פורמט ה-MRN של בית החולים שלכם אינו קיים בשום כלי PII סטנדרטי. הנה כיצד להוסיף אותו תוך חמש דקות. ללא צורך בקוד.
צוותי IT לבריאות עומדים בפני בעיית HIPAA שסקטורים אחרים אינם מכירים. המזהה שהם הכי צריכים למצוא — מספר הרשומה הרפואית — נקבע על ידי בית החולים שלהם עצמו. אין תקן לאומי.
כל פרויקט דה-זיהוי לפי HIPAA דורש הגדרה מותאמת. ללא הגדרה כזו, MRNs חולפים דרך קבצים "מדוזזהים" מבלי שיזוהו.
בעיית ה-MRN בין מתקנים מרובים
רשתות בתי חולים שנבנו דרך מיזוגים מחזיקות במערכות EHR ישנות. לכל מערכת פורמט MRN משלה:
- Memorial Hospital (Epic): MRN:XXXXXXX — מספר בן 7 ספרות עם קידומת
- St. Mary's (Cerner): PT-YYYYY — בן 5 ספרות עם קידומת מטופל
- University Hospital (Meditech): UHN-XXXXXXXXXX — תערובת של 10 תווים
- Clinic (EMR עצמאי): C\d{5} — האות C ועוד 5 ספרות
HIPAA Safe Harbor דורש הסרת כל 18 סוגי המזהים. קטגוריה 8 היא מספרי רשומות רפואיות. כלי שאינו מכיר את הפורמט שלכם יפספס אותם. הקובץ נראה נקי. הוא אינו.
קהילת ServiceNow לבריאות ציינה בדיוק בעיה זו. כלים סטנדרטיים מזהים מספרי ביטוח לאומי ומספרי טלפון. הם מפספסים MRNs של מתקנים בכל פעם.
חסם ה-Regex
הוספת כללים מותאמים ל-Microsoft Presidio — הבסיס הקוד-פתוח של כלי HIPAA רבים — דורשת מיומנות אמיתית:
- נדרש להכיר את מחלקת PatternRecognizer
- יש לכתוב regex בתחביר Python
- יש להגדיר קובצי YAML
- יש לכוון ציוני ביטחון
- יש לבדות ולדבוג סקריפטי Python
קצין ציות שמכיר את פורמט ה-MRN אינו יכול לעשות זאת לבד. התיקון מסתיים כפתיח הנדסי. הוא ממתין בתור 6-8 שבועות. הפרצה נשארת פתוחה.
יצירת דפוסים בסיוע בינה מלאכותית
קיים דרך מהירה יותר. תארו את הדפוס במילים פשוטות. קבלו regex פועל בחזרה.
שלבים:
- פתחו את בונה הישות המותאמת
- ספקו דוגמאות: "ה-MRN שלנו נראים כך: MRN:1234567, MRN:9876543, MRN:0001234"
- הבינה המלאכותית בונה את הכלל: MRN:\d{7}
- בדקו על 10 רשומות דוגמה
- כל ה-MRNs נמצאו? שמרו ופרסו.
לרשת עם ארבעה פורמטי MRN:
- Memorial Hospital → MRN:\d{7}
- St. Mary's → PT-\d{5}
- University Hospital → UHN-[A-Z0-9]{10}
- Clinic → C\d{5}
צרו ארבע ישויות מותאמות. קבצו אותן בערכה. הריצו על כל הקבצים. זמן: אחר צהריים אחד.
ראו זיהוי MRN מותאם בצינורות HIPAA ללא קוד למדריך מלא.
אימות עבור Safe Harbor
HIPAA Safe Harbor קובע שהגוף המכוסה חייב לא להחזיק ב"ידע ממשי" שהנתונים יכולים לזהות מישהו. (45 CFR §164.514(b))
אימות מראה שהכללים המותאמים שלכם מכסים את כל 18 סוגי המזהים.
שלב 1: משיכת דוגמאות. קבלו 100 רשומות מכל אתר. ערבבו תקופות זמן ומחלקות.
