Czym jest HIPAA? Wyjaśnienie prostym językiem

HIPAA, czyli Health Insurance Portability and Accountability Act, to amerykańska ustawa federalna z 1996 roku, która wprowadza krajowe standardy ochrony informacji zdrowotnych pacjentów i wymaga od organizacji medycznych oraz ich dostawców ich zabezpieczania. Wiele osób zakłada, że HIPAA dotyczy wyłącznie szpitali i lekarzy. W rzeczywistości obejmuje ona także firmy rozliczeniowe, dostawców usług IT, dostawców usług w cloud oraz usługę fax, która przesyła skierowanie.

Prezydent Bill Clinton podpisał HIPAA 21 sierpnia 1996 roku jako Public Law 104-191. Kongres i HHS zmodernizowały ją czterokrotnie: reguła prywatności (2003), reguła bezpieczeństwa (2005), reguła powiadamiania o naruszeniach (2009) i reguła Omnibus (2013). Piąta aktualizacja, największa zmiana reguły bezpieczeństwa od 20 lat, znajduje się w agendzie regulacyjnej OCR na maj 2026 roku.

Ten przewodnik wyjaśnia, co oznacza HIPAA, omawia cztery reguły, to, co jest uznawane za PHI, kto musi przestrzegać przepisów, jakie kary grożą za ich naruszenie, jak HIPAA odnosi się do fax, e-maili, SMS-ów i Slacka, a także zawiera ośmiostopniową listę kontrolną na początek. Po jednokrotnym przeczytaniu będzie wiadomo, czy HIPAA dotyczy Twojej organizacji i co robić dalej.

Definicja HIPAA i krótka historia (od 1996 roku do dziś)

HIPAA została pierwotnie stworzona, aby pomóc pracownikom zachować ubezpieczenie zdrowotne przy zmianie pracy. Reguły prywatności i bezpieczeństwa, z którymi dziś wszyscy ją kojarzą, dodano później.

Co oznacza skrót HIPAA

HIPAA to skrót od Health Insurance Portability and Accountability Act z 1996 roku. Prezydent Bill Clinton podpisał ją 21 sierpnia 1996 roku jako Public Law 104-191. Ustawa miała cztery pierwotne cele: umożliwić przenoszenie ubezpieczenia zdrowotnego między miejscami pracy, ograniczyć oszustwa i nadużycia w opiece zdrowotnej, ujednolicić elektroniczne transakcje zdrowotne oraz chronić informacje zdrowotne.

Ochrona informacji zdrowotnych była najmniejszą częścią pierwotnej ustawy. Kongres polecił Departamentowi Zdrowia i Opieki Społecznej (HHS) wydanie właściwych przepisów dotyczących prywatności i bezpieczeństwa w późniejszym terminie. To właśnie te przepisy większość osób ma dziś na myśli, mówiąc „HIPAA”.

Jak ewoluowała HIPAA: cztery główne aktualizacje

• Reguła prywatności (2003) wprowadziła pierwsze krajowe standardy określające, kto może wykorzystywać i ujawniać PHI, oraz przyznała pacjentom prawa do ich dokumentacji.
• Reguła bezpieczeństwa (2005) dodała administracyjne, fizyczne i techniczne zabezpieczenia dla elektronicznych PHI.
• Ustawa HITECH i Reguła powiadamiania o naruszeniach (2009) podniosła maksymalną karę z 25 000 USD rocznie do 1,5 mln USD rocznie, wprowadziła obowiązkowe powiadamianie o naruszeniach oraz pobudziła wdrażanie elektronicznej dokumentacji medycznej (EHR) dzięki zachętom o wartości 25 mld USD. HITECH przyznała też prokuratorom generalnym stanów uprawnienia do egzekwowania przepisów HIPAA.
• Reguła Omnibus (2013) uczyniła podmioty współpracujące bezpośrednio odpowiedzialnymi za naruszenia HIPAA oraz odwróciła ciężar dowodu w zakresie powiadamiania o naruszeniach.

