HIPAA có áp dụng cho công ty Việt Nam không?

HIPAA có áp dụng cho công ty Việt Nam khi công ty tạo, nhận, lưu giữ hoặc truyền PHI (thông tin sức khỏe định danh được) thay mặt một covered entity Mỹ, tức là khi bạn là business associate. Địa điểm văn phòng không phải tiêu chí. Ngược lại, nếu dự án không chạm tới PHI, hoặc chỉ dùng dữ liệu đã de-identify đúng chuẩn, HIPAA không áp dụng cho phần việc đó.

Ai bị HIPAA điều chỉnh trực tiếp?

HIPAA điều chỉnh trực tiếp hai nhóm: covered entity và business associate (45 CFR §160.103). Covered entity là nhà cung cấp dịch vụ y tế thực hiện giao dịch điện tử chuẩn, health plan và clearinghouse; đây thường là khách hàng của bạn. Business associate là bên thực hiện dịch vụ cho covered entity và trong quá trình đó tạo, nhận, lưu giữ hoặc truyền PHI. Công ty phần mềm và outsourcing Việt Nam làm dự án y tế cho Mỹ thường rơi vào nhóm này. Từ HITECH Act, business associate chịu trách nhiệm trực tiếp với một số nghĩa vụ, gồm Security Rule (§164.302) và nghĩa vụ báo breach cho covered entity (§164.410).

Dự án của bạn có làm bạn thành business associate không?

Câu hỏi quyết định là dự án có cho bạn tiếp cận PHI hay không. Bảng dưới là các tình huống điển hình; kết luận cuối cùng vẫn phụ thuộc hợp đồng và luồng dữ liệu thực tế.

Bạn có thể tự đánh giá nhanh bằng bốn câu: dữ liệu có định danh được một người không; dữ liệu có liên quan tới sức khỏe, điều trị hoặc thanh toán y tế không; khách hàng (hoặc khách hàng của khách hàng) có phải covered entity không; và hợp đồng có yêu cầu bạn xử lý dữ liệu đó không. Bốn câu "có" nghĩa là bạn rất có thể là business associate.

Nếu bạn là subcontractor cho công ty IT Mỹ thì sao?

Subcontractor xử lý PHI cho một business associate cũng là business associate. Theo 45 CFR §164.502(e), business associate phải có cam kết bằng văn bản (subcontractor BAA) từ subcontractor trước khi cho phép họ xử lý PHI. Nhiều công ty Việt Nam ở vị trí này: không ký với bệnh viện, mà ký với công ty IT Mỹ là business associate chính. Nếu bên Mỹ không đưa BAA, hãy chủ động hỏi, vì xử lý PHI mà không có thỏa thuận và biện pháp bảo vệ phù hợp đặt bạn vào rủi ro pháp lý lẫn hợp đồng.

Rủi ro thực tế với công ty không có văn phòng ở Mỹ là gì?

Rủi ro gần nhất thường đến qua hợp đồng, trước cả câu hỏi về thực thi xuyên biên giới. Việc HHS thực thi trực tiếp với một công ty không có hiện diện tại Mỹ ra sao là câu hỏi pháp lý cần luật sư Mỹ trả lời. Những hậu quả bạn gặp ngay:

• Không qua được vendor qualification nếu không ký được BAA hoặc không chứng minh được safeguard.
• Bồi thường theo điều khoản BAA và hợp đồng dịch vụ nếu sự cố gây thiệt hại cho khách hàng.
• Mất uy tín: HHS công khai các breach ảnh hưởng từ 500 người trở lên trên cổng báo cáo breach của OCR.
• Mất cơ hội dự thầu các dự án y tế Mỹ tiếp theo.

Covered entity cũng có nghĩa vụ riêng: phải có BAA với bạn (§164.502(e)) và phải hành động nếu biết bạn vi phạm nghiêm trọng thỏa thuận (§164.504(e)(1)(ii)). Vì vậy họ sẽ hỏi kỹ về safeguard của bạn trước khi ký.

De-identification có giúp thoát khỏi phạm vi HIPAA không?

Có. Dữ liệu được de-identify đúng chuẩn không còn là PHI. 45 CFR §164.514(b) cho phép hai cách: Safe Harbor (loại bỏ 18 nhóm định danh như tên, đơn vị địa lý nhỏ hơn tiểu bang, mọi thành phần ngày trừ năm, số điện thoại, email, số hồ sơ bệnh án, địa chỉ IP, ảnh toàn khuôn mặt, và không có hiểu biết thực tế rằng phần còn lại định danh được người đó) hoặc Expert Determination (chuyên gia thống kê xác định rủi ro định danh lại là rất nhỏ và ghi lại phương pháp). Xóa tên nhưng giữ ngày sinh đầy đủ và mã zip năm chữ số là chưa đạt Safe Harbor. Nếu bất kỳ đợt dữ liệu nào tới tay bạn trước khi được de-identify, phần việc đó vẫn nằm trong phạm vi HIPAA.

Nên làm gì sau khi xác định mình là business associate?

Bước tiếp theo là đưa nghĩa vụ vào hợp đồng và vận hành, theo thứ tự:

1. Trao đổi với khách hàng về BAA; đọc kỹ thời hạn báo sự cố, quyền kiểm tra và điều khoản trả hoặc hủy dữ liệu.
2. Vẽ luồng dữ liệu: PHI đi qua hệ thống, vendor và công cụ nào.
3. Thực hiện risk analysis bằng văn bản theo §164.308(a)(1).
4. Chỉ định security official chịu trách nhiệm (§164.308(a)(2)).
5. Ký BAA với mọi vendor và subcontractor chạm tới PHI.

pTrackly hỗ trợ ở bước nào?

pTrackly giúp bạn vận hành phần việc sau khi đã xác định phạm vi; việc kết luận bạn có phải business associate hay không và nội dung BAA vẫn cần khách hàng và tư vấn pháp lý. Trong pTrackly, bạn thêm framework HIPAA để có compliance matrix map các yêu cầu Security Rule sang control, ghi lý do và biện pháp thay thế cho từng addressable specification chưa triển khai nguyên văn, quản lý risk register, và theo dõi BAA của từng vendor (trạng thái, ngày ký, nhắc trước khi hết hạn).

Đọc tiếp: HIPAA là gì, BAA là gì và khi nào phải ký, HIPAA compliance checklist cho công ty phần mềm và HIPAA với pTrackly.

Câu hỏi thường gặp

Công ty Việt Nam không có văn phòng ở Mỹ có phải tuân thủ HIPAA không?

Có, nếu công ty xử lý PHI thay mặt covered entity hoặc business associate Mỹ. HIPAA xác định phạm vi theo vai trò và dữ liệu, không theo nơi đặt văn phòng.

Xây website cho phòng khám Mỹ có phải business associate không?

Không, nếu công việc không cho bạn tiếp cận PHI. Nếu website có form đặt lịch hoặc cổng bệnh nhân lưu thông tin sức khỏe, hãy đánh giá lại.

Làm subcontractor cho công ty IT Mỹ có cần ký BAA không?

Cần, nếu bạn xử lý PHI. Business associate phải có subcontractor BAA với bạn theo 45 CFR §164.502(e).

Dữ liệu đã ẩn tên có còn là PHI không?

Có thể vẫn là PHI. Chỉ dữ liệu đạt Safe Harbor (loại bỏ đủ 18 nhóm định danh) hoặc Expert Determination theo 45 CFR §164.514(b) mới được coi là đã de-identify.

Tài liệu tham khảo: 45 CFR §160.103 · §164.502 · §164.504 · §164.514 · HHS: Business Associates · HHS: De-identification