Что такое HIPAA? Простое объяснение

HIPAA (Health Insurance Portability and Accountability Act) — федеральный закон США 1996 года. Он устанавливает национальные стандарты защиты данных о состоянии здоровья пациентов и обязывает медицинские организации и их поставщиков обеспечивать эту защиту. Принято считать, что HIPAA регулирует только работу больниц и врачей. На деле закон распространяется также на биллинговые компании, ИТ-поставщиков, cloud-провайдеров и сервис, который передаёт направление на лечение по fax.

Президент Билл Клинтон подписал HIPAA 21 августа 1996 года как Public Law 104-191. Конгресс и HHS обновляли закон четыре раза: Правило о конфиденциальности (2003), Правило безопасности (2005), Правило об уведомлении о нарушениях (2009) и Омнибус-правило (2013). Пятое обновление — крупнейшая за 20 лет переработка Правила безопасности — включено в регуляторную повестку OCR на май 2026 года.

Руководство объясняет, что означает HIPAA, описывает четыре правила, поясняет, какие данные относятся к PHI, кто обязан соблюдать закон и какие штрафы грозят за нарушения. Также оно показывает, как HIPAA применяется к факсу, электронной почте, SMS и Slack, и приводит стартовый чек-лист из восьми шагов. Прочитав его, вы поймёте, распространяется ли HIPAA на вашу организацию и что делать дальше.

Определение HIPAA и краткая история (с 1996 года до наших дней)

Первоначально HIPAA задумывался, чтобы работники сохраняли медицинскую страховку при смене работы. Правила о конфиденциальности и безопасности, с которыми сегодня связывают этот закон, появились позже.

Как расшифровывается HIPAA

HIPAA — аббревиатура от Health Insurance Portability and Accountability Act («Закон о переносимости и подотчётности медицинского страхования») 1996 года. Президент Билл Клинтон подписал его 21 августа 1996 года как Public Law 104-191. У закона было четыре первоначальные цели: обеспечить переносимость медицинской страховки при смене работы, сократить мошенничество и злоупотребления в здравоохранении, стандартизировать электронные медицинские транзакции и защитить данные о состоянии здоровья.

Защита данных о состоянии здоровья была наименее значимой частью первоначального закона. Конгресс поручил Министерству здравоохранения и социальных служб США (HHS) позднее разработать сами нормы о конфиденциальности и безопасности. Именно эти нормы большинство людей сегодня и называет «HIPAA».

Как развивался HIPAA: четыре крупных обновления

• Правило о конфиденциальности (2003) установило первые национальные стандарты о том, кто вправе использовать PHI и раскрывать их, и закрепило права пациентов на их медицинские записи.
• Правило безопасности (2005) добавило организационные, физические и технические меры защиты PHI в электронной форме.
• Закон HITECH и Правило об уведомлении о нарушениях (2009) повысили максимальный штраф с 25 000 долларов США в год до 1,5 млн долларов США в год, ввели обязательное уведомление о нарушениях и стимулировали внедрение электронных медицинских карт (EHR) за счёт льгот на сумму 25 млрд долларов США. Кроме того, HITECH наделил генеральных прокуроров штатов полномочиями по обеспечению соблюдения HIPAA.
• Омнибус-правило (2013) установило прямую ответственность деловых партнёров за нарушения HIPAA и изменило порядок распределения бремени доказывания при уведомлении о нарушениях.

Состояние HIPAA в 2025–2026 годах

В январе 2025 года Министерство здравоохранения и социальных служб США (HHS) предложило крупное обновление Правила безопасности. Оно сделает обязательными многофакторную аутентификацию и шифрование и отменит разграничение между «обязательными» и «адресуемыми» требованиями. По отраслевым оценкам, расходы составят 34 млрд долларов США. Управление по гражданским правам (OCR) сохранило утверждение окончательной редакции в регуляторной повестке на май 2026 года. Относитесь к многофакторной аутентификации и шифрованию как к обязательным уже сейчас, чтобы не спешить в последний момент.

Четыре правила HIPAA: объяснение

О HIPAA часто говорят как о едином документе. На деле это четыре взаимосвязанных правила, и большинство нарушений происходит на стыке между ними.