Aktualny stan HIPAA w latach 2025–2026

W styczniu 2025 r. HHS zaproponowało dużą aktualizację Reguły bezpieczeństwa. Wprowadziłaby ona obowiązkowe uwierzytelnianie wieloskładnikowe i szyfrowanie oraz zniosłaby rozróżnienie między specyfikacjami „wymaganymi” a „adresowalnymi”. Branżowe szacunki kosztów sięgają 34 mld USD. Urząd ds. Praw Obywatelskich (OCR) pozostawił sfinalizowanie zmian w swoim planie regulacyjnym na maj 2026 r. Już teraz traktuj MFA i szyfrowanie jako wymagane, aby uniknąć pośpiechu w przyszłości.

Cztery reguły HIPAA – wyjaśnienie

Ludzie mówią „HIPAA”, jakby było to jedno zagadnienie. W rzeczywistości to cztery wzajemnie powiązane reguły, a większość naruszeń zdarza się na styku między nimi.

Reguła prywatności (2003)

Reguła prywatności określa, czym jest PHI oraz kto i na jakich warunkach może mieć do niej dostęp. Pacjenci mają prawo do wglądu w swoją dokumentację, żądania sprostowań, uzyskania rejestru ujawnień oraz żądania ograniczeń w wykorzystywaniu ich informacji. Świadczeniodawcy muszą odpowiadać na wnioski o dostęp w ciągu 30 dni, z możliwością jednorazowego przedłużenia o kolejne 30 dni.

Reguła dopuszcza wykorzystanie PHI bez zgody pacjenta na potrzeby leczenia, płatności i działań operacyjnych w opiece zdrowotnej (wyjątek „TPO”). Wszystko inne podlega standardowi minimum niezbędnego: ujawniaj tylko to, co jest potrzebne do osiągnięcia celu. Leczenie to jedyny wyjątek, w którym pełna dokumentacja może być przekazywana między świadczeniodawcami.

Klasyczny przykład naruszenia Reguły prywatności: gabinet lekarski wysyła przez fax informację o statusie HIV pacjenta do osoby, którą personel uważa za lekarza rodzinnego pacjenta, ale która okazuje się jego pracodawcą. Błędny numer, brak kontroli minimum niezbędnego, brak weryfikacji.

Reguła bezpieczeństwa (2005)

Reguła bezpieczeństwa dotyczy wyłącznie elektronicznej PHI (ePHI). Określa trzy kategorie zabezpieczeń:

• Administracyjne: analiza ryzyka, szkolenia pracowników, polityka sankcji, zarządzanie dostępem
• Fizyczne: kontrola dostępu do obiektów, zabezpieczenie stanowisk pracy, utylizacja urządzeń
• Techniczne: kontrola dostępu, dzienniki audytu, kontrola integralności, szyfrowanie transmisji

Obecne rozróżnienie między specyfikacjami „wymaganymi” a „adresowalnymi” zniknie zgodnie z proponowaną aktualizacją z 2025 r. W egzekwowaniu przepisów dominują uchybienia w analizie ryzyka. Pojawiły się w 13 z 22 rozstrzygnięć OCR zamkniętych w 2024 r.

Reguła powiadamiania o naruszeniach (2009, na mocy HITECH)

W przypadku naruszenia niezabezpieczonej PHI podmioty objęte regulacją muszą powiadomić trzy grupy odbiorców:

• Osoby, których naruszenie dotyczy – w ciągu 60 dni
• HHS (niezwłocznie w przypadku naruszeń dotyczących 500 lub więcej osób, w ciągu 60 dni od końca roku w przypadku mniejszych naruszeń)
• Główne media, jeśli naruszenie dotyczy 500 lub więcej mieszkańców jednego stanu

Szyfrowanie tworzy bezpieczną przystań (safe harbor). Prawidłowo zaszyfrowane dane, które zostały zgubione lub skradzione, nie uruchamiają obowiązku powiadomienia. Ugoda Warby Parker z 2025 r. na kwotę 1,5 mln USD dotyczyła łącznych uchybień w zakresie Reguły bezpieczeństwa i Reguły powiadamiania o naruszeniach po ataku typu credential stuffing, który ujawnił dane o receptach na okulary klientów.

