Um guia prático de Análise de site compatível com HIPAA

Este guia explica Análise de site compatível com HIPAA na prática, com foco em decisões de analytics que respeitam a privacidade.

A análise de sites de saúde é um desafio importante porque os dados de navegação comuns podem revelar o contexto da saúde. Uma visita a uma página de tratamento de câncer, formulário de consulta, portal de pacientes ou página de serviços de dependência pode dizer algo delicado sobre o visitante antes mesmo de o formulário ser enviado.

HIPAA não proíbe análises. Requer entidades regulamentadas por HIPAA para lidar corretamente com informações de saúde protegidas. O problema é que muitas ferramentas padrão de análise e publicidade foram criadas para marketing e não para privacidade na área da saúde.

Advertência importante para 2024: HHS observa que um tribunal federal desocupou parte do boletim de rastreamento online do OCR conforme aplicado à teoria de que um endereço IP mais uma visita a certas páginas da web públicas não autenticadas acionam automaticamente obrigações HIPAA. Essa advertência é importante para páginas de educação pública, mas não torna portais, agendamentos, entradas, pagamentos, fluxos de trabalho autenticados ou de divulgação PHI páginas comuns de marketing.

O que o HHS diz sobre tecnologias de rastreamento

O Escritório de Direitos Civis do Departamento de Saúde e Serviços Humanos US emitiu orientações sobre tecnologias de rastreamento. O HHS explica que as obrigações HIPAA se aplicam quando entidades regulamentadas usam tecnologias de rastreamento e as informações coletadas ou divulgadas incluem informações de saúde protegidas. Consulte as orientações do HHS sobre tecnologias de rastreamento on-line.

A ideia principal é o contexto. O endereço IP de um visitante, detalhes do dispositivo, página URL, ação de agendamento ou atividade do portal podem se tornar PHI quando conectado a uma entidade regulamentada e a conteúdos ou serviços relacionados à saúde. Uma página pública genérica não autenticada merece uma análise diferente de uma solicitação de consulta, portal do paciente, formulário de admissão, fluxo de trabalho de pagamento ou página autenticada.

Onde a análise cria risco

As áreas de risco comuns incluem:

• Páginas de solicitação de agendamento.
• Portais de pacientes.
• Verificadores de sintomas.
• Páginas de destino específicas da condição.
• Páginas de pesquisa de provedores.
• Páginas de pagamento.
• Conteúdo sobre vício, saúde mental, saúde reprodutiva ou condição crônica.
• Redirecionando pixels em páginas de saúde.
• Análise de formulário que captura valores de campo.

Mesmo que um fornecedor diga que recebe apenas identificadores pseudônimos, a combinação de URL, carimbo de data/hora, endereço IP e dados do dispositivo ainda pode ser confidencial.

Google Analytics e HIPAA

A própria ajuda do Google Analytics diz que os clientes não devem passar dados ao Google que o Google possa reconhecer como informações de identificação pessoal e não devem coletar dados usando o Analytics que revelem informações confidenciais sobre um usuário ou os identifiquem. Consulte a página HIPAA e Google Analytics do Google.

Para as organizações de saúde, a questão prática é se Google Analytics está recebendo PHI e se existem o relacionamento e as proteções HIPAA necessárias. Se um fornecedor não assinar um contrato de parceria comercial para o serviço relevante, uma entidade regulamentada não deverá divulgar PHI a esse fornecedor por meio de rastreamento.

Não confie no anonimato do IP, na exclusão de cookies ou na divulgação da política de privacidade como substituto da análise do HIPAA.

Projeto de medição mais seguro

Os locais de saúde devem separar a medição pública e de baixo risco dos fluxos de trabalho regulamentados.

Páginas de educação pública

Use análises agregadas e sem cookies. Evite identificadores pessoais, pixels de publicidade, gravações de sessões, mapas de calor e rastreadores entre sites. Remova as strings de consulta. Evite URLs completo se os caminhos revelarem categorias altamente confidenciais.

Páginas de agendamento e admissão

Trate-os como de alto risco. Não carregue análises gerais de marketing ou pixels de anúncios. Se a medição for necessária, use o registro do lado do servidor primário com controles de acesso rígidos, retenção curta e nenhuma divulgação a terceiros, a menos que seja revisado.

