Cos'è HIPAA? Una guida in parole semplici

HIPAA, l'Health Insurance Portability and Accountability Act, è una legge federale statunitense del 1996 che stabilisce gli standard nazionali per la protezione delle informazioni sanitarie dei pazienti e impone alle organizzazioni sanitarie e ai loro fornitori di tutelarle. Molti pensano che HIPAA riguardi solo ospedali e medici. In realtà la legge si estende a società di fatturazione, fornitori IT, fornitori di servizi cloud e al servizio fax che trasmette un'impegnativa.

Il presidente Bill Clinton ha firmato HIPAA il 21 agosto 1996 come Public Law 104-191. Il Congresso e l'HHS l'hanno aggiornata quattro volte: la Regola sulla privacy (2003), la Regola sulla sicurezza (2005), la Regola sulla notifica delle violazioni (2009) e la Regola Omnibus (2013). Un quinto aggiornamento, la più ampia riscrittura della Regola sulla sicurezza degli ultimi 20 anni, è nell'agenda normativa dell'OCR per maggio 2026.

Questa guida spiega cosa significa HIPAA, le quattro Regole, cosa rientra nelle PHI, chi deve rispettarla, le sanzioni in caso di errori, come HIPAA si applica a fax, email, SMS e Slack e una checklist iniziale in otto passaggi. Leggila una volta e saprai se HIPAA si applica alla tua organizzazione e cosa fare dopo.

Definizione di HIPAA e breve storia (dal 1996 a oggi)

HIPAA è nata per aiutare i lavoratori a mantenere l'assicurazione sanitaria quando cambiano lavoro. Le regole sulla privacy e sulla sicurezza che oggi tutti associano a HIPAA sono state aggiunte in seguito.

Cosa significa HIPAA

HIPAA è l'acronimo di Health Insurance Portability and Accountability Act del 1996. Il presidente Bill Clinton l'ha firmata il 21 agosto 1996 come Public Law 104-191. La legge aveva quattro obiettivi iniziali: rendere l'assicurazione sanitaria trasferibile da un lavoro all'altro, ridurre le frodi e gli abusi nel settore sanitario, standardizzare le transazioni sanitarie elettroniche e proteggere le informazioni sanitarie.

La parte sulla protezione delle informazioni sanitarie era la più piccola della legge originale. Il Congresso incaricò il Dipartimento della Salute e dei Servizi Umani (HHS) di emanare in seguito i veri e propri regolamenti sulla privacy e sulla sicurezza. Sono questi regolamenti che oggi la maggior parte delle persone intende quando dice «HIPAA».

Come si è evoluta HIPAA: i quattro aggiornamenti principali

• La Regola sulla privacy (2003) ha fissato i primi standard nazionali su chi può usare e divulgare le PHI e ha attribuito ai pazienti diritti sui propri dati.
• La Regola sulla sicurezza (2005) ha aggiunto misure di protezione amministrative, fisiche e tecniche per le PHI elettroniche.
• HITECH Act e Regola sulla notifica delle violazioni (2009) hanno portato la sanzione massima da 25.000 $ a 1,5 milioni di $ all'anno, introdotto l'obbligo di notifica delle violazioni e favorito l'adozione delle cartelle cliniche elettroniche (EHR) con incentivi per 25 miliardi di $. L'HITECH ha inoltre attribuito ai procuratori generali degli Stati l'autorità di far rispettare HIPAA.
• Regola Omnibus (2013) ha reso i business associate direttamente responsabili delle violazioni di HIPAA e ha invertito l'onere della prova nella notifica delle violazioni.

A che punto è HIPAA nel 2025–2026

L'HHS ha proposto un importante aggiornamento della Regola sulla sicurezza a gennaio 2025. Renderebbe obbligatorie l'autenticazione a più fattori e la crittografia ed eliminerebbe la distinzione tra specifiche «required» e «addressable». Le stime di costo del settore arrivano a 34 miliardi di $. L'Office for Civil Rights ha mantenuto la finalizzazione nella propria agenda normativa per maggio 2026. Conviene considerare fin da ora obbligatorie l'MFA e la crittografia, per evitare di dover correre ai ripari in seguito.

