Il numero di telefono di un paziente è PHI secondo HIPAA? Sì.
Sì.** Il numero di telefono di un paziente è Informazione Sanitaria Protetta (PHI) secondo HIPAA (45 CFR §160.103).
Perché è qualificato
- Identificabile: Collega direttamente a un individuo.
- Contesto sanitario: Detenuto da un'entità coperta (provider, piano sanitario, clearinghouse) o business associate *in relazione con* operazioni sanitarie.
- 18 identificatori: I numeri di telefono sono esplicitamente elencati (§164.514(a)(2)(ii)).
Implicazioni pratiche
| Scenario | PHI? | Gestione |
|---|---|---|
| Il paziente fornisce il numero all'accettazione | Sì | Crittografa a riposo, limita l'accesso, BAA con i fornitori |
| Numero su promemoria appuntamento SMS | Sì | Minimo necessario; nessun dettaglio clinico in SMS |
| Numero su fax di referral | Sì | Fax sicuro / eFax con log di controllo |
| Numero in set di dati de-identificato | No (se de-identificato correttamente per §164.514) | Safe Harbor o Determinazione Esperto |
| Numero su sito web pubblico (bio del medico) | No (non dati paziente) | Informazioni di contatto commerciale |
Violazioni comuni
- Invio di PHI per SMS a telefono personale senza consenso.
- Esportazione di lista pazienti (con telefono) su Excel non criptato su laptop.
- Condivisione con vendor di marketing senza BAA + autorizzazione paziente.
Checklist di conformità
- Includi il telefono nell'**Analisi dei rischi** (§164.308(a)(1)).
- Applica **Controllo accesso** (ID utente unici, MFA).
- **Log di controllo** su tutti i sistemi che toccano PHI.
- **BAA** con ogni fornitore (Twilio, Telnyx, EHR, servizio di risposta).
- **Piano di notifica violazione** (regola 60 giorni).
Tratta ogni numero di telefono del paziente come un SSN — stesse tutele, stesse sanzioni.