HIPAA政策

目的

我们致力于保护患者信息的保密性、完整性和可用性。本政策阐述了全美老年人基金会如何处理受保护的健康信息 (PHI)、如何保障您的权利以及如何遵守 HIPAA 的隐私、安全和违规通知规则。

适用范围

本政策适用于所有工作人员，包括员工、志愿者、承包商、实习生和董事会成员。本政策也适用于通过提供服务、存储或支持等方式接触PHI（受保护的健康信息）的第三方供应商。

关键定义

受保护的健康信息（PHI）

PHI（受保护的健康信息）是指任何能够识别您身份并与您的健康、护理或护理费用相关的信息。PHI可以是口头、纸质或电子形式，包括医疗记录、检验结果、账单数据和人口统计信息。

隐私惯例通知 (NPP)

本隐私政策阐述了我们的法律义务和隐私保护措施。本页面即为在线版隐私政策。您可随时索取纸质版。

您的HIPAA隐私权

您拥有重要的权利。我们让您轻松行使这些权利。

• 权限： 申请纸质或电子版档案副本。
• 修正案： 请联系我们更正或补充您记录中的信息。
• 披露会计： 索取特定披露信息的清单。
• 限制： 您可以要求我们限制如何使用或披露PHI（受保护的健康信息）。我们将遵守必要的限制和合理的要求。
• 保密通信： 请通过其他地址、电话号码或电子邮件联系。
• 纸质副本： 您可随时索取本政策的纸质副本。
• 筹款退出选项： 如果我们联系您进行筹款活动，您可以选择不参加。我们会尊重您的选择。
• 呈交诉状： 你可以放心投诉，不必担心遭到报复。 请联系隐私专员.

我们如何使用和披露PHI

我们使用或披露PHI（受保护的健康信息）的核心目的如下：

• 治疗方法： 协调您与临床医生、护理人员和服务合作伙伴的护理工作。
• 付款方式： 开具服务账单并收取服务款项。
• 医疗保健业务： 为了运行我们的项目、提高质量、培训员工和进行审计。

对于其他用途和披露，我们将获得您的书面授权。您可以随时以书面形式撤销授权。

未经授权披露的示例

• 依法开展公共卫生报告和卫生监督活动。
• 必要时举报虐待、忽视或家庭暴力行为。
• 回应法院命令、传票或执法部门的要求。
• 避免对健康或安全构成严重威胁。
• 有限地使用去标识化或汇总数据进行质量改进。

我们不会出售您的PHI（受保护的健康信息）。未经您的明确授权，我们不会将您的PHI用于营销目的。

最低必要标准

我们遵循“最小必要原则”。员工只能访问履行职责所需的PHI（受保护的健康信息）。我们采用基于角色的访问控制，并定期审查访问权限。

行政、物理和技术保障措施

行政保障

• 治理： 指定的隐私官和安全官负责监督合规情况。
• 风险管理： 年度风险评估和补救计划。
• 政策与培训： 新员工入职培训和年度 HIPAA 培训，并需提供完成证明。
• 制裁： 违规行为将受到纠正措施，直至解雇。
• 应急计划： 数据备份和灾难恢复程序已进行测试。

物理保护

• 文件存储上锁；纸质PHI（受保护的健康信息）桌面清洁政策。
• 办公室实行门禁卡管理，访客需登记。
• 工作站安全和隐私防护屏（如有需要）。
• 确保设备安全存储和运输。

技术保障

• 加密： 静态数据采用 AES-256 加密，传输过程中采用 TLS 加密。
• 访问控制： 唯一ID、强密码和多因素身份验证。
• 审计控制： 系统日志、警报和定期访问审查。
• 完整性： 反恶意软件、补丁和变更管理。
• 自动注销和设备保护： 屏幕锁定、远程擦除和移动设备管理。

业务伙伴与供应商管理

我们与代表我们创建、接收、维护或传输PHI（受保护的健康信息）的供应商签订业务伙伴协议（BAA）。我们会评估供应商的安全措施，审核BAA，并监控其绩效。分包商也必须符合相同的标准。

记录、保存和安全处置

• 精度： 我们力求保持记录的及时性和完整性。
• 保留： 我们会按照法律要求和公司规定保留记录。
• 安全处置： 我们会粉碎纸质PHI，并对含有ePHI的介质进行消毒或销毁。

数字隐私、Cookie 和远程医疗

我们的患者门户和网页表单使用 SSL/TLS 加密技术来保护传输过程中的患者健康信息 (PHI)。我们使用分析工具和 Cookie 来改进网站；这些工具和 Cookie 不会访问 PHI。您可以在浏览器中管理 Cookie。

当我们提供远程医疗或远程服务时，我们会使用符合 HIPAA 标准的平台，并遵循我们的身份验证和隐私程序。

有关法律资源，请参阅 老年人和家庭的法律援助.

违规通知与事件响应

我们会立即调查疑似事件。如果发生未加密的个人健康信息泄露事件，我们会毫不拖延地通知受影响的个人，最迟不超过发现事件后的60天。必要时，我们还会通知监管机构，并在适用情况下通知媒体。

1. 包含： 制止事件发生并确保系统安全。
2. 评估： 完成风险评估和取证审查。
3. 通知： 发送包含详细信息和建议保护措施的信函。
4. 补救措施： 找出根本原因并更新安全措施。
5. 文件： 保留详细的事故记录。

如何行使您的权利

您可以通过在线、邮寄或亲自递交的方式提交申请。我们将按照 HIPAA 规定的时间期限作出回复。

• 访问权限或副本： 请索取您的档案，并选择纸质或电子格式。
• 修正案： 如果您认为信息不准确或不完整，请告知我们进行更正。
• 限制与保密联系： 请求限制或替代联系方式。
• 披露会计： 索取特定披露信息的清单。
• 投诉： 如果您认为您的隐私权受到侵犯，请联系我们或向美国卫生与公众服务部民权办公室提出投诉。

请联系隐私专员

隐私专员，全老年人基金会
电子邮箱： [email protected]
电话：（818）581，4101
邮寄地址：16101 Ventura Blvd Suite 333

有关 HIPAA 的更多信息，请访问 美国卫生与公众服务部 (HHS) HIPAA 网站 或 违规通知规则.

常見問題解答

您是否与家人或护理人员共享PHI（个人健康信息）？

经您许可，我们可能会与家人或照护者分享相关的PHI（受保护的健康信息），以支持您的照护。在紧急情况下，如果符合您的最佳利益，我们可能会分享信息。

我可以选择不接收筹款信息吗？

是的。如果您收到募捐信息，您可以随时选择退订。您的选择不会影响您接受的护理或服务。

如何保护电子PHI（ePHI）？

我们采用加密、多因素身份验证、访问日志和定期安全审查。我们仅允许授权员工访问。

如果我的数据遭到泄露，您会通知我吗？

是的。如果发生未加密PHI（受保护的健康信息）泄露事件，我们将按照法律要求通知您，并提供您可以采取的保护措施。

法律声明

本政策体现了我们的 HIPAA 合规计划。本政策仅供参考，不构成法律建议。在州法律保护力度更大的情况下，我们将遵循更严格的标准。