Istnieją trzy wyjątki od naruszenia: niezamierzony dostęp upoważnionego pracownika, nieumyślne ujawnienie między dwiema upoważnionymi osobami oraz ujawnienie podmiotowi, który nie mógł zasadnie zatrzymać informacji.

Reguła Omnibus (2013)

Reguła Omnibus uczyniła podmioty współpracujące i ich podwykonawców bezpośrednio odpowiedzialnymi za przestrzeganie HIPAA. Przed 2013 r. kary groziły wyłącznie podmiotom objętym regulacją.

Omnibus odwrócił także ciężar dowodu w sprawach o naruszenia. Wykorzystanie lub ujawnienie niedozwolone przez Regułę prywatności jest obecnie domniemanym naruszeniem, chyba że podmiot objęty regulacją wykaże niskie prawdopodobieństwo naruszenia bezpieczeństwa PHI, stosując czteroczynnikową ocenę ryzyka.

Czym jest PHI? 18 identyfikatorów, które uruchamiają HIPAA

PHI to dowolny z 18 określonych identyfikatorów połączony z informacją o zdrowiu osoby, opiece zdrowotnej lub płatności za nią. Po prawidłowym usunięciu wszystkich 18 identyfikatorów dane stają się zanonimizowane, co oznacza, że przestają być PHI.

18 identyfikatorów HIPAA

1. Imiona i nazwiska
2. Dane geograficzne drobniejsze niż stan
3. Wszystkie daty z wyjątkiem roku, związane z daną osobą
4. Numery telefonów
5. Numery fax
6. Adresy e-mail
7. Numery ubezpieczenia społecznego (SSN)
8. Numery dokumentacji medycznej
9. Numery beneficjentów planu zdrowotnego
10. Numery kont
11. Numery certyfikatów lub licencji
12. Identyfikatory pojazdów, w tym tablice rejestracyjne
13. Identyfikatory i numery seryjne urządzeń
14. Adresy URL stron internetowych
15. Adresy IP
16. Identyfikatory biometryczne, w tym odciski palców i głosu
17. Zdjęcia całej twarzy i porównywalne obrazy
18. Każdy inny unikalny numer, cecha lub kod identyfikujący

Kiedy te same dane NIE są PHI

Identyfikatory bez kontekstu zdrowotnego nie są PHI. Imię i nazwisko klienta na liście mailingowej sklepu to po prostu imię i nazwisko. Kontekst zdrowotny bez identyfikatorów również nie jest PHI. Zagregowane, prawidłowo zanonimizowane statystyki szpitalne nie podlegają HIPAA. Aby przepisy miały zastosowanie, oba elementy muszą występować jednocześnie. Imię i nazwisko pacjenta wraz z diagnozą to PHI. Diagnoza bez jakiegokolwiek identyfikatora nie jest PHI.

Kto musi przestrzegać HIPAA (a kto nie)

Twoje dane z Fitbita nie są chronione przez HIPAA. Program wellness w Twoim miejscu pracy prawdopodobnie też nie. HIPAA obejmuje określoną listę organizacji, a jest ona węższa, niż zakłada większość osób.

Podmioty objęte (covered entities, CE)

Podmiot objęty HIPAA należy do jednej z trzech kategorii:

1. Plany zdrowotne: ubezpieczyciele, organizacje HMO, Medicare, Medicaid oraz pracownicze grupowe plany zdrowotne. Większość pracowniczych grupowych planów zdrowotnych jest objęta przepisami niezależnie od wielkości. Wąski wyjątek stanowi samodzielnie administrowany grupowy plan zdrowotny z mniej niż 50 uczestnikami – takie plany nie podlegają HIPAA. Jeśli plan prowadzi ubezpieczyciel lub zewnętrzny administrator, jest on objęty przepisami.
2. Izby rozliczeniowe w opiece zdrowotnej (clearinghouses): podmioty, które przekształcają dane w formatach niestandardowych w standardowe transakcje elektroniczne.
3. Świadczeniodawcy opieki zdrowotnej, którzy przesyłają jakiekolwiek informacje zdrowotne drogą elektroniczną w związku z transakcją objętą przepisami (roszczenia, weryfikacja uprawnień, skierowania).