Правило о конфиденциальности (2003)

Правило о конфиденциальности определяет, что такое PHI, а также кто и на каких условиях может получить к ним доступ. Пациенты вправе получать доступ к своим медицинским записям, запрашивать исправления, получать отчёт о раскрытии данных и требовать ограничений на использование своей информации. Медицинские организации обязаны ответить на запрос о доступе в течение 30 дней, при этом допускается одно продление ещё на 30 дней.

Правило разрешает использовать PHI без согласия пациента для лечения, оплаты и организации медицинской деятельности (исключение «TPO»). Во всех остальных случаях действует стандарт минимально необходимого объёма: раскрывать следует только то, что нужно для достижения цели. Лечение — единственное исключение, при котором полные медицинские записи могут передаваться между медицинскими организациями.

Типичное нарушение Правила о конфиденциальности: врачебный кабинет отправляет по fax сведения о ВИЧ-статусе пациента тому, кого сотрудники считают его лечащим врачом, но на деле это работодатель пациента. Номер набран неверно, мер по ограничению объёма данных нет, проверка получателя не проводилась.

Правило безопасности (2005)

Правило безопасности распространяется только на электронные PHI (ePHI). Оно выделяет три категории мер защиты:

• Организационные меры: анализ рисков, обучение сотрудников, политика взысканий, управление доступом
• Физические: контроль доступа в помещения, защита рабочих станций, утилизация устройств
• Технические: контроль доступа, журналы аудита, меры обеспечения целостности данных, шифрование при передаче

Нынешнее разграничение между «обязательными» и «адресуемыми» требованиями, по всей вероятности, исчезнет после принятия обновления, предложенного в 2025 году. Основная часть санкций связана с нарушениями при анализе рисков: они выявлены в 13 из 22 дел, урегулированных OCR в 2024 году.

Правило об уведомлении о нарушениях (2009, в рамках HITECH)

При утечке незащищённых PHI охватываемые организации должны уведомить три категории адресатов:

• затронутых лиц — в течение 60 дней;
• HHS — немедленно при нарушениях, затрагивающих 500 и более человек, и в течение 60 дней после окончания года при меньшем масштабе;
• крупные СМИ — если затронуты 500 и более жителей одного штата.

Шифрование создаёт «безопасную гавань». Если надлежащим образом зашифрованные данные утеряны или похищены, уведомление не требуется. Мировое соглашение Warby Parker на 1,5 млн долларов США в 2025 году касалось сразу нарушений Правила безопасности и Правила об уведомлении о нарушениях: после атаки методом подбора учётных данных были раскрыты сведения о рецептах на очки клиентов.

Существует три исключения из понятия нарушения: непреднамеренный доступ уполномоченного сотрудника, случайное раскрытие информации между двумя уполномоченными лицами и раскрытие информации стороне, которая не могла разумно сохранить её.

Омнибус-правило (2013)

Омнибус-правило установило прямую ответственность деловых партнёров и их субподрядчиков по HIPAA. До 2013 года штрафы грозили только охватываемым организациям.

Омнибус-правило также изменило порядок распределения бремени доказывания при нарушениях. Использование или раскрытие данных, не разрешённое Правилом о конфиденциальности, теперь считается нарушением, если охватываемая организация не докажет низкую вероятность компрометации PHI. Для этого проводится оценка риска по четырём факторам.

Что такое PHI: 18 идентификаторов, на которые распространяется HIPAA

PHI — это любой из 18 определённых идентификаторов в сочетании со сведениями о здоровье человека, медицинской помощи или оплате медицинской помощи. Если корректно удалить все 18 идентификаторов, данные становятся обезличенными и перестают быть PHI.

