt, fødselsdato, dødsdato — heller enn fra da en fil tilfeldigvis ble laget.

04 — Den som betyr mest her

Psykoterapinotater, og hvorfor tilgangsregler alene ikke er nok

HIPAA behandler en terapeuts egne prosessnotater annerledes enn den kliniske journalen, på den betingelsen at de er holdt for seg. I de fleste systemene blir «holdt for seg» en rettighetsinnstilling. En rettighetsinnstilling kan endres av den som administrerer systemet, som betyr at skillet bare er så godt som oppsettet er på en gitt dag.

Her håndheves det av krypteringen selv. Det er en sterkere påstand, og det er verdt å forstå nøyaktig hvordan det virker, fordi det er det en gjennomgåer bør prøve.

Slik håndheves skillet

Fire mekanismer, ikke én

En andre krypteringsnøkkelPsykoterapinotater krypteres under sin egen nøkkel, holdt på sin egen sti på serveren. Nøkkelen som åpner den vanlige kliniske journalen, dekrypterer dem ikke.
Utenfor journalsettetDe ligger utenfor det utpekte journalsettet, så en innsynsforespørsel kan ikke gi dem, selv når den oppfylles riktig.
En tildeling til pasienten nektes på hver stiOgså en direkte skriving til tabellen med tilgangsregler. Det finnes ingen rute regelen kan lages gjennom, korrekt eller ikke.
Merkingen kan ikke endres etterpåEt dokument som alt er arkivert, kan ikke flyttes inn i notatenes nøkkelrom senere, fordi innholdet alt er kryptert under den vanlige nøkkelen. Avgjørelsen tas én gang, ved arkiveringen.

Hva det betyr i praksis

Følgene, også de kronglete

Oppsett kreves før oppstartDen andre nøkkelstien må settes i serveroppsettet. Uten den feiler det å arkivere et psykoterapinotat helt.
Det feiler heller enn å falle tilbakeDet bruker ikke stille hovednøkkelen hvis den andre mangler. Et stille fall tilbake ville ødelagt skillet uten at noen la merke til det.
Den andre nøkkelen trenger sin egen forvaringSamme regler som hovednøkkelen: utenfor databasen, utenfor fillageret, og aldri i samme sikkerhetskopi som noen av dem.
Å miste den nøkkelen mister de notateneFor alltid, og ved design. Den må sikkerhetskopieres, atskilt fra dataene den beskytter.
Behandlingsteamet når dem fortsattSkillet er fra pasientens innsynsrett og fra journalsettet. Det er ikke isolasjon fra klinikeren som skrev dem.

05 — Security Rule: den tekniske halvdelen

De åtte tingene programvaren selv må gjøre

Security Rule merker hvert krav kreves eller addressable. Addressable betyr ikke valgfritt — det betyr at du enten gjør det, eller skriver ned hvorfor et alternativ er forsvarlig. Alle åtte under er bygget.

Sikringstiltak	Status	Hva som er bygget
Alle har sin egen pålogging164.312(a)(2)(i) · required	✓	Delte pålogginger er ikke en støttet måte å kjøre systemet, fordi i det øyeblikket to personer deler en konto, slutter revisjonsloggen å kunne svare på hvem som gjorde noe.
En vei inn i en nødssituasjon164.312(a)(2)(ii) · required	✓	En kliniker kan nå en journal de ikke har noe forhold til i en reell nødssituasjon ved å åpne det som kalles en nødtilgangssesjon. Den noteres som en hendelse og gjennomgås etterpå. Tilgangen er der når noen virkelig trenger den, og aldri stille.
Skjermer låser seg164.312(a)(2)(iii) · addressable	✓	Håndhevet på serveren, ikke i nettleseren. Hver forespørsel sjekker hvor lenge det er siden den sesjonen ble brukt, og avviser den hvis svaret er for lenge — så å slå av timeren i en nettleser gir ingenting. Nettleserens jobb er bare å varsle først, så ingen mister et halvskrevet notat til en kontroll som skal beskytte dem. Tre innstillinger per selskap: minutter uten aktivitet (femten som standard), hvor lenge varselet vises, og et tak uansett aktivitet. Samme sjekk kjører for mobilappen.
Journaler er kryptert164.312(a)(2)(iv) · addressable	✓	Hver versjon av hvert klinisk dokument får sin egen nøkkel, og de nøklene låses under en hovednøkkel holdt utenfor databasen. Det finnes ingen innstilling der dokumenter lagres ukryptert. Dette er også det som gir unntaket fra å si det til pasienter etter et avvik. Den siden om sikre dokumenter forklarer hvordan det virker og navngir risikoene som ikke har noen teknisk løsning.
Hvert oppslag noteres164.312(b) · required	✓	Åpninger, ikke bare endringer. Posten skrives før innholdet blir levert. Loggen legges bare til, og hver post er matematisk bundet til den før, så å fjerne eller endre en er til å oppdage. Administratorer kan ikke redigere den heller.
Journaler kan ikke stille ødelegges164.312(c)(1) · required	✓	Hver versjon lagrer et fingeravtrykk av både sitt lesbare innhold og sitt krypterte innhold, og begge sjekkes når dokumentet åpnes. Tukling eller diskfeil oppdages heller enn å bli servert som om ingenting hadde skjedd.
Folk er dem de sier de er164.312(d) · required	✓	Passordpålogging for ansatte, og kortlevde signerte poletter for mobilappen, utstedt etter en passordsjekk. Passord lagres bare som enveis-hasher.
Data beskyttes mens de reiser164.312(e) · addressable	✓	Krypterte tilkoblinger overalt, med ukrypterte forespørsler omdirigert heller enn besvart — og nå dokumentert heller enn antatt. En overføringssjekk noterer hvert sted helseopplysninger går inn eller ut, og hva som beskytter dem, så kontrollen kan vises i en revisjon istedenfor å hevdes i et møte.