Le quattro regole HIPAA spiegate

Si parla di «HIPAA» come se fosse un'unica cosa. In realtà sono quattro regole interconnesse, e la maggior parte delle violazioni avviene nei punti di raccordo tra di esse.

Regola sulla privacy (2003)

La Regola sulla privacy definisce che cosa sono le PHI e chi può accedervi e a quali condizioni. I pazienti hanno il diritto di accedere alle proprie cartelle, richiedere correzioni, ottenere un registro delle divulgazioni e chiedere restrizioni sull'uso delle proprie informazioni. Le strutture sanitarie devono rispondere alle richieste di accesso entro 30 giorni, con una sola proroga di 30 giorni consentita.

La Regola consente l'uso delle PHI senza autorizzazione del paziente per trattamento, pagamento e attività sanitarie operative (l'eccezione «TPO»). Tutto il resto è soggetto allo standard del minimo necessario: si divulga solo ciò che serve per raggiungere lo scopo. Il trattamento è l'unica eccezione in cui le cartelle complete possono circolare tra le strutture sanitarie.

Un classico caso di violazione della Regola sulla privacy: lo studio di un medico invia via fax lo stato HIV di un paziente a quello che il personale ritiene sia il medico di base del paziente, ma che si rivela essere il suo datore di lavoro. Numero sbagliato, nessun controllo sul minimo necessario, nessuna verifica.

Regola sulla sicurezza (2005)

La Regola sulla sicurezza si applica solo alle PHI elettroniche (ePHI). Definisce tre categorie di misure di salvaguardia:

• Amministrative: analisi dei rischi, formazione del personale, politica sanzionatoria, gestione degli accessi
• Fisiche: controlli di accesso alle strutture, sicurezza delle postazioni di lavoro, smaltimento dei dispositivi
• Tecniche: controlli di accesso, registri di audit, controlli di integrità, crittografia della trasmissione

L'attuale distinzione tra specifiche «required» e «addressable» è destinata a scomparire con l'aggiornamento proposto nel 2025. Le carenze nell'analisi dei rischi dominano le azioni di applicazione: sono comparse in 13 delle 22 risoluzioni chiuse dall'OCR nel 2024.

Regola sulla notifica delle violazioni (2009, tramite HITECH)

In caso di violazione di PHI non protetta, le entità coperte devono avvisare tre destinatari:

• Le persone interessate, entro 60 giorni
• L'HHS (immediatamente per le violazioni che coinvolgono 500 o più persone, entro 60 giorni dalla fine dell'anno per le violazioni minori)
• I principali mezzi di informazione, se sono interessati 500 o più residenti di un singolo Stato

La crittografia crea un porto sicuro (safe harbor). I dati adeguatamente crittografati che vengono smarriti o rubati non fanno scattare l'obbligo di notifica. L'accordo da 1,5 milioni di $ di Warby Parker nel 2025 ha riguardato insieme carenze della Regola sulla sicurezza e della Regola sulla notifica delle violazioni, dopo un attacco di credential stuffing che ha esposto i dati delle prescrizioni oculistiche dei clienti.

Esistono tre eccezioni alla violazione: l'accesso involontario da parte di un dipendente autorizzato, la divulgazione accidentale tra due persone autorizzate e la divulgazione a un soggetto che non avrebbe ragionevolmente potuto conservare le informazioni.

Regola Omnibus (2013)

La Regola Omnibus ha reso i business associate e i loro subappaltatori direttamente responsabili ai sensi di HIPAA. Prima del 2013, solo le entità coperte rischiavano sanzioni.

L'Omnibus ha inoltre invertito l'onere della prova sulle violazioni. Un uso o una divulgazione non consentiti dalla Regola sulla privacy è ora presunto una violazione, a meno che l'entità coperta non possa dimostrare una bassa probabilità che le PHI siano state compromesse, tramite una valutazione del rischio basata su quattro fattori.

Che cosa sono le PHI? I 18 identificativi che fanno scattare HIPAA

Le PHI sono costituite da uno qualsiasi dei 18 identificativi specifici combinato con un collegamento alla salute di una persona, all'assistenza sanitaria o al pagamento di prestazioni sanitarie. Se si rimuovono correttamente tutti i 18 identificativi, i dati risultano anonimizzati (de-identified) e smettono di essere PHI.