Właśnie ze względu na kryterium transakcji elektronicznych objętych jest niemal każdy współczesny świadczeniodawca. Gdy tylko rozliczasz się z ubezpieczycielem drogą elektroniczną lub wysyłasz skierowanie elektronicznie, podlegasz przepisom.

Podmioty współpracujące (business associates, BA)

Podmiot współpracujący to każda osoba lub organizacja, która w imieniu podmiotu objętego przepisami wykonuje funkcję związaną z PHI. Typowe przykłady: firmy rozliczeniowe, dostawcy usług IT, dostawcy przechowywania danych w chmurze (cloud), usługi niszczenia dokumentów, kancelarie prawne z dostępem do PHI, usługi transkrypcji oraz dostawcy usług fax zgodnych z HIPAA.

Od czasu reguły Omnibus z 2013 roku podmioty współpracujące ponoszą bezpośrednią odpowiedzialność przed OCR. Przed przekazaniem PHI podpisz Business Associate Agreement (BAA). Firma Gulf Coast Pain Consultants zapłaciła 1,19 mln USD po tym, jak wykonawca zachował dostęp do systemu po zakończeniu współpracy i składał fałszywe wnioski do Medicare, co pokazuje, co się dzieje, gdy zawodzi kontrola dostępu podmiotu współpracującego.

Kto NIE jest objęty HIPAA

• Pracodawcy przetwarzający informacje zdrowotne pracowników poza grupowym planem zdrowotnym (zamiast tego obowiązują ADA i FMLA)
• Konsumenckie aplikacje fitness, które nie sprzedają usług świadczeniodawcom, w tym Fitbit, Apple Health i MyFitnessPal (zamiast tego obowiązuje reguła FTC dotycząca powiadamiania o naruszeniach danych zdrowotnych)
• Szkoły i uczelnie (dokumentację uczniów i studentów reguluje FERPA)
• Ubezpieczyciele na życie, ubezpieczyciele odszkodowań pracowniczych i większość ubezpieczycieli od niezdolności do pracy
• Organy ścigania
• Firmy zajmujące się analityką marketingową bez dostępu do PHI

HIPAA a kanały komunikacji: fax, e-mail, SMS, Slack, wideo

Gabinet stomatologiczny w Teksasie zapłacił 10 000 USD, ponieważ pracownik odpowiedział na jednogwiazdkową opinię na Yelp, podając dane pacjenta. HIPAA podąża za wiadomością, a nie za medium. Dla każdego kanału, którym Twój zespół przekazuje PHI, trzeba mieć osobną odpowiedź.

Macierz zgodności

‍

Fax: nadal główne narzędzie w ochronie zdrowia

Zgodnie z wyjątkiem dla przekaźnika (conduit exception) operator telefoniczny nie jest podmiotem współpracującym (business associate), gdy przesyła fax, ponieważ nigdy nie sprawdza ani nie przechowuje jego treści. Dzięki temu tradycyjny fax mieści się w kanałach dozwolonych przez HIPAA.

Analogowy fax ma dwa praktyczne problemy. Nie ma ścieżki audytu, a jedna błędna cyfra może ujawnić dane PHI (incydent z ujawnieniem statusu HIV pracodawcy). Zgodna z HIPAA usługa fax w chmurze (cloud), taka jak Fax.Plus, podpisuje umowę BAA w planie Enterprise, szyfruje ruch w tranzycie i w spoczynku, rejestruje każde wysłanie i odbiór oraz umożliwia wysyłanie z poczty e-mail lub przeglądarki internetowej. Pracownicy mogą wysyłać fax bezpośrednio z poczty e-mail, nie opuszczając narzędzia, z którego już korzystają.

E-mail i komunikatory

Bezpłatna konsumencka poczta e-mail to najczęstsze ciche naruszenie HIPAA. Gmail, Outlook.com, Yahoo i iCloud nie podpiszą umowy BAA w bezpłatnych wersjach. Płatne Google Workspace i Microsoft 365 mogą być zgodne z HIPAA, ale dopiero po zawarciu umowy BAA i zabezpieczeniu konfiguracji (wyłączenie dostępu aplikacji zewnętrznych, włączenie rejestrowania audytu, wymuszenie MFA).