06 — Security Rule: den administrative halvdelen

Programmet, og hvorfor det er i programvaren i det hele tatt

Mesteparten av Security Rule handler ikke om teknologi. Den handler om hva virksomheten din gjør: hvem som er ansvarlig, hva risikoene er, hvem som gikk gjennom hva, hvem som ble lært opp, hva som skjer når noen slutter, og hva du gjør hvis bygget brenner ned.

Ingenting av det er noe programvare utfører for deg. Hva programvare kan gjøre, er å gi hver av de tingene et sted å bo, så svaret når en gransker ber om dem, er en registrering heller enn et søk gjennom noens e-post. Det er hva disse er.

Dette er også de to funnene som oftest nevnes i amerikansk håndheving — risikoanalysen, og gjennomgangen av revisjonsloggene. Ikke «har dere sikkerhet», men «vis meg vurderingen», og «vis meg at noen faktisk leser loggene».

Hva regelen ber om	Status	Hva som er bygget
En risikoanalyse, holdt oppdatert164.308(a)(1)(ii)(A)–(B)	✓	Et register: hver risiko med sin ressurs, trussel, svakhet, sannsynlighet, konsekvens, kontrollen som alt er på plass, risikoen som står igjen, en eier og en gjennomgangsdato — og planen for å redusere den vedlagt. En vurdering kan ikke godkjennes mens en risiko er uvurdert, og en uten risikoer i kan ikke godkjennes i det hele tatt: et tomt register er funnet, ikke en ren helseattest.
Noen leser faktisk revisjonsloggene164.308(a)(1)(ii)(D)	✓	Kravet er å gå gjennom loggene jevnlig, ikke bare å beholde dem. Så finnes det en gjennomgangsregistrering med en periode, en navngitt gjennomgåer, hva som ble undersøkt, og et funnspor. En tom funnliste er det gode utfallet — men den må være en tom liste noen har laget, ikke et fravær.
En navngitt sikkerhetsansvarlig og personvernansvarlig164.308(a)(2) · 164.530(a)	✓	Begge kreves ved navn, sammen med et kontaktpunkt for klager. Holdt som utpekinger med datoer, så «hvem var personvernansvarlig i mars» har et svar.
Følger når ansatte bryter reglene164.308(a)(1)(ii)(C) · 164.530(e)	✓	En registrering av regelen, og en registrering av sanksjoner som faktisk ble brukt. Den andre er den det blir spurt om.
Hvem som har fullmakt, og gjennomgangen av det164.308(a)(3)–(4)	✓	Et fullmaktsregister — hvem som fikk hva, av hvem, og når det sist ble gjennomgått — og en avslutningsregistrering, som er den som betyr noe: beviset for at tilgangen ble fjernet den dagen noen sluttet heller enn tre måneder senere.
Opplæring, notert per person164.308(a)(5) · 164.530(b)	✓	Opplæringsregistreringer per ansatt, ved siden av kompetanse og sertifiseringer med utløpsdatoer praksisen alt fulgte.
Skriftlige regler, versjonerte og bevart164.316 · 164.530(i)–(j)	✓	Regler som versjonerte dokumenter med bekreftelser, og seksårsklokken for oppbevaring som løper på hver versjon heller enn på den gjeldende.
En plan for når ting svikter164.308(a)(7)	✓	Beredskapsplanen, testene av den med resultatene, og analysen av hvilke systemer og data som betyr mest. En sikkerhetskopi ingen har gjenopprettet, er et håp heller enn en kontroll, så testregistreringene er poenget.
Å sjekke det hele på nytt med jevne mellomrom164.308(a)(8)	✓	En evalueringsregistrering med et intervall, så «når sjekket du sist om noe av dette er sant ennå» har en dato på seg.

Den ærlige grensen for alle ni

Hver av dem er et sted å legge en registrering. Et risikoregister med ingenting i dokumenterer ingenting. En gjennomgangsregistrering ingen lager, beviser ingenting. En gransker ser på registreringene, ikke på at programvaren har et sted å bevare dem. Det arbeidet er ditt, og ingen produkter endrer det — hva produktet fjerner, er unnskyldningen om at det ikke var noe sted å skrive det ned.

07 — Security Rule: den fysiske halvdelen

To av disse fire standardene handler om registreringer, ikke låser

Det er lett å lese de fysiske sikringstiltakene som «sett en lås på døra» og slutte at programvare ikke har noe å bidra med. Det er halvveis riktig. Regelen sier rett ut at du må holde oversikt over bevegelsene til maskinvare og medier, og over hvem som var ansvarlig. Hva en gransker spør om etter en stjålet bærbar maskin, er ikke hvilken lås du brukte. Det er hvor den bærbare maskinen ble av, hvem som hadde den, og hva som skjedde med disken.

Standard	Status	Hva som er bygget
Tilgangskontroll for lokaler164.310(a)	✓	Et register over lokaler med hvem som får komme inn, pluss vedlikeholdsregistreringer — reparasjonene og endringene på de fysiske delene av et bygg som har med sikkerhet å gjøre.
Bruk og sikring av arbeidsstasjoner164.310(b)–(c)	✓	Et register over arbeidsstasjoner: hvor hver av dem er, hva den kan brukes til, og hva som beskytter den. En resepsjonsskjerm som vender mot et venterom, er et annet svar enn et låst kontor.
Kontroll av utstyr og medier164.310(d)	✓	Hvert utstyr, og hver bevegelse av det, med den ansvarlige. Et utstyr kan ikke merkes som kastet eller gjenbrukt uten at det noteres hva som ble gjort med dataene — fordi en bærbar maskin pensjonert med registeret som sier «kastet» og ingenting noe sted som sier at disken ble slettet, er det vanligste funnet i denne delen av regelen. Et register som ikke kan svare på det spørsmålet, er verre enn ingen register, fordi det ser ut som bevis.

08 — The Breach Notification Rule

Hva som skjer etter at opplysninger kommer ut

Denne regelen er grunnen til at krypteringen er bygget slik den er. Var opplysningene som slapp ut, riktig kryptert og nøklene ikke tatt, behandles de som uleselige, og du må ikke varsle pasientene. Det unntaket kalles den trygge havnen, og alt om hvordan nøklene lagres, finnes for å kunne bevise det.