18 идентификаторов HIPAA

1. Имена и фамилии
2. Географические данные меньше уровня штата
3. Все даты, относящиеся к физическому лицу, кроме года
4. Номера телефонов
5. Номера fax
6. Адреса электронной почты
7. Номера социального страхования (Social Security)
8. Номера медицинских карт
9. Номера получателей услуг по плану медицинского страхования
10. Номера счетов
11. Номера сертификатов и лицензий
12. Идентификаторы транспортных средств, включая регистрационные номера
13. Идентификаторы и серийные номера устройств
14. Веб-адреса (URL)
15. IP-адреса
16. Биометрические идентификаторы, включая отпечатки пальцев и голосовые отпечатки
17. Фотографии лица целиком и сопоставимые изображения
18. Любые другие уникальные идентифицирующие номера, признаки или коды

Когда те же данные НЕ являются PHI

Идентификаторы без связи со здоровьем не являются PHI. Имя клиента в рассылке розничного магазина — это просто имя. Информация о здоровье без идентификаторов также не является PHI. Агрегированная и надлежащим образом обезличенная статистика больницы не подпадает под действие HIPAA. Закон применяется, только если оба элемента присутствуют одновременно. Имя пациента вместе с диагнозом — это PHI. Диагноз без каких-либо идентификаторов — нет.

Кто должен соблюдать HIPAA (а кто нет)

Данные вашего Fitbit не защищены HIPAA. Корпоративная программа оздоровления вашего работодателя, вероятно, тоже. HIPAA распространяется на определённый перечень организаций, и он уже, чем принято считать.

Охватываемые организации (covered entities, CE)

Охватываемая организация по HIPAA относится к одной из трёх категорий:

1. Планы медицинского страхования: страховые компании, HMO, Medicare, Medicaid и групповые планы медицинского страхования работодателей. Большинство групповых планов работодателей подпадают под HIPAA независимо от размера. Узкое исключение — групповой план с самостоятельным администрированием, в котором менее 50 участников: такие планы не подпадают под действие HIPAA. Если планом управляет страховщик или сторонний администратор, он подпадает под HIPAA.
2. Клиринговые центры в сфере здравоохранения: организации, которые преобразуют нестандартные данные в стандартные электронные транзакции.
3. Медицинские организации и специалисты, которые передают любые данные о здоровье в электронном виде в связи с охватываемой транзакцией (страховые претензии, проверка права на страхование, направления).

Критерий электронных транзакций объясняет, почему под HIPAA подпадают почти все современные медицинские организации. Если вы выставляете счета страховым компаниям в электронном виде или отправляете электронные направления, закон на вас распространяется.

Деловые партнёры (business associates, BA)

Деловой партнёр — это любое лицо или организация, которые выполняют от имени охватываемой организации функции, связанные с PHI. Типичные примеры: компании по выставлению счетов, ИТ-поставщики, поставщики cloud-хранилища, службы уничтожения документов, юридические фирмы с доступом к PHI, службы расшифровки записей и поставщики fax-услуг, соответствующих HIPAA.

С принятием Омнибус-правила в 2013 году деловые партнёры напрямую отвечают перед OCR. Подпишите Business Associate Agreement (BAA) до передачи PHI. Компания Gulf Coast Pain Consultants выплатила 1,19 млн долларов США после того, как подрядчик сохранил доступ к системе после прекращения сотрудничества и подавал мошеннические заявки в Medicare. Этот случай показывает, к чему приводит сбой в мерах контроля доступа деловых партнёров.

На кого HIPAA НЕ распространяется

• Работодатели, обрабатывающие данные о здоровье сотрудников вне группового плана медицинского страхования (в этом случае действуют ADA и FMLA)
• Потребительские фитнес-приложения, которые не работают с медицинскими организациями, включая Fitbit, Apple Health и MyFitnessPal (в этом случае действует Правило FTC об уведомлении об утечках медицинских данных (Health Breach Notification Rule))
• Школы и университеты (данные об обучающихся регулирует FERPA)
• Компании по страхованию жизни, страховщики по возмещению вреда работникам и большинство страховщиков по нетрудоспособности
• Правоохранительные органы
• Маркетинговые аналитические компании без доступа к PHI

HIPAA и каналы связи: fax, электронная почта, SMS, Slack, видеосвязь

Стоматологическая клиника в Техасе выплатила 10 000 долларов США из-за того, что сотрудник ответил на отзыв в одну звезду на Yelp, указав данные пациента. HIPAA действует в отношении сообщения, а не канала. Для каждого канала, по которому ваши сотрудники передают PHI, нужны собственные меры защиты.

Матрица соответствия требованиям

‍

Fax: по-прежнему основной рабочий инструмент в здравоохранении

Согласно исключению для каналов связи, телефонный оператор не считается деловым партнёром при передаче fax, поскольку он не просматривает и не хранит содержимое. Поэтому традиционный fax остаётся в числе каналов, допустимых по HIPAA.