I 18 identificativi HIPAA

1. Nomi
2. Dati geografici di dimensioni inferiori a uno Stato
3. Tutte le date, tranne l'anno, relative a una persona
4. Numeri di telefono
5. Numeri di fax
6. Indirizzi email
7. Numeri di previdenza sociale (Social Security)
8. Numeri di cartella clinica
9. Numeri di beneficiario del piano sanitario
10. Numeri di conto
11. Numeri di certificato o di licenza
12. Identificativi di veicoli, comprese le targhe
13. Identificativi e numeri di serie di dispositivi
14. URL web
15. Indirizzi IP
16. Identificativi biometrici, comprese impronte digitali e impronte vocali
17. Fotografie del volto intero e immagini comparabili
18. Qualsiasi altro numero, caratteristica o codice identificativo univoco

Quando gli stessi dati NON sono PHI

Gli identificativi privi di un contesto sanitario non sono PHI. Il nome di un cliente nella mailing list di un rivenditore è solo un nome. Anche un contesto sanitario privo di identificativi non è PHI. Le statistiche ospedaliere aggregate e correttamente rese anonime non rientrano nell'ambito di HIPAA. Per l'applicazione della legge devono essere presenti entrambi gli elementi contemporaneamente. Il nome di un paziente unito a una diagnosi è PHI. Una diagnosi priva di qualsiasi identificativo non lo è.

Chi deve rispettare HIPAA (e chi no)

I dati del tuo Fitbit non sono protetti da HIPAA. Probabilmente non lo è nemmeno il programma di benessere del tuo datore di lavoro. HIPAA riguarda un elenco specifico di organizzazioni, e questo elenco è più ristretto di quanto la maggior parte delle persone creda.

Entità coperte (covered entities, CE)

Un'entità coperta da HIPAA rientra in una di queste tre categorie:

1. Piani sanitari: assicurazioni, HMO, Medicare, Medicaid e piani sanitari collettivi dei datori di lavoro. La maggior parte dei piani sanitari collettivi dei datori di lavoro è coperta a prescindere dalle dimensioni. L'unica eccezione riguarda i piani sanitari collettivi autogestiti con meno di 50 partecipanti: questi piani non rientrano in HIPAA. Se il piano è gestito da un'assicurazione o da un amministratore terzo, è coperto.
2. Stanze di compensazione sanitarie (healthcare clearinghouse): entità che convertono dati non standard in transazioni elettroniche standard.
3. Operatori sanitari che trasmettono qualsiasi informazione sanitaria in formato elettronico in relazione a una transazione coperta (richieste di rimborso, verifiche di idoneità, impegnative).

Il criterio della transazione elettronica è il motivo per cui quasi tutti gli operatori sanitari moderni sono coperti. Una volta che fatturi elettronicamente all'assicurazione o invii un'impegnativa in formato elettronico, rientri nell'ambito di HIPAA.

Business associate (BA)

Un business associate è qualsiasi persona o organizzazione che svolge, per conto di un'entità coperta, una funzione che comporta l'uso di PHI. Esempi comuni: società di fatturazione, fornitori IT, fornitori di archiviazione cloud, servizi di distruzione documenti, studi legali con accesso alle PHI, servizi di trascrizione e fornitori di fax conformi a HIPAA.

Dalla Regola Omnibus del 2013, i business associate rispondono direttamente all'OCR. Firma un Business Associate Agreement (BAA) prima di condividere qualsiasi PHI. Gulf Coast Pain Consultants ha pagato 1,19 milioni di $ dopo che un collaboratore esterno aveva mantenuto l'accesso ai sistemi dopo la cessazione del rapporto e aveva presentato richieste di rimborso Medicare fraudolente, a dimostrazione di cosa accade quando i controlli di accesso dei BA falliscono.