Det som følger, er vurderingen regelen krever, og alt av det er bygget.

Hva regelen ber om	Status	Hva som er bygget
Vurder det mot fire faktorer164.402	✓	Hva opplysningene var, hvem som mottok dem, om de faktisk ble sett på, og hvor langt skaden ble begrenset. Å svare på alle fire gir konklusjonen regelen kaller «lav sannsynlighet for kompromittering». Standarden er at pasientene må få vite — de fire faktorene er hvordan du argumenterer for noe annet, ikke et skjema du fyller ut for å få problemet til å forsvinne.
Si det til pasientene innen 60 dager164.404	✓	Regnet fra oppdagelsen, regnet ut av systemet heller enn skrevet inn. Meldingen selv lages med alle fem innholdsdelene regelen krever.
Si det til pressen over 500 i én delstat164.406	✓	Terskelen er per delstat, ikke per avvik, så en total er ikke nok til å svare på det: 600 personer spredd over tre delstater krysser ingenting, og 600 i én delstat krysser både dette og den umiddelbare føderale meldingen. Systemet ber om tallene per delstat, og der de mangler og totalen er over 500, sier det at spørsmålet er ubesvart heller enn å anta det behagelige svaret.
Si det til det føderale helsedepartementet164.408	✓	Ved 500 eller mer, samtidig med pasientene. Under 500, på en årlig liste levert innen 60 dager etter kalenderårets slutt. Begge følges, fordi den andre er den folk glemmer i februar.
Når en leverandør er den som finner det164.410	✓	Bygget som to klokker, fordi det er hva det er: leverandøren har 60 dager fra sin egen oppdagelse, og dine 60 dager starter når de sier det til deg. Et avvik kan derfor være 118 dager gammelt uten at noen har brutt en frist — og en leverandør som brukte lenger, er et problem med kontrakten, ikke med avviksregistreringen din.
Når politiet ber deg vente164.412	✓	Asymmetrien her er hele regelen. En skriftlig anmodning utsetter varselet i perioden den navngir. En muntlig utsetter det i tretti dager og ikke lenger, med mindre noe skriftlig kommer innen dem. Å lagre «politiet ba oss vente» som et enkelt ja/nei ville utsatt i det uendelige på styrken av en telefon, som er nøyaktig det trettidagerstaket finnes for å hindre. Når en utsettelse løper ut, sier systemet det — ingenting annet ville gjort det.
Krypteringsunntaket164.402-definisjonen	✓	To atskilte lagrede spørsmål: var dataene kryptert, og ble nøklene tatt. Et ubesvart nøkkelspørsmål teller mot unntaket. Du kan ikke lukke et avvik som ikke meldepliktig ved å la det kronglete feltet stå tomt, og å lukke det slik krever at beviset skrives ned.

Derfor er tilgangsloggen granskingen

Fordi hver åpning av en journal ble skrevet ned før innholdet ble levert, har spørsmålet «hva ble faktisk eksponert, og til hvem?» et virkelig svar heller enn et anslag. Det er forskjellen mellom å varsle elleve personer og å varsle alle i databasen din — og det er vanligvis forskjellen mellom en begrenset hendelse og en på forsiden.

09 — 42 CFR Part 2

Rusjournaler, og varselet som reiser med dem

Part 2 er en egen føderal regel, og den er strengere enn HIPAA. Den dekker journaler holdt av føderalt støttede program for rusbehandling. Behandler tjenesten din avhengighet ved siden av annet arbeid innen psykisk helse, faller noen av journalene dine under den og noen ikke — som er nøyaktig hvorfor merkingen må bo på journalen selv heller enn i noens hode.

En regelendring i 2024 førte Part 2 mye nærmere HIPAA. Alt av det er bygget.

Hva regelen ber om	Status	Hva som er bygget
Et varsel som forbyr videre deling	✓	Dokumenter merket som begrensede bærer varselet på hver utlevering, og systemet lager ordlyden heller enn å be ansatte skrive den. Et varsel folk skriver av, er et varsel som til slutt sier noe litt annet.
Part 2-materiale merkes på journalen	✓	Så en utlevering vet hva den håndterer uten at noen må huske hvilken pasient det er.
Ett samtykke som dekker behandling, betaling og drift2024-regelen	✓	Endringen i 2024 erstattet et eget samtykke per utlevering med ett enkelt som dekker alle tre. Den strukturen er modellert, den kan trekkes tilbake, og systemet nekter kombinasjoner som ikke gir mening.
Begrensninger som forstår Part 22024-regelen	✓	En begrensning bærer sitt Part 2-omfang og vet om hvert dokument den dekker, er Part 2-materiale. Part 2-sjekken kjører før den generelle — en generell sjekk som kjørte først og tillot utleveringen, ville aldri nådd Part 2-spørsmålet, og ville bare hatt rett på de dagene de to tilfeldigvis var enige.
Part 2-avviksmelding2024-regelen	✓	2024-regelen gjorde at Part 2-avvik følger HIPAA-prosessen, som er bygget. Et avvik som gjelder Part 2-materiale, går gjennom samme vurdering og samme frister.
En egen pasientmelding	✓	Versjonert på samme måte som HIPAA-personvernmeldingen, med én aktiv melding per type. De to blandes ikke: å publisere en Part 2-melding gjør ikke at hver pasient ser ut som om de skylder en bekreftelse på en melding som aldri var ment for dem.
Part 2s egne regler for oversikt	◐	Bygget: Part 2-utleveringer flagges som sådanne, bærer varselet om videre utlevering, og har sin egen visning med sin egen periode. Det som står igjen: Part 2s tellemåte er ikke modellert for seg fra HIPAAs. Der de to regimene ville telt en utlevering ulikt, svarer registeret med HIPAA-regelen. I praksis er forskjellen smal, men er tjenesten din i hovedsak et Part 2-program heller enn en praksis innen psykisk helse som også behandler avhengighet, ta det opp med oss før oppstart.