Standardowe SMS-y nie są zgodne z HIPAA. Operatorzy nie podpisują umów BAA, a wiadomości są przechowywane bez szyfrowania na urządzeniach i w systemach operatorów. Zamiast tego należy używać komunikatora zabezpieczonego zgodnie z HIPAA.

Wideo i współpraca

FaceTime i osobiste konta Zoom odpadają. Zoom for Healthcare, Doxy.me i Microsoft Teams (z umową BAA) są dozwolone. Slack podpisze umowę BAA dopiero w planie Enterprise Grid. Standardowe przestrzenie robocze Slack, bez względu na to, jak dobrze skonfigurowane, nie są zgodne z HIPAA.

Naruszenia HIPAA i kary: ile kosztuje brak zgodności

W 2024 roku Biuro Praw Obywatelskich HHS (Office for Civil Rights) zakończyło 22 postępowania egzekucyjne na łączną kwotę 9,9 mln USD. Ta sama przyczyna, czyli „brak przeprowadzenia prawidłowej analizy ryzyka”, pojawiła się w 13 z nich.

Poziomy kar cywilnych (2026)

• Poziom 1 (brak wiedzy): od 145 do 73 011 USD za naruszenie, do 2 190 294 USD rocznie
• Poziom 2 (uzasadniona przyczyna): od 1461 do 73 011 USD za naruszenie
• Poziom 3 (umyślne zaniedbanie, usunięte w ciągu 30 dni): od 14 618 do 73 011 USD za naruszenie
• Poziom 4 (umyślne zaniedbanie, nieusunięte): od 73 011 do 2 190 294 USD za naruszenie

Sankcje karne

OCR przekazuje sprawy karne do Departamentu Sprawiedliwości, który prowadzi postępowanie. Świadome uzyskanie lub ujawnienie PHI: do 50 000 USD i 1 rok pozbawienia wolności. Pod fałszywym pretekstem: do 100 000 USD i 5 lat. Z zamiarem sprzedaży, przekazania lub wykorzystania w celu osiągnięcia korzyści komercyjnej bądź wyrządzenia szkody: do 250 000 USD i 10 lat.

Rzeczywiste przypadki egzekwowania przepisów z lat 2024–2025

• Warby Parker, 1,5 mln USD (2025): atak typu credential stuffing; sprzedawca okularów był podmiotem objętym regulacją
• Montefiore Medical Center, 4,75 mln USD: pracownik wykradł ponad 12 000 rekordów; słabe mechanizmy kontroli audytowej
• Enzo Biochem, 4,5 mln USD: incydent z ransomware wynikał ze współdzielonych poświadczeń i dziesięcioletniego hasła
• Gulf Coast Pain Consultants, 1,19 mln USD: zwolniony wykonawca zachował dostęp do systemu i składał fałszywe wnioski do Medicare
• Gabinet dentystyczny w Teksasie, 10 000 USD: właściciel odpowiedział na opinię w serwisie Yelp, podając dane pacjenta

Inicjatywa OCR dotycząca prawa dostępu (Right of Access Initiative) doprowadziła od 2019 r. do 54 działań egzekucyjnych, z karami od 3500 do 160 000 USD dla świadczeniodawców, które nie udostępniły dokumentacji w terminie.

Kto egzekwuje HIPAA

Za egzekwowanie przepisów w trybie cywilnym odpowiada Biuro Praw Obywatelskich HHS. Prokuratorzy generalni stanów również mogą wszczynać postępowania na podstawie HIPAA (uprawnienie to przyznała ustawa HITECH w 2009 r.). Sprawy karne prowadzi Departament Sprawiedliwości. FTC egzekwuje regułę dotyczącą powiadamiania o naruszeniach danych zdrowotnych wobec aplikacji zdrowotnych nieobjętych HIPAA, takich jak monitory aktywności.