У аналогового fax есть две практические проблемы. Во-первых, нет журнала аудита. Во-вторых, одна неверная цифра в номере может привести к раскрытию PHI (как в случае с передачей работодателю сведений о ВИЧ-статусе). HIPAA-совместимый cloud-сервис fax, такой как Fax.Plus, подписывает BAA на тарифе Enterprise, шифрует трафик при передаче и хранении, фиксирует в журнале каждую отправку и получение и позволяет сотрудникам отправлять сообщения из электронной почты или веб-браузера. Сотрудники могут отправлять fax прямо из электронной почты, не выходя из привычного рабочего процесса.

Электронная почта и мессенджеры

Бесплатная личная почта — самое частое скрытое нарушение HIPAA. Gmail, Outlook.com, Yahoo и iCloud не подписывают BAA на бесплатных тарифах. Платные Google Workspace и Microsoft 365 могут соответствовать HIPAA, но только после заключения BAA и настройки мер защиты: отключите доступ сторонних приложений, включите журнал аудита и обязательную многофакторную аутентификацию.

Обычные SMS не соответствуют требованиям. Операторы связи не подписывают BAA, а сообщения хранятся в незашифрованном виде на устройствах и в системах операторов. Используйте вместо них защищённый мессенджер, соответствующий HIPAA.

Видеосвязь и совместная работа

FaceTime и персональные аккаунты Zoom не подходят. Подходят Zoom for Healthcare, Doxy.me и Microsoft Teams (при наличии BAA). Slack подписывает BAA только на тарифе Enterprise Grid. Стандартные рабочие пространства Slack не соответствуют HIPAA, как бы хорошо они ни были настроены.

Нарушения HIPAA и штрафы: во сколько обходится несоблюдение требований

В 2024 году Управление по гражданским правам Министерства здравоохранения и социальных служб США (HHS) завершило 22 дела о принудительном исполнении на сумму 9,9 млн долларов США. В 13 из них причина была одна и та же — «непроведение надлежащего анализа рисков».

Уровни гражданских штрафов (2026)

• Уровень 1 (отсутствие осведомлённости): от 145 до 73 011 долларов США за одно нарушение, до 2 190 294 долларов США в год
• Уровень 2 (разумное основание): от 1 461 до 73 011 долларов США за каждое нарушение
• Уровень 3 (умышленное неисполнение обязанностей, устранено в течение 30 дней): от 14 618 до 73 011 долларов США за каждое нарушение
• Уровень 4 (умышленное неисполнение обязанностей, не устранено): от 73 011 до 2 190 294 долларов США за каждое нарушение

Уголовная ответственность

OCR передаёт уголовные дела в Министерство юстиции США, которое осуществляет уголовное преследование. Заведомо незаконное получение или раскрытие PHI: штраф до 50 000 долларов США и лишение свободы на срок до 1 года. Совершение таких действий под ложным предлогом: штраф до 100 000 долларов США и лишение свободы на срок до 5 лет. Совершение таких действий с намерением продать или передать данные, использовать их в коммерческих целях либо с целью причинить вред: штраф до 250 000 долларов США и лишение свободы на срок до 10 лет.

Реальные дела об обеспечении соблюдения требований в 2024–2025 годах

• Warby Parker, 1,5 млн долларов США (2025): атака методом подбора учётных данных (credential stuffing); розничный продавец очков был охватываемой организацией (covered entity)
• Montefiore Medical Center, 4,75 млн долларов США: сотрудник похитил более 12 000 записей; слабые меры контроля и аудита
• Enzo Biochem, 4,5 млн долларов США: утечка данных в результате атаки программы-вымогателя произошла из-за общих учётных данных и пароля, не менявшегося десять лет
• Gulf Coast Pain Consultants, 1,19 млн долларов США: уволенный подрядчик сохранил доступ к системе и подавал мошеннические заявки на выплаты по программе Medicare
• Стоматологическая клиника в Техасе, 10 000 долларов США: владелец ответил на отзыв в Yelp, указав сведения о пациенте

В рамках инициативы OCR по праву доступа (Right of Access Initiative) с 2019 года принято 54 меры принудительного характера. Штрафы для медицинских организаций, не предоставивших записи в срок, составили от 3 500 до 160 000 долларов США.