Sjekk datoen, og sjekk om den rekker deg i det hele tatt

Etterlevelsesdatoen for 2024-regelen var 16. februar 2026, så den er i kraft. To spørsmål står igjen som ingen programvare svarer på: om Part 2 rekker ditt program, og om ordlyden i meldingen er riktig. Alt Part 2 legger til, er dødt til noen slår det på, og ordlyden trenger din advokat — forskriften fastsetter innholdet.

10 — Slik virker det fra dag til dag

Sju ting som skjer i en virkelig klinikk, steg for steg

Alt over sier hva som finnes. Dette sier hva som skjer — den faktiske rekkefølgen inne i programvaren når noen ber om journalen sin, når en retting nektes, når opplysninger deles, når noe kommer ut.

Les disse hvis du vil vite hva de ansatte dine kommer til å oppleve, eller hvis du blir bedt om å godkjenne plattformen og gjerne vil se maskineriet heller enn en liste funksjoner. Hvert steg er én ting programvaren eller et menneske gjør, i den rekkefølgen det skjer.

1 programvaren gjør dette selv 1 et menneske bestemmer eller skriver noe ✕ programvaren nekter, og sier hvorfor

Forløp 1 · 45 CFR 164.524 En pasient ber om en kopi av journalen sin Den mest håndhevede rettigheten i amerikansk helsepersonvern. De fleste bøtene på dette området er én av fire ting: for sakte, tok for mye, sendt i en form ingen ba om, eller nektet uten et ordentlig grunnlag. Hver av dem har et steg under.

Forespørselen noteres med det de ba om, i deres ord
Ikke oppsummert til en kategori. Omfanget i pasientens egen ordlyd er det svaret senere måles mot.
Fristen kommer av seg selv
Tretti dager fra forespørselen, regnet ut av systemet. Ingen skriver en dato, så ingen skriver den gale. Fristen vises på forespørselen fra det øyeblikket den finnes.
164.524(b)(2)(i)
Ansatte samler dokumentene
De velger journalene som svarer på forespørselen.
Alt utenfor det utpekte journalsettet nektes
Regelen gir en pasient rett til et definert sett, ikke til alt klinikken holder. Legger noen til en dokumenttype som ligger utenfor det, nekter programvaren og sier hvor mange og hvorfor. Psykoterapinotater nektes her også, for seg og ved navn.
164.501 · 164.524
Pasientens ønskede format noteres
Elektronisk, papir, eller noe annet avtalt med dem. Kunne klinikken ikke lage det som ble bedt om, lar programvaren ikke forespørselen lukkes før det som ble avtalt, isteden er skrevet ned — fordi regelen handler om en avtale, og en avtale ingen noterte, kan ikke vises.
164.524(c)(2)
Kreves et gebyr, deles det opp i de fire tillatte tingene
Arbeid, materiell, porto, og et sammendrag hvis det ble bedt om. Ikke framhenting, ikke søk, ikke kostnaden ved å drive systemet — det er de ekstra tingene som viser seg i de fleste håndhevingsforlikene, og det er ingen steder å skrive dem. Går summen over taket du har satt, sier forespørselen det.
164.524(c)(4)
Vil de ha det sendt til noen andre, legges deres skriftlige instruks ved
Pasienten kan styre en kopi til en person eller virksomhet de navngir. Det er deres rett, ikke en utlevering klinikken bestemmer — så programvaren lagrer den signerte instruksen heller enn å godta at noen husker en telefon.
164.524(c)(3)(ii)
Trengs det virkelig mer tid, finnes én utsettelse
Opptil tretti dager, én gang. Den noterer grunnen og, for seg, datoen pasienten faktisk fikk vite det — fordi en utsettelse ingen fikk vite om, ikke er en utsettelse. Den opprinnelige lovbestemte datoen blir synlig ved siden av den nye, så registreringen viser hvor mye tid utsettelsen faktisk ga.
164.524(b)(2)(ii)
Svaret går ut, og hva som ble holdt tilbake, skrives ned
Et delvis svar som ikke sier hva som mangler, er et svar ingen kan bestride, så avslutningsnotatet er påkrevd.
Hvert dokument som sendes, skrives til tilgangsloggen
Enkeltvis. En masseeksport er ikke en måte å levere en journal uten å etterlate et spor av hver del i den.

Nektes forespørselen isteden: må grunnen komme fra en lukket liste grunner regelen tillater — et avslag på en grunn som ikke er en av dem, er et avslag uten grunnlag. Programvaren vet hvilke grunner som gir rett til gjennomgang og hvilke ikke, så den lar ikke ansatte tilby en gjennomgang som ikke finnes, eller nekte en som gjør det. Der gjennomgang gjelder, må den gjøres av en navngitt fagperson som ikke var del av den opprinnelige avgjørelsen, og det er håndhevet heller enn overlatt til rutine.

Forløp 2 · 45 CFR 164.526 En pasient ber om en retting, og klinikken er uenig Å godta en retting er lett. Hva de fleste systemene tar feil, er hva som skjer når klinikken sier nei — og regelen har ganske mye å si om det.

Forespørselen noterer hva de vil endre og hvorfor
Mot et bestemt dokument, ikke mot «mappen deres».
En sekstidagersfrist kommer, med én utsettelse tilgjengelig
Samme utsettelsesmaskineri som innsynsforespørselen, skrevet én gang og brukt av begge, så de to ikke kan gli fra hverandre.
164.526(b)(2)
Klinikken godtar eller nekter, og sier hvem som bestemte
Godtas den, arkiveres rettingen som en ny versjon. Originalen overskrives aldri — en journal som stille kan redigeres, er verdt ingenting som bevis.
Ved godtakelse kan folk som alt har den gamle versjonen, få vite
En retting ingen nedstrøms hører om, er en retting som ikke kommer dit den var nødvendig.
164.526(c)(3)
Ved avslag kan pasienten levere en uenighetserklæring
Deres ord, bevart som deres ord.
164.526(d)(1)(iii)
Klinikken kan skrive et svar på den
Valgfritt, og notert med sin dato.
164.526(d)(4)
Fra da av reiser begge med journalen automatisk
Dette er steget som betyr noe, og det som oftest overses. Når en uenighet finnes, bærer enhver framtidig deling av det dokumentet automatisk forespørselen, avslaget, pasientens erklæring og klinikkens svar. Ingen må huske. Pakken legges ved i det øyeblikket utleveringen noteres, og den kan ikke redigeres etterpå — den er en registrering av hva mottakeren faktisk fikk.
164.526(d)(5)

Derfor er denne verdt bryet: en pasient som var uenig i journalen sin og ble overprøvd, er nøyaktig den pasienten som klager senere. Versjonshistorikken viser originalen uberørt, avslaget viser hvem som bestemte og hvorfor, og hver senere utlevering bærer deres innvending ved siden av. Det er en forsvarlig stilling heller enn en diskusjon om hva som var ment.