Chi NON è coperto da HIPAA

• Datori di lavoro che gestiscono informazioni sanitarie dei dipendenti al di fuori di un piano sanitario collettivo (si applicano invece ADA e FMLA)
• App di fitness per consumatori che non vendono a operatori sanitari, tra cui Fitbit, Apple Health e MyFitnessPal (si applica invece la FTC Health Breach Notification Rule)
• Scuole e università (i dati degli studenti sono regolati da FERPA)
• Assicurazioni sulla vita, assicuratori per gli infortuni sul lavoro e la maggior parte degli assicuratori per l'invalidità
• Forze dell'ordine
• Società di analisi di marketing senza accesso alle PHI

HIPAA e canali di comunicazione: fax, email, SMS, Slack, video

Uno studio dentistico del Texas ha pagato 10.000 $ perché un dipendente aveva risposto a una recensione da una stella su Yelp con i dettagli di un paziente. HIPAA segue il messaggio, non il mezzo. Ogni canale che il tuo personale usa per trasmettere PHI richiede una propria risposta.

La matrice di conformità

‍

Fax: ancora il cavallo di battaglia della sanità

In base all'eccezione conduit, l'operatore telefonico non è un business associate quando trasmette un fax, perché non ispeziona né conserva mai il contenuto. Questo mantiene il fax tradizionale tra i canali consentiti da HIPAA.

Il fax analogico presenta due problemi pratici. Non esistono registri di audit e basta una cifra sbagliata per esporre PHI (come nel caso dello stato HIV inviato al datore di lavoro). Un servizio di fax in cloud conforme a HIPAA come Fax.Plus firma un BAA con il piano Enterprise, cifra il traffico in transito e a riposo, registra ogni invio e ricezione e consente al personale di inviare da email o da browser web. Il personale può inviare fax direttamente dall'email senza uscire dal flusso di lavoro che già utilizza.

Email e messaggistica

L'email gratuita per uso personale è la violazione HIPAA silenziosa più comune. Gmail, Outlook.com, Yahoo e iCloud non firmano un BAA nei livelli gratuiti. Google Workspace e Microsoft 365 a pagamento possono essere conformi a HIPAA, ma solo dopo aver stipulato il BAA e aver bloccato la configurazione (disattivare l'accesso alle app di terze parti, attivare i registri di audit, imporre l'MFA).

Gli SMS standard non sono conformi. Gli operatori telefonici non firmano BAA e i messaggi vengono archiviati senza cifratura sui dispositivi e nei sistemi degli operatori. Utilizza invece un'app di messaggistica sicura conforme a HIPAA.

Video e collaborazione

FaceTime e gli account Zoom personali sono esclusi. Zoom for Healthcare, Doxy.me e Microsoft Teams (con BAA) sono ammessi. Slack richiede Enterprise Grid prima di firmare un BAA. Gli spazi di lavoro Slack standard, per quanto ben configurati, non sono conformi a HIPAA.

Violazioni e sanzioni HIPAA: quanto costa la non conformità

Nel 2024 l'Office for Civil Rights dell'HHS ha chiuso 22 azioni di applicazione per un valore di 9,9 milioni di $. La stessa causa all'origine, «mancata esecuzione di un'adeguata analisi dei rischi», compariva in 13 di esse.

Livelli di sanzioni civili (2026)

• Livello 1 (mancanza di conoscenza): da 145 $ a 73.011 $ per violazione, fino a 2.190.294 $ all'anno
• Livello 2 (causa ragionevole): da 1.461 $ a 73.011 $ per violazione
• Livello 3 (negligenza intenzionale, corretta entro 30 giorni): da 14.618 $ a 73.011 $ per violazione
• Livello 4 (negligenza intenzionale, non corretta): da 73.011 $ a 2.190.294 $ per violazione

Sanzioni penali

L'OCR trasmette i casi penali al Dipartimento di Giustizia, che li persegue. Ottenere o divulgare consapevolmente PHI: fino a 50.000 $ e 1 anno. Con false dichiarazioni: fino a 100.000 $ e 5 anni. Con l'intento di vendere, trasferire o utilizzare a scopo di vantaggio commerciale o per causare danni dolosi: fino a 250.000 $ e 10 anni.