Portais de pacientes

Suponha que a análise do portal autenticado possa envolver PHI. Use fornecedores prontos para HIPAA, BAAs, logs de acesso, controles baseados em funções e coleta mínima necessária.

Páginas de destino da campanha

Evite redirecionar pixels em páginas específicas de condições. Se a medição da campanha for necessária, use parâmetros UTM e conversões agregadas, não públicos-alvo de publicidade no nível do visitante.

Uma lista de verificação analítica HIPAA

1. Identifique se a organização é uma entidade coberta ou associada comercial.
2. Liste todos os scripts de rastreamento, pixels, gerenciadores de tags, widgets de bate-papo e análises SDK.
3. Categorize as páginas por sensibilidade à saúde.
4. Remova pixels de publicidade de páginas de contexto de saúde.
5. Evite que os valores dos campos do formulário entrem em análises.
6. Retire dados pessoais e tokens de URLs.
7. Confirme se os fornecedores assinam BAAs para o serviço exato usado.
8. Aplicar coleta mínima necessária.
9. Defina retenção curta para logs e eventos analíticos.
10. Atualize os avisos de privacidade e HIPAA quando necessário.

O que a análise que prioriza a privacidade pode fazer

Uma ferramenta de análise que prioriza a privacidade pode medir o desempenho agregado do site sem identificar os visitantes. Para muitos sites de marketing de saúde, isso é suficiente:

• Visualizações de página por página.
• Referentes e campanhas.
• Geografia geral.
• Categorias de dispositivos e navegadores.
• O envio do formulário conta sem valores de campo.
• Desistência do funil de forma agregada.

Essa abordagem não remove todas as perguntas HIPAA, mas reduz a chance de PHI ser divulgado para um ecossistema de publicidade ou análise de terceiros.

Conclusão

A análise de saúde deve começar com os dados mínimos necessários. Se uma página ou ação puder revelar o interesse de alguém pela saúde, não trate o rastreamento como uma infraestrutura de marketing comum. Avalie o que você precisa, evite identificadores pessoais, mantenha fluxos de trabalho confidenciais limpos e use fornecedores que possam apoiar a função legal que eles devem desempenhar.

O contexto da página pode criar PHI

Uma visita genérica à página inicial de um hospital pode apresentar menor risco do que uma visita a uma página sobre tratamento oncológico seguida de um pedido de consulta. Os elementos de dados podem ter a mesma aparência técnica: endereço IP, agente do usuário, URL, carimbo de data/hora. O significado muda porque o contexto da página revela um interesse de saúde.

É por isso que as análises analíticas de saúde devem classificar as páginas por sensibilidade, e não apenas as ferramentas por marca.

Evite redirecionamento por padrão

Redirecionar visitantes de saúde é especialmente arriscado. Mesmo que uma plataforma de anúncios nunca receba um campo de diagnóstico, um pixel em uma página específica de uma condição pode revelar interesse nessa condição. Os profissionais de marketing de saúde devem preferir campanhas contextuais, medição de conversão agregada e relatórios de compromissos próprios em vez de construção de público.

Perguntas sobre aquisições

Pergunte aos fornecedores de análise se eles assinarão um BAA para o produto exato, onde os dados estão hospedados, se os dados são usados para publicidade ou melhoria do produto, como os identificadores são tratados e se as páginas do formulário podem ser excluídas. Se as respostas forem vagas, não coloque a ferramenta em páginas regulamentadas.

Para a saúde, “nós só usamos análises” não é uma defesa. O tópico da página, a identidade da organização e a interação do visitante podem tornar sensíveis os dados técnicos comuns.

Verificações de medição seguras HIPAA

Separe a medição da educação pública dos fluxos de trabalho de nomeação, portal, entrada, pagamento, condições específicas e autenticados. Mantenha as cargas analíticas livres de nomes, e-mails, números de pacientes ou registros, detalhes de consultas, texto de formulário, strings de consulta confidenciais e identificadores que possam vincular um visitante ao atendimento.

Se um fornecedor receber PHI, confirme a função HIPAA, BAA, controles de acesso, retenção, subprocessadores e fluxo de trabalho de violação antes que a etiqueta seja enviada. Se o fornecedor não puder oferecer suporte a essa função para o conjunto exato de produtos e recursos, mantenha o fornecedor fora das páginas regulamentadas.