Forløp 3 · 164.502 · 164.508 · 164.510 · 164.528 · 42 CFR Part 2 En journal deles med noen utenfor klinikken En henvisning, en rettskjennelse, en forsikrer, en pårørende. Dette er forløpet med flest sjekker i, fordi det er det der flere regler møtes i samme øyeblikk — og de må sjekkes i rett rekkefølge.

Ansatte noterer hvem det gikk til, hva som gikk, og på hvilket grunnlag
Grunnlaget er den rettslige grunnen: behandling, betaling, en signert fullmakt, et lovbestemt krav, pasientens egen forespørsel. Det er et valg fra en liste, ikke fritekst, fordi spørsmålet etterpå alltid er hvilket det var.
Bygger det på en fullmakt, må fullmakten navngis
Ikke «vi hadde samtykke». En lenke til det signerte dokumentet. Uten den nektes posten.
164.508
Går det til en leverandør, må kontrakten deres gjelde nå
Registeret over business associates sjekkes. En utløpt avtale slutter å være papirarbeid og blir en avvisning.
164.308(b) · 164.314
Motsatte pasienten seg at denne personen fikk vite, sperres det
Etter regelen kan en pasient motsette seg at en navngitt pårørende eller venn får vite noe om behandlingen, og den innvendingen er bindende. Programvaren nekter posten og navngir hvem som motsatte seg og når. Den ikke sperrer der utleveringen bygger på en signert fullmakt, et lovbestemt krav, eller pasientens egen forespørsel — de er ikke dekket av denne regelen, og innvendingen rekker ikke til dem.
164.510(b)
Part 2-materiale sjekkes før den generelle sjekken, ikke etter
Rekkefølgen er ingen finesse. En generell sjekk som kjørte først og tillot utleveringen, ville aldri nådd Part 2-spørsmålet, og ville bare hatt rett på de dagene de to tilfeldigvis var enige.
42 CFR 2.26
Er det Part 2-materiale, legges varselet ved automatisk
Laget, ikke skrevet, så ordlyden ikke kan gli mellom én ansatt og den neste.
Finnes det en uavklart rettingstvist, legges den pakken ved også
Automatisk, slik forløp 2 beskriver — med mindre utleveringen går til pasienten selv, og da ville det å gi dem tilbake sin egen erklæring være støy heller enn en sikring.
164.526(d)(5)
Posten i registeret og posten i tilgangsloggen skrives sammen
Bevisst i samme øyeblikk. En utlevering som står i én og ikke i den andre, er nøyaktig det avviket en gransking ser etter.
Etterpå kan ikke hva som ble delt, om hvem og når, redigeres
Rettinger er tillatt som nye poster. Å skrive om historien er det ikke, og poster kan ikke slettes i det hele tatt — en pasient kan be om seks år av dem, og et register som kan tømmes, svarer ingenting.
164.528

Når pasienten spør hvem som har sett opplysningene deres, samles svaret fra hvert register i systemet heller enn fra ett av dem. Det høres åpenbart ut, og var det ikke: det var to registre i bruk, og ingen av dem kunne se det andre, så en oversikt kunne gitt noen seks utleveringer av åtte med ingenting på siden som tydet på at noe manglet.

Forløp 4 · 45 CFR 164.400–412 Opplysninger kommer ut En stjålet bærbar maskin, en e-post til feil adresse, en feiloppsatt server. Dette er forløpet alle håper å aldri kjøre, og det en gransker leser linje for linje.

Øyeblikket du ble kjent med det, noteres først
Ikke øyeblikket det skjedde. Hver frist løper fra kunnskapen, så å fastslå det øyeblikket er det første steget heller enn noe som rekonstrueres under press tre uker senere.
Hva som var involvert, og hvem, legges ved fra registreringene
Dokumentene og personene, hentet fra systemet heller enn anslått — som er hva tilgangsloggen gjør mulig.
To spørsmål om kryptering stilles hver for seg
Var dataene kryptert, og ble nøklene tatt. De er atskilte fordi svaret på det første betyr ingenting uten det andre.
Et ubesvart nøkkelspørsmål teller mot deg
Du kan ikke lukke et avvik som ikke meldepliktig ved å la det kronglete feltet stå tomt, og å lukke det slik krever at beviset skrives ned — hvor nøkkelen var, hvem som kunne nå den, og hvorfor hendelsen ikke rørte den.
164.402
De fire faktorene besvares, skriftlig
Hva opplysningene var, hvem som mottok dem, om de faktisk ble sett på, og hvor langt skaden ble begrenset. Standarden er at pasientene må få vite; disse fire er hvordan en klinikk argumenterer for noe annet, og argumentet må skrives ned og tilskrives.
164.402
Fristene og tersklene regnes ut
Seksti dager på å si det til pasientene. Pressemelding hvis mer enn 500 innbyggere i én delstat er berørt — regnet per delstat, så systemet ber om tallene per delstat. Det føderale departementet får vite med en gang ved 500 eller mer, eller på den årlige listen under det.
164.404 · 164.406 · 164.408
Fant en leverandør det, løper begge klokkene
Deres fra deres egen oppdagelse, din fra at du fikk vite. Et avvik kan være 118 dager gammelt uten at noen har brutt en frist.
164.410
Ber politiet deg vente, betyr formen på anmodningen noe
Skriftlig utsetter deg i perioden den navngir. Muntlig utsetter deg i tretti dager og ikke lenger, med mindre noe skriftlig kommer innen dem — og når utsettelsen løper ut, sier systemet det, fordi ingenting annet ville gjort det.
164.412
Meldingene lages med innholdet regelen fastsetter
Alle fem påkrevde elementer, i et utkast der hvert element er med. Ordlyden trenger fortsatt advokaten din; hva som er fjernet, er det blanke arket og elementet som ble glemt.
Alt over blir stående som registreringen av avgjørelsen
Datoene, faktorene, resonnementet, hvem som fastslo hva og når. Det er dokumentet du gir til et tilsyn, og det finnes fordi det ble bygget underveis heller enn satt sammen etterpå.