Кто обеспечивает соблюдение HIPAA

Гражданско-правовое принуждение осуществляет Управление по гражданским правам Министерства здравоохранения и социальных служб США (HHS OCR). Генеральные прокуроры штатов также вправе возбуждать дела по HIPAA: это полномочие предоставил закон HITECH в 2009 году. Уголовное преследование ведёт Министерство юстиции США. Федеральная торговая комиссия (FTC) обеспечивает соблюдение Правила уведомления об утечках медицинских данных (Health Breach Notification Rule) в отношении приложений для здоровья, на которые HIPAA не распространяется, например фитнес-трекеров.

Законы штатов, которые идут дальше HIPAA

HIPAA задаёт минимальный федеральный уровень защиты. Ряд штатов установил более строгие требования, и если закон штата строже, применяется он.

• CMIA (Калифорния): более широкое определение медицинской информации, распространяется на большее число типов организаций, даёт пациентам право на прямой судебный иск и требует предоставлять доступ к записям в течение 5 дней вместо 30 дней по HIPAA.
• HB 300 (Техас): расширяет понятие «covered entity» практически до любого, кто обрабатывает PHI в Техасе, обязывает проводить обучение сотрудников раз в два года и в течение 90 дней после приёма на работу, а также разрешает генеральному прокурору штата налагать штрафы до 1,5 млн долларов США в год.
• MHMDA (Вашингтон): самый широкий в США закон о конфиденциальности потребительских данных о здоровье. Он охватывает данные фитнес-трекеров, приложений для отслеживания менструального цикла и приложений для здорового образа жизни, на которые HIPAA не распространяется, и предоставляет право на прямой судебный иск.

Закон SHIELD штата Нью-Йорк и закон о конфиденциальности генетической информации (Genetic Information Privacy Act) штата Иллинойс добавляют дополнительные требования в соответствующих штатах.

Если закон штата строже HIPAA, соблюдайте закон штата. Если строже HIPAA, применяется HIPAA. Изучите оба набора требований для каждого штата, в котором вы обрабатываете PHI.

С чего начать соответствие требованиям HIPAA: практический чек-лист

Соответствие требованиям HIPAA нельзя «завершить»: это постоянная программа. Создать работоспособную программу можно за восемь шагов.

Стартовый чек-лист HIPAA из 8 шагов

1. Определите свой статус. Вы охватываемая организация, деловой партнёр или ни то ни другое? От ответа зависят все остальные шаги.
2. Проведите анализ рисков безопасности (Security Risk Analysis, SRA). Его отсутствие чаще всего фиксирует OCR как нарушение (13 из 22 случаев в 2024 году). Составьте перечень всех мест хранения PHI, всех систем, которые с ними работают, и всех угроз.
3. Назначьте ответственного за конфиденциальность и ответственного за безопасность. В небольших организациях эти функции может выполнять один и тот же человек. Закрепите роль в письменном виде.
4. Разработайте обязательные политики. Политики конфиденциальности и безопасности, план реагирования на утечки, политику применения санкций и политику использования устройств. Типовые шаблоны — отправная точка, а не готовое решение.
5. Заключите BAA с каждым поставщиком, имеющим доступ к PHI. Это поставщик электронной почты, cloud-хранилища, сервиса fax (тариф Fax.Plus Enterprise включает BAA), биллинговая компания, ИТ-поддержка, сервис расшифровки аудиозаписей. Нет BAA — нет доступа к PHI.
6. Обучите сотрудников. Проводите вводное обучение при приёме на работу, периодические повторные курсы и обучение с учётом роли для медицинского и ИТ-персонала. Фиксируйте участие в обучении.
7. Внедрите технические меры защиты. Ролевой контроль доступа, журналы аудита, шифрование при передаче и хранении, многофакторная аутентификация (MFA) для каждой учётной записи, имеющей доступ к PHI.
8. Подготовьте сценарий реагирования на утечки. Процедура оценки риска по четырём факторам, 60-дневный срок уведомления, список контактов OCR и генеральных прокуроров штатов, а также учения в формате настольной тренировки не реже одного раза в год.

‍