Przepisy stanowe wykraczające poza HIPAA

HIPAA stanowi federalne minimum. Kilka stanów nadbudowało na nim wyższe wymogi, a gdy prawo stanowe jest bardziej rygorystyczne, to ono ma pierwszeństwo.

• California CMIA: szersza definicja informacji medycznych, obejmuje więcej rodzajów podmiotów, daje pacjentom prywatne prawo do bezpośredniego wniesienia pozwu i wymaga udostępnienia dokumentacji w ciągu 5 dni, a nie 30 jak w HIPAA.
• Texas HB 300: rozszerza pojęcie „podmiotu objętego regulacją” praktycznie na każdego, kto przetwarza PHI w Teksasie, nakłada obowiązek szkolenia pracowników co dwa lata oraz w ciągu 90 dni od zatrudnienia i upoważnia prokuratora generalnego do nakładania kar do 1,5 mln USD rocznie.
• Washington MHMDA: najszersze w USA prawo dotyczące prywatności danych zdrowotnych konsumentów. Obejmuje dane z monitorów aktywności, aplikacji do śledzenia cyklu oraz informacje z aplikacji dotyczących dobrostanu, które HIPAA wyłącza, i przyznaje prywatne prawo do wniesienia pozwu.

Ustawa SHIELD Act ze stanu Nowy Jork oraz ustawa Genetic Information Privacy Act ze stanu Illinois dodają kolejne warstwy ochrony w swoich stanach.

Gdy prawo stanowe jest bardziej rygorystyczne niż HIPAA, stosuje się prawo stanowe. Gdy bardziej rygorystyczna jest HIPAA, to ona ma pierwszeństwo. Przeanalizuj oba w każdym stanie, w którym przetwarzasz PHI.

Jak zacząć wdrażać zgodność z HIPAA: praktyczna lista kontrolna

Zgodności z HIPAA nie da się „zakończyć”. To program realizowany w sposób ciągły. Wiarygodny program można jednak zbudować w ośmiu krokach.

Lista kontrolna HIPAA na start w 8 krokach

1. Ustal swój status. Czy jesteś podmiotem objętym regulacją, podmiotem współpracującym, czy żadnym z nich? Odpowiedź wyznacza wszystkie kolejne kroki.
2. Przeprowadź analizę ryzyka bezpieczeństwa (SRA). To najczęściej wskazywane przez OCR uchybienie (13 z 22 w 2024 r.). Sporządź wykaz każdego miejsca, w którym znajduje się PHI, każdego systemu, który ma z nim styczność, i każdego zagrożenia.
3. Wyznacz inspektora ds. prywatności i inspektora ds. bezpieczeństwa. W małych organizacjach może to być ta sama osoba. Określ te role na piśmie.
4. Opracuj wymagane polityki. Polityki prywatności, polityki bezpieczeństwa, plan reagowania na naruszenia, politykę sankcji i politykę dotyczącą urządzeń. Ogólne szablony to punkt wyjścia, a nie zakończenie prac.
5. Podpisz umowy BAA z każdym dostawcą mającym styczność z PHI. Dostawca poczty e-mail, przechowywanie w chmurze (cloud), usługa fax (Fax.Plus Enterprise zawiera umowę BAA), firma rozliczeniowa, wsparcie IT, usługa transkrypcji. Bez umowy BAA nie ma dostępu do PHI.
6. Przeszkol pracowników. Szkolenie wstępne przy zatrudnieniu, okresowe szkolenia odświeżające oraz szkolenia dostosowane do roli dla personelu klinicznego i IT. Dokumentuj obecność.
7. Wdróż zabezpieczenia techniczne. Kontrola dostępu oparta na rolach, dzienniki audytu, szyfrowanie podczas przesyłania i w spoczynku, MFA na każdym koncie mającym styczność z PHI.
8. Opracuj scenariusz reagowania na naruszenia. Proces oceny ryzyka oparty na czterech czynnikach, 60-dniowy termin powiadomienia, lista kontaktów do OCR i prokuratorów generalnych stanów oraz ćwiczenia symulacyjne co najmniej raz w roku.

‍