Forløp 5 · 45 CFR 164.520 En ny pasient kommer og får personvernmeldingen Lite, rutine, og ett av de lettest tilgjengelige funnene for en gransker — fordi regelen ber om bevis for noe som vanligvis skjer ved en travel resepsjon.

Meldingen finnes som et versjonert dokument med en virkningsdato
Ikke en PDF på en delt disk. Én aktiv melding per type, per selskap.
En melding kan ikke publiseres mens et påkrevd element er ufylt
Den leveres som et utkast der hvert element regelen lister har sin egen navngitte plass med sin henvisning. Publisering nektes mens en plass fortsatt er merket som uferdig, og avvisningen navngir hvilke — så en mal kan ikke gå i drift ordrett fordi noen fylte ut tre avsnitt og ble kalt bort.
Pasienten får meldingen og blir bedt om å bekrefte den
Bekreftelsen noteres — også når den mislykkes
Dette er delen de fleste systemene mister. Regelen ber om et forsøk i god tro på å få en skriftlig bekreftelse og dokumentasjon av at det ikke gikk. Så «avslo» og «ikke mulig å få» er noterte utfall med en grunn, ikke et tomt felt.
164.520(c)(2)(ii)
Det kan være en virkelig signatur heller enn en avkrysning
Gjennom e-signaturmodulen, som kjører på dine egne servere — ingen dokumenter forlater huset for å bli signert.
En vesentlig endring lager en ny versjon, ikke en redigering
Den gamle versjonen erstattes og bevares. Hvem som bekreftet hvilken versjon, og når, blir til å svare på så lenge det trengs.
164.520(c)(1)(i)(C)
En arbeidsliste viser hvem som fortsatt skylder en bekreftelse
Så det er en kø noen arbeider heller enn en oppdagelse gjort under en revisjon.

Forløp 6 · 164.312(a)(2)(iii) · 164.312(a)(2)(ii) · 164.312(b) En kliniker åpner en journal, og går så fra skjermen Det mest vanlige forløpet på denne siden, og det en gransker sjekker i de første ti minuttene. Det er også der tre atskilte sikringstiltak møtes.

Klinikeren åpner en klients journal
De når den fordi de har et gjeldende behandlingsforhold til den personen — ikke på grunn av stillingstittelen. En terapeut når sin egen liste, ikke klinikkens.
Åpningen skrives til loggen før innholdet vises
Før, ikke etter. Feiler skrivingen, blir innholdet ikke levert. Loggen legges bare til, og hver post er bundet til den før, så en post kan ikke fjernes uten å etterlate et brudd.
164.312(b)
Hadde de ikke noe forhold til den personen, åpnes ingenting
Ikke et varsel. Det finnes ingen hovedoverstyring, og en administratorkonto åpner ikke noe klinisk innhold i seg selv.
Er det en reell nødssituasjon, kan de bruke nødtilgang isteden
En bevisst, egen handling som åpner en notert sesjon. Tilgangen er der når noen virkelig trenger den, og aldri stille.
164.312(a)(2)(ii)
De blir kalt bort, og skjermen blir stående
Et varsel vises før noe mistes
Lenge nok til å komme tilbake og fortsette. Ingen bør miste et halvskrevet klinisk notat til en kontroll som finnes for å beskytte dem.
Sesjonen avsluttes — og det er serveren som avslutter den
Dette er delen som betyr noe. Timeren i nettleseren er en høflighet; serveren sjekker hvor lenge det er siden den sesjonen sist ble brukt, og avviser forespørselen. Å slå av nettlesertimeren gir ingenting, og en sesjonspolett spilt av fra et annet sted avvises på samme regel.
164.312(a)(2)(iii)
Et tak gjelder uansett aktivitet
Fordi en sesjon holdt levende av et skript, fortsatt er en sesjon som burde avsluttes. Minutter uten aktivitet, varselperiode og absolutt tak er tre innstillinger på selskapet — femten minutter som standard, som er der de fleste amerikanske praksisene lander.
Mobilappen følger samme regel
Sjekket i gatewayen, holdt i delt tilstand så svaret er det samme på tvers av hver serverprosess, og appen fornyer seg ikke stille forbi en sesjon serveren alt har avsluttet.

Nødtilgang er ikke slutten på den historien. Hver nødtilgang gir en registrering som gjennomgås etterpå av personvernansvarlig. Kontrollen er gjennomgangen, ikke noteringen — som er derfor den kommer igjen i neste forløp.

Forløp 7 · 164.308(a)(1)(ii)(A)–(D) · (a)(2)–(8) · 164.530 Etterlevelsesåret, fra den ene enden til den andre Ikke en hendelse — rutinen. Dette er forløpet som gjør et system med gode kontroller til en virksomhet som kan bevise at den hadde dem, og det er der de to funnene som oftest nevnes i amerikansk håndheving, bor.

