블로그

Oct 10, 2023

HIPAA에 따라 종이 의료 기록, 물리적 PHI를 올바르게 폐기하는 방법

출처: Getty Images 2022년 12월 27일 - PHI(보호 대상 건강 정보)를 부적절하게 폐기하면 HIPAA 위반, OCR(Office for Civil Rights) 조사 및 막대한 벌금이 부과될 수 있습니다. 을 위한

출처: 게티 이미지

2022년 12월 27일 - PHI(보호 대상 건강 정보)를 부적절하게 폐기하면 HIPAA 위반, OCR(Office for Civil Rights) 조사 및 막대한 벌금이 부과될 수 있습니다.

예를 들어, 2022년 8월 OCR은 매사추세츠 소재 한 피부과 병원의 주차장에 있는 PHI 라벨이 붙은 빈 검체 용기가 안전하지 않은 쓰레기통에 버려지는 것을 발견한 후 사건을 해결했습니다.

라벨에는 환자 이름, 생년월일, 검체 수집 날짜, 검체를 채취한 제공자의 이름이 포함되어 있습니다. 더욱이 제3자 경비원은 나중에 주차장에서 PHI가 포함된 라벨이 붙은 표본 용기 1개를 발견했습니다.

당시 OCR 국장인 멜라니 폰테스 라이너(Melanie Fontes Rainer)는 “보호된 건강 정보를 부적절하게 폐기하면 환자의 개인정보에 불필요한 위험이 발생합니다.”라고 말했습니다.

"HIPAA 규제 기관은 환자 정보를 폐기할 때 대중이 접근할 수 없도록 보호 장치가 마련되도록 모든 조치를 취해야 합니다."

이 회사는 OCR에 300,640달러를 지불하고 시정 조치 계획을 실행하는 데 동의했습니다.

다행스럽게도 HHS는 HIPAA 개인정보 보호 및 보안 규칙에 따라 물리적 기록과 전자 PHI를 폐기하는 적절한 방법과 부적절한 방법에 대한 많은 지침을 유지하고 있습니다.

아래에서 HealthITSecurity는 종이 기록과 같은 물리적 PHI를 적절하게 폐기하기 위한 몇 가지 주요 고려 사항을 자세히 살펴보겠습니다. 향후 기사에서는 전자 PHI 폐기 과정에 대해 논의할 것입니다.

HIPAA 개인 정보 보호 규칙은 "해당 주체가 어떤 형태로든 보호 건강 정보(PHI)의 개인 정보를 보호하기 위해 적절한 행정적, 기술적, 물리적 보호 조치를 적용하도록 요구합니다"라고 HHS는 PHI 폐기에 대한 FAQ에서 명시합니다.

“이는 해당 주체가 그러한 정보의 폐기와 관련된 경우를 포함하여 PHI의 부수적인 사용 및 공개를 제한하고 금지된 사용 및 공개를 방지하기 위해 합리적인 보호 장치를 구현해야 함을 의미합니다.”

HIPAA 보안 규칙은 해당 주체가 전자 PHI를 저장하고 삭제하는 방법에 대한 정책 외에도 미디어를 재사용하기 전에 전자 미디어에서 전자 PHI를 제거하기 위한 정책 및 절차를 구현하도록 요구합니다.

HIPAA는 또한 해당 기관이 해당 기관의 PHI 폐기 정책에 대해 직원을 교육하도록 요구합니다.

HIPAA는 조직이 정보를 적절하게 폐기하기 위해 구현할 보호 조치를 선택할 때 상당히 유연합니다. 해당 주체는 개인의 상황을 평가하고 PHI를 합리적으로 처리하는 방법을 결정해야 합니다.

“합리적인 것이 무엇인지 결정할 때 해당 주체는 환자 개인 정보 보호에 대한 잠재적인 위험을 평가해야 할 뿐만 아니라 폐기할 PHI의 형식, 유형 및 양과 같은 문제도 고려해야 합니다.”라고 HHS는 계속해서 말합니다.

“예를 들어, 이름, 주민등록번호, 운전면허증 번호, ​​직불카드 또는 신용카드 번호, 진단, 치료 정보 또는 기타 민감한 정보와 같은 특정 유형의 PHI를 폐기하는 경우 부적절하게 접근할 위험이 있으므로 더 많은 주의가 필요할 수 있습니다. 이 정보는 신원 도용, 고용 또는 기타 차별을 초래하거나 개인의 평판에 해를 끼칠 수 있습니다.”

종이 기록의 경우, HHS는 PHI를 읽을 수 없고 재구성할 수 없도록 하기 위해 "기록을 파쇄, 소각, 펄프화 또는 분쇄"할 것을 제안합니다.

PHI가 포함된 처방약병의 경우, 해당 주체는 해당 병을 불투명 백에 넣고 공급업체를 통해 PHI를 수거 및 폐기하는 것을 고려할 수 있습니다.

OCR의 합의에서 예시된 바와 같이, 해당 주체는 PHI를 읽을 수 없을 정도로 파기하지 않는 한 보안되지 않은 쓰레기통에 PHI를 폐기해서는 안 됩니다. 부적절하게 폐기된 PHI가 노출되면 데이터 유출로 간주됩니다.

“일반적으로 해당 기관은 종이 기록, 라벨이 붙은 처방전 병, 병원 식별 팔찌, 전자 매체에 있는 PHI 또는 기타 형태의 PHI를 쓰레기통, 재활용 쓰레기통, 쓰레기통 또는 일반적으로 접근 가능한 기타 쓰레기통에 폐기할 수 없습니다. 대중이나 기타 권한이 없는 사람”이라고 HHS는 주장합니다.