Casi reali di applicazione delle norme nel 2024–2025

• Warby Parker 1,5 milioni di $ (2025): attacco di credential stuffing; il rivenditore di occhiali era un'entità coperta
• Montefiore Medical Center 4,75 milioni di $: un dipendente ha sottratto oltre 12.000 cartelle; controlli di audit deboli
• Enzo Biochem 4,5 milioni di $: esposizione a ransomware riconducibile a credenziali condivise e a una password vecchia di dieci anni
• Gulf Coast Pain Consultants 1,19 milioni di $: un collaboratore esterno cessato ha mantenuto l'accesso al sistema e ha presentato richieste di rimborso Medicare fraudolente
• Studio dentistico in Texas 10.000 $: il titolare ha risposto a una recensione su Yelp con dettagli sul paziente

La Right of Access Initiative dell'OCR ha prodotto 54 azioni di applicazione dal 2019, con sanzioni da 3.500 $ a 160.000 $ per gli operatori sanitari che non hanno consegnato le cartelle cliniche in tempo.

Chi applica HIPAA

L'Office for Civil Rights dell'HHS si occupa dell'applicazione in ambito civile. Anche i procuratori generali degli Stati possono avviare azioni basate su HIPAA (l'HITECH ha conferito loro questa facoltà nel 2009). Il Dipartimento di Giustizia persegue i casi penali. La FTC applica la Health Breach Notification Rule per le app sanitarie non soggette a HIPAA, come i fitness tracker.

Leggi statali che vanno oltre HIPAA

HIPAA è il livello minimo federale. Alcuni Stati hanno costruito edifici più alti sopra queste fondamenta, e quando la legge statale è più rigorosa prevale.

• CMIA della California: definizione più ampia di informazioni mediche, si applica a più tipi di entità, offre ai pazienti il diritto di agire direttamente in giudizio e prevede l'accesso alle cartelle entro 5 giorni contro i 30 di HIPAA.
• HB 300 del Texas: estende la nozione di «entità coperta» a chiunque tratti PHI in Texas, impone una formazione biennale del personale entro 90 giorni dall'assunzione e autorizza sanzioni del procuratore generale fino a 1,5 milioni di $ l'anno.
• MHMDA di Washington: la legge statunitense più ampia sulla privacy sanitaria dei consumatori. Copre i dati dei fitness tracker, le app di monitoraggio del ciclo e le informazioni delle app per il benessere che HIPAA esclude, e prevede un diritto di azione privata.

Lo SHIELD Act di New York e il Genetic Information Privacy Act dell'Illinois aggiungono ulteriori livelli di tutela nei rispettivi Stati.

Quando la legge statale è più rigorosa di HIPAA, si applica la legge statale. Quando è più rigorosa HIPAA, prevale HIPAA. Mappale entrambe per ogni Stato in cui tratti PHI.

Come iniziare con la conformità a HIPAA: una checklist pratica

Non si può «concludere» la conformità a HIPAA: è un programma continuo. Si può però avviarne uno credibile in otto passaggi.

La checklist iniziale HIPAA in 8 passaggi

1. Stabilisci il tuo stato. Sei un'entità coperta, un business associate o nessuno dei due? La risposta determina tutti gli altri passaggi.
2. Esegui un'analisi dei rischi per la sicurezza (SRA). È la carenza più citata dall'OCR (13 su 22 nel 2024). Censisci ogni luogo in cui risiedono le PHI, ogni sistema che le tocca e ogni minaccia.
3. Nomina un responsabile della privacy e un responsabile della sicurezza. Nelle piccole organizzazioni può essere la stessa persona. Indica il ruolo per iscritto.
4. Redigi le policy richieste. Policy sulla privacy, policy di sicurezza, un piano di risposta alle violazioni, una policy sanzionatoria e una policy sui dispositivi. I modelli generici sono un punto di partenza, non il traguardo.
5. Firma un BAA con ogni fornitore che tratta PHI. Provider di posta elettronica, archiviazione cloud, servizio fax (Fax.Plus Enterprise include un BAA), società di fatturazione, supporto IT, servizio di trascrizione. Senza BAA, niente PHI.
6. Forma il personale. Formazione iniziale all'assunzione, richiami periodici, formazione specifica per ruolo per il personale clinico e IT. Documenta le presenze.
7. Implementa misure di sicurezza tecniche. Controlli di accesso basati sui ruoli, registri di audit, crittografia in transito e a riposo, MFA su ogni account che accede alle PHI.
8. Crea un manuale di risposta alle violazioni. Processo di valutazione del rischio basato su quattro fattori, tempistica di notifica di 60 giorni, elenco dei contatti per l'OCR e i procuratori generali statali, ed esercitazione simulata almeno una volta l'anno.

‍