En sikkerhetsansvarlig og en personvernansvarlig utpekes
Ved navn, med datoer, sammen med et kontaktpunkt for klager. En ufylt utpeking er et funn i seg selv.
164.308(a)(2) · 164.530(a)
Risikoanalysen gjennomføres og skrives inn i registeret
Hver risiko med sin ressurs, trussel, svakhet, sannsynlighet, konsekvens, gjeldende kontroll, risikoen som står igjen, en eier og en gjennomgangsdato. Dette er det enkeltvis oftest nevnte funnet i amerikansk håndheving — ikke fraværet av sikkerhet, fraværet av vurderingen.
164.308(a)(1)(ii)(A)
En vurdering med uvurderte risikoer kan ikke godkjennes
Og en vurdering uten risikoer i kan ikke godkjennes i det hele tatt. Et tomt register er funnet, ikke en ren helseattest.
Alt som skal utbedres, bærer en eier og en dato
Som er hva som gjør registeret til en plan heller enn en liste bekymringer.
164.308(a)(1)(ii)(B)
Noen går gjennom revisjonsloggene i et oppgitt intervall
Kravet er å gå gjennom dem jevnlig, ikke bare å beholde dem. Gjennomgangen noterer perioden, gjennomgåeren, hva som ble undersøkt og hva som ble funnet — også nødtilgangssesjonene fra forløp 6. En tom funnliste er det gode utfallet, men den må være en tom liste noen har laget.
164.308(a)(1)(ii)(D)
De som begynner, får fullmakt; de som slutter, avsluttes på registreringen
Fullmaktsregisteret sier hvem som fikk hva og når det sist ble gjennomgått. Avslutningsregistreringen er den det blir spurt om: beviset for at tilgangen ble fjernet den dagen noen sluttet, heller enn tre måneder senere da noen la merke til det.
164.308(a)(3)–(4)
Opplæring noteres per person
Ved siden av kompetansen og sertifiseringene med utløpsdatoer praksisen alt følger, så én skjerm svarer på «er denne personen oppdatert».
164.308(a)(5) · 164.530(b)
Regler er versjonerte, bekreftet, og bevart i seks år per versjon
Klokken løper på hver versjon heller enn på den gjeldende, som er hva regelen faktisk sier og hva de fleste arkivsystemene tar feil.
164.316 · 164.530(i)–(j)
Beredskapsplanen testes, og testen noteres
Sikkerhetskopi, gjenoppretting, nøddrift, og hvilke systemer som betyr mest. En sikkerhetskopi ingen noen gang har gjenopprettet, er et håp heller enn en kontroll.
164.308(a)(7)
Utstyr og arbeidsstasjoner står i registeret, og bevegelser loggføres
Og et utstyr kan ikke merkes som kastet eller gjenbrukt uten at det noteres hva som ble gjort med dataene på det.
164.310(b)–(d)
Der noen bryter reglene, noteres sanksjonen
Regelen, og sanksjonene som faktisk ble brukt. Den andre er den det blir spurt om.
164.308(a)(1)(ii)(C) · 164.530(e)
Én gang i året evalueres det hele på nytt og dateres
Så «når sjekket du sist om noe av dette er sant ennå» har et svar med en dato på.
164.308(a)(8)
Oppbevaring kjører stille i bakgrunnen hele året
Når en periode løper ut, ødelegges krypteringsnøkkelen. Innholdet blir for alltid uleselig mens det tomme skallet og revisjonssporet blir, så du kan bevise at journalen fantes og ble kastet etter planen. Ingenting ødelegges mens et rettslig hold står.
164.310(d)(2)(i) · 164.316(b)(2)

Den ene advarselen verdt å gjenta: hvert steg over er et sted å legge en registrering, og et sted med ingenting i dokumenterer ingenting. Programvaren fjerner unnskyldningen om at det ikke var noe sted å skrive det ned. Den gjør ikke året for deg — og den vil ikke si at du hoppet over det, annet enn ved å ha et tomt register når noen spør.

11 — Hvor kantene er

Hva som ikke er ferdig, sagt høyt

Dette avsnittet finnes fordi alternativet er verre. Et hull du navngir, er et en kjøper kan planlegge rundt. Et hull de finner under aktsomhetsvurderingen, etter å ha fått høre at stillingen var fullstendig, koster avtalen og tilliten med den.

Listen var lang før. Avviksmelding, personvernmeldingen, automatisk utlogging, de manglende delene av innsynsretten, fortrolig kommunikasjon, risikoanalyse, logggjennomgang, sanksjoner, navngitte ansvarlige, opplæring, avslutning, beredskapsplanlegging, fysiske sikringstiltak, anonymisering og resten av Part 164 er alle bygget. Det som står igjen, er virkelig lite, og det er den ærlige resten heller enn en ryddet.

Fortsatt åpent i programvaren

Avviste forsøk mangler i loggen. Åpninger som lykkes, noteres riktig. Et forsøk som ble sperret , skrives og mistes så, fordi avvisningen avslutter forespørselen og systemet forkaster forespørselens arbeid sammen med den. Så loggen svarer på «hvem leste denne journalen» og kan ennå ikke svare på «hvem prøvde og ble avvist» — som er en av de tingene en jevnlig logggjennomgang er til. Funnet mens tostegsbekreftelsen ble bygget, og blir rettet for seg.
Det finnes ingen registrering av hvem som kan handle for en pasient. Vi kan notere at en forelder eller en oppnevnt verge har signert et skjema. Vi kan ennå ikke notere at en navngitt person kan lese en pasients journal — så en forelders myndighet kan ikke få en sluttdato, og den kan ikke slås av. To ting følger, og de betyr mest i arbeid med ungdom. Det finnes ikke noe sted å notere hvilken av de tre situasjonene som gjelder der en forelder ikke representanten for sitt tenåringsbarn. Og det finnes ingen måte å avvise noen som representant der praksisen mener den personen kan ha skadet pasienten — en avgjørelse loven uttrykkelig tillater, og en som i dag avhenger av at alle husker. Til dette kommer, behandle ikke systemet som registeret over hvem som kan handle for hvem; det blir på papir.
«Minste nødvendige» håndheves av struktur, ikke avgjort automatisk. Ansatte når sin egen liste heller enn klinikkens, som er den delen som betyr noe. På delingsstien noteres de unntatte formålene og skjønnet som ble utøvd, heller enn å regnes ut. Vent å vise en regel og en registrering her, ikke en algoritme — og vær skeptisk til et produkt som hevder noe annet.
Part 2s egne regler for oversikt er ikke modellert for seg. Registeret flagger Part 2-materiale og bærer varselet, men de to regimenes tellemåter håndteres som én.
Det finnes ingen flate mot leverandører for avviksmelding. Din side av det er bygget riktig, med begge klokkene. Hva som ikke finnes, er en måte en business associate kan levere en melding selv — det ville vært en portal for virksomheter utenfor, som er en produktavgjørelse heller enn en manglende sjekk.
E-signaturbroen for bekreftelser av meldinger har ingen egne tester. Den er liten, og modellene på begge sider er godt dekket, som gjør den lav risiko heller enn testet.
Krypterte dokumenter kan ikke søkes på innhold. Dette følger direkte av krypteringen og vil ikke endre seg. Dokumenter finnes på pasient, type og dato. Enhver leverandør som lover både sterk kryptering og fritekstsøk i samme innhold, lover ett av dem usant.
Det er ikke en elektronisk pasientjournal. Ingen klinisk journalføring, ingen strukturerte notater, ingen HL7- eller FHIR-meldinger, ingen e-resept. Trenger du det, kommer det fra et annet system, og dette holder dokumentene.