שלב 2: הרצת זיהוי. עבדו את כל 400 המסמכים עם הכללים המותאמים שלכם.
שלב 3: בדיקה אנושית. סקרו 20 מסמכים ידנית (5% דוגמה). חפשו MRNs שהוחמצו ופגיעות כוזבות.
שלב 4: עדינות כללים. MRNs שהוחמצו? הרחיבו את הדפוס. יותר מדי פגיעות כוזבות? הוסיפו גבולות מילה.
שלב 5: תעדו. רשמו את הכלל, גודל הדוגמה, התוצאות והתאריך. יומן זה הוא רשומת ה-Safe Harbor שלכם.
ראו מחיקה ברת-הסבר ושבילי ביקורת HIPAA לפרטים נוספים על מה לתעד.
כיסוי Safe Harbor מלא
לאחר תיקון זיהוי ה-MRN, בדקו את כל 18 הקטגוריות.
| קטגוריה | כלים סטנדרטיים | נדרש מותאם? |
|---|---|---|
| 1. שמות | מודל NER | לא |
| 2. נתונים גיאוגרפיים | זיהוי מיקום | לא למדינה; כן לקודי אתר |
| 3. תאריכים | זיהוי תאריך | לא |
| 4. מספרי טלפון | זיהוי טלפון | לא |
| 5. מספרי פקס | זיהוי טלפון | לא |
| 6. כתובות אימייל | זיהוי אימייל | לא |
| 7. מספרי SSN | זיהוי SSN | לא |
| 8. מספרי רשומות רפואיות | לא מובנה | כן — ספציפי לאתר |
| 9. מספרי חברי תוכנית בריאות | חלקי | לעיתים קרובות כן — ספציפי לחברת הביטוח |
| 10. מספרי חשבון | חלקי | לעיתים קרובות כן — פורמט חיוב |
| 11. מספרי רישיון | חלקי | לעיתים קרובות כן — ספציפי למדינה |
| 12. מזהי רכב | חלקי | נדיר במסמכים קליניים |
| 13. מזהי מכשיר | חלקי | כן אם מכשירים ברשומות |
| 14. כתובות URL | זיהוי URL | לא |
| 15. כתובות IP | זיהוי IP | לא |
| 16. מזהים ביומטריים | הקשר טקסט | נדיר בהערות שחרור |
| 17. תמונות | תמונה בלבד | מחוץ לטווח לטקסט |
| 18. מזהים ייחודיים אחרים | לא מובנה | כן — ספציפי לאתר |
לטקסט קליני, קטגוריות 8, 9, 10 ו-18 דורשות לרוב הגדרה מותאמת.
הקשר מסמך קליני
הערות שחרור, הערות קליניות ודוחות ניתוח הם הקבצים העיקריים שמשותפים למחקר. הם מכילים:
- MRNs בכותרות ובכותרות תחתונות
- מספרי חשבון בסעיפי חיוב
- תאריכים לכל האירועים — קבלה, פרוצדורה, מעבדה, תרופה
- שמות רופאים ומספרי DEA
- מידע על רופא מפנה
- מזהי חברי ביטוח
כללים מותאמים לפורמטים ספציפיים לאתר משולבים עם כללים מובנים לפורמטים סטנדרטיים. שילוב זה נותן כיסוי Safe Harbor מלא.
סיכום
דה-זיהוי HIPAA ללא כללים מותאמים אינו דה-זיהוי Safe Harbor. פורמט ה-MRN של כל בית חולים הוא ייחודי. כלים סטנדרטיים מפספסים אותם. פרצת הציות אמיתית והיא נשארת פתוחה עד שתסגרו אותה.
יצירת דפוסים בסיוע בינה מלאכותית מקצרת את התיקון מ-6-8 שבועות של הנדסה לאחר צהריים אחד של עבודת ציות. תארו את הפורמט. בדקו אותו על רשומות אמיתיות. פרסו אותו. סיים.