Servizi di Sviluppo Software Conforme HIPAA per HealthTech, Telehealth e Digital Health SaaS

I covered entity ai sensi del 45 CFR §160.103 sono piani sanitari, healthcare clearinghouse e fornitori di assistenza sanitaria che trasmettono PHI per via elettronica nell'ambito di una transazione HIPAA. I business associate sono vendor che creano, ricevono, conservano o trasmettono PHI per conto di un covered entity — la maggior parte dei prodotti SaaS che serve provider, payer o aziende farmaceutiche rientra qui. HITECH 2009 ha reso i business associate direttamente responsabili nei confronti dell'OCR. Classifichiamo il vostro ruolo, redigiamo o rivediamo il Business Associate Agreement (BAA) ai sensi del §164.504(e) e documentiamo il flow-down verso i sub-appaltatori affinché i vendor a valle (cloud, analytics, strumenti di supporto) ereditino gli stessi obblighi.

La Security Rule (45 CFR §164.308–316) richiede misure di protezione amministrative, fisiche e tecniche. Tecniche: controllo degli accessi con ID utente univoci (§164.312(a)), logoff automatico, cifratura a riposo e in transito (AES-256, TLS 1.2+), audit log che registrano gli accessi ai PHI (§164.312(b)), controlli di integrità (§164.312(c)) e autenticazione (§164.312(d)). Amministrative: selezione del personale, politica delle sanzioni, piano di emergenza con backup dei dati/disaster recovery/modalità di emergenza (§164.308(a)(7)) e l'analisi del rischio §164.308(a)(1)(ii)(A), aggiornata almeno annualmente. Fisiche: controlli di accesso fisico, sicurezza delle postazioni di lavoro, smaltimento di dispositivi e supporti (§164.310). Implementiamo tutto questo nel vostro account AWS/GCP/Azure utilizzando servizi HIPAA-eligible nell'ambito del BAA del provider cloud.

AWS elenca circa 150 servizi HIPAA-eligible nell'ambito del suo BAA (EC2, S3, RDS, Lambda, ECS/EKS, CloudFront, KMS, ecc.); GCP e Azure pubblicano elenchi equivalenti. I PHI devono essere archiviati solo su servizi eligible con il BAA eseguito prima del trattamento. Configuriamo VPC dedicati senza superficie PHI pubblica, cifratura KMS-backed, CloudTrail+VPC Flow Logs inviati a un log store immutabile, IAM con ruoli a privilegi minimi e guardrail SCP, e politiche bucket S3 che negano l'accesso non-TLS. La conservazione dei log è di 6 anni per soddisfare il requisito di conservazione dei registri del §164.530(j).

Ai sensi del 45 CFR §164.400–414, una violazione è un uso o una divulgazione non consentita di PHI non protetti che compromette la sicurezza o la privacy, a meno che una valutazione del rischio a quattro fattori dimostri una bassa probabilità di compromissione. I covered entity devono notificare agli individui interessati senza indugio irragionevole e in nessun caso oltre 60 giorni di calendario; notificare all'HHS OCR entro 60 giorni per le violazioni che interessano 500 o più individui (e annualmente per le violazioni minori); notificare i principali media per 500 o più in uno stato/giurisdizione. I business associate devono notificare al covered entity entro 60 giorni. La cifratura ai sensi di NIST SP 800-111 (a riposo) e dei moduli validati FIPS 140-2 (in transito) fornisce un safe harbour — i PHI cifrati non sono «non protetti» e il termine di notifica non parte. Incorporiamo il runbook, le prove del log e il template di notifica BA-to-CE prima del lancio, non dopo l'incidente.

HIPAA è un minimum, non un massimo. Le leggi statali spesso aggiungono: la California CMIA copre una definizione di informazioni mediche più ampia di HIPAA; la Texas HB 300 estende lo status di covered entity. CCPA/CPRA si applica ora ai dati adiacenti a HIPAA non coperti da HIPAA (es. dati di app wellness al di fuori di un rapporto con un provider). Il 42 CFR Part 2 impone norme di consenso più rigide per i registri sui disturbi da uso di sostanze, recentemente allineati a HIPAA tramite la final rule del 2024. Per i pazienti UE, il GDPR articolo 9 (dati di categorie particolari) si applica in parallelo e richiede base giuridica, DPIA e rappresentante UE per i titolari non UE. Costruiamo un'unica mappa dei dati PHI/dati personali che soddisfa tutti i regimi sovrapposti.

Tre pacchetti. L'HIPAA Assessment è 7.500 EUR a prezzo fisso (da due a tre settimane): analisi del rischio §164.308(a)(1)(ii)(A), gap analysis rispetto alle Privacy e Security Rule, mappa dei flussi di dati PHI, inventario BAA e roadmap di remediation. L'Implementation è 22.000 EUR a prezzo fisso (da otto a dodici settimane): build delle misure di protezione tecniche/amministrative/fisiche, cifratura e audit logging, hardening IAM, template BAA, materiali di formazione del personale, runbook di risposta agli incidenti e workflow Breach Notification. La Ongoing Compliance è 4.000 EUR/mese: aggiornamento trimestrale dell'analisi del rischio, revisione dei log, tracciamento delle sanzioni, rinnovi BAA, due diligence sui vendor e una simulazione annuale di audit in stile HHS OCR. La difesa nelle indagini OCR e il supporto agli accordi di risoluzione vengono quotati separatamente.