Bygget, men bare så godt som bruken du gjør av det

Disse er alle gjennomført, og de er den typen kontroll som svikter stille hvis ingen kjører den. En gransker ser på registreringene, ikke på om programvaren har et sted å bevare dem.

Risikoanalysen må faktisk gjøres. Registeret er tomt til noen fyller det ut, og det er det oftest nevnte funnet i landet.
Logggjennomgangen må skje i sitt intervall. Å beholde logger er ikke å gå gjennom dem.
Beredskapsplanen må testes. Testregistreringen er beviset, ikke planen.
De ansvarlige må utpekes ved navn. En ufylt utpeking er et funn.
Nødtilgangssesjoner må leses. Systemet noterer hver av dem. Noen må se på dem og handle på hva de viser.
De planlagte jobbene må fortsette å kjøre. Oppbevaring, sletting, sesjonsutløp, fristvarsler. En jobb som stopper stille, er et etterlevelsesproblem som bare kommer fram i en revisjon.

12 — Din side av streken

Hva HIPAA ber virksomheten din om, ikke noen programvare

En stor del av disse reglene handler om hvordan en virksomhet oppfører seg. Ingen produkter gjør dette for deg, og et produkt som hevder det, framstiller regelen feil.

Dette er ikke juridisk rådgivning, og ingen produkter er HIPAA-sertifisert

Det finnes ingen HIPAA-sertifisering for programvare, fordi ingen myndighet utsteder en. Det som finnes, er et sett kontroller, og denne siden sier hvilke av dem plattformen gjennomfører. Alt under blir hos deg, og hvert punkt på denne siden bør bekreftes med amerikansk helserettsadvokat før det havner i en kontrakt.

Avtalene er dine å signere. Plattformen registrerer business associate-avtaler, følger datoene deres og nekter en utlevering som bygger på en utløpt. Den inngår ikke dem.
Den fastsatte ordlyden trenger en advokat. Personvernmeldingen, Part 2-meldingen og avviksmeldingene leveres som utkast der hvert påkrevd element har sin egen plass med sin henvisning, og ingen kan publiseres med en plass ufylt. Forskriften fastsetter innholdet. Å gå gjennom ordene er advokatens, og ingen mengde kode lukker det. Dette er det ene punktet på denne siden som står mellom dagens tilstand og en oppstart i USA.
Administrative avgjørelser blir avgjørelser. Hvem som er klarert, hva opplæringen sier, om en sanksjon er berettiget, hvordan du svarer på en hendelse. Systemet noterer beviset; skjønnet er ditt.
Fysisk sikkerhet handler om bygget ditt. Registrene holder beviset — hvem som får komme inn, hvor hver arbeidsstasjon er, hvor hvert utstyr ble av. Låsene, kameraene og besøksreglene er dine.
Delstatsrett går lenger enn HIPAA. Californias CMIA, og regler i New York og Texas blant andre, legger til krav HIPAA ikke har. Oppbevaringstider varierer særlig og må bekreftes lokalt.
Hvem som får et behandlingsforhold i utgangspunktet. Systemet styrer tilgang gjennom behandlingsrelasjoner. Det avgjør ikke hvem som skal ha en.
Om Part 2 rekker deg i det hele tatt. Alt Part 2 legger til, er dødt til noen slår det på, og om det gjelder ditt program, er et spørsmål for advokat.

Det ærlige sammendraget, i ett avsnitt

Alle åtte tekniske sikringstiltak er bygget og til å vise fram. Privacy Rule er fullstendig gjennom de delene de fleste systemene utelater — det utpekte journalsettet, psykoterapinotater skilt av en andre krypteringsnøkkel, begrensningen ved egenbetaling programvaren ikke lar ansatte avslå, seks år med utleveringer samlet fra hvert register, innsynsretten med sin utsettelse, gebyrer, format, oversending til tredjepart og gjennomgang av avslag, og rettingsretten gjennom uenighet og svar. Breach Notification Rule er bygget med de fire faktorene, sekstidagersklokken, presseterskelen per delstat, begge leverandørklokkene og trettidagerstaket på en muntlig anmodning fra politiet. 42 CFR Part 2 er dekket, også 2024-regelen. De administrative og fysiske sikringstiltakene har registreringer å bo i — og de registreringene er verdt nøyaktig det du legger i dem, som er den virkelige resterende risikoen, og en organisatorisk heller enn en programvaremessig. Alt av det er dekket av 521 automatiske tester som kjører mot en levende installasjon.

13 — Hvor du går videre

Resten av bildet

FellesSikkerhetsoversiktDen tekniske kjernen hvert land ligger på: kryptering, tilgangskontroll, revisjonslogg, herding av serveren. JurisdiksjonGDPR · Den europeiske unionRettslig grunnlag, sletting, dataportabilitet, 72-timersklokken og styringsregistreringene. JurisdiksjonUK GDPR · StorbritanniaTesten om alvorlig skade, NHS-oppbevaringsplanen og journaler etter døde. KjernenSikre dokumenterKrypteringen hver påstand på denne siden bygger på — og risikoene som ikke har noen teknisk løsning.