La guida di un team sanitario alla conformità HIPAA sui social media

Sarebbe difficile trovare professionisti del marketing sanitario che non comprendano il valore dei social media per il settore sanitario, secondo Jill Florence, Direttore delle vendite aziendali presso Sprout Social.

Come spiega Florence, “I social sono una parte non negoziabile della promozione della consapevolezza del marchio e della creazione di connessioni con pazienti, medici e membri della comunità. Ma può essere una sfida per i team di marketing in prima linea digitale superare le preoccupazioni dei team di sicurezza e privacy, soprattutto nel punto di intersezione tra HIPAA e social media”.

Molte organizzazioni riferiscono che le misure di conformità HIPAA inibiscono la loro strategia, poiché alcuni dei contenuti sanitari più coinvolgenti che creano presentano studi innovativi, testimonianze di pazienti e scoperte mediche, che richiedono lunghi processi di approvazione e un'attenta esecuzione. In questa guida analizzeremo ciò che devi sapere per rimanere conforme all'HIPAA sui social media e condivideremo esempi di marchi sanitari che brillano sui social, nonostante le limitazioni normative.

Nota: le informazioni fornite in questo articolo non costituiscono e non intendono costituire una consulenza legale formale. Si prega di rivedere il nostro disclaimer completo prima di leggere oltre.

L'impatto dell'HIPAA sui tuoi contenuti sui social media

Le leggi sulla privacy HIPAA proteggono le informazioni sensibili dei pazienti dalla divulgazione pubblica, anche sui social media. La normativa sulla privacy HIPAA protegge espressamente le informazioni sulla salute dei pazienti in relazione al modo in cui i dati vengono condivisi, comprese le attività di marketing e pubblicitarie.

Le informazioni sanitarie protette e sensibili (PHI) includono dati sulle condizioni mediche passate, presenti o future di un paziente, sulla fornitura di assistenza sanitaria all'individuo e sui pagamenti sanitari passati, presenti o futuri. Dato che le piattaforme di social media raccolgono informazioni sugli utenti, monitorano il comportamento e dispongono della licenza per utilizzare le tue risorse visive, è facile capire perché esistono queste normative.

Nell’era della condivisione di foto dei pazienti prima e dopo, testimonianze e altre informazioni sensibili, gli operatori sanitari dovrebbero prestare estrema cautela quando creano contenuti per i social media. Le normative HIPAA impongono inoltre alle aziende sanitarie di gestire attentamente le interazioni dei clienti sui social media, il che include impedire ai pazienti di condividere PHI e cancellarle se lo fanno. Il mancato rispetto delle normative HIPAA è costoso, sia a livello finanziario che per la reputazione del tuo marchio.

Tuttavia, come sottolinea Katherine Van Allen, Senior Solutions Engineer presso Sprout, i vantaggi del social superano i rischi. “I social media dovrebbero far parte della strategia delle organizzazioni sanitarie. Le persone che devi raggiungere sono sui social, siano essi potenziali pazienti o dipendenti. Senza una presenza sociale, non partecipi alle conversazioni vitali che si svolgono sul tuo sistema. Dal discorso su un membro del team o sulla posizione, agli errori materiali e alle azioni legali, o alla rapida diffusione di disinformazione su una malattia o su un piano di trattamento. Sintonizzarsi sull’ascolto dei social media ti aiuterà a individuare le principali aree di opportunità”.

Come creare linee guida per il marchio per supportare HIPAA e social media

Anche se dovresti sempre consultare il tuo consulente legale e il team di conformità in merito alla conformità HIPAA sui social media, ecco le migliori pratiche generali da seguire quando crei le linee guida del tuo marchio.

Crea politiche e forma la tua squadra

Inizia consultando i tuoi team legali e di conformità e rendili un partner chiave nella convalida della legalità della tua strategia, delle tue campagne e dei tuoi contenuti. Collaborare con loro per sviluppare un protocollo di conformità dei social media, che dovrebbe includere istruzioni per la corrispondenza con le persone tramite i social media.

Familiarizza il tuo team con questo protocollo co-creando programmi di formazione sulla conformità HIPAA che includano l'educazione sui social media. Nella tua formazione, evidenzia l'utilizzo corretto dei dati dei clienti sui social media e le violazioni HIPAA comuni.

Segui le migliori pratiche di deidentificazione

Quando crei nuovi contenuti per i social media, rimuovi tutti i PHI dai tuoi post. Le PHI includono informazioni sanitarie utilizzate insieme ai seguenti identificatori:

• Nomi (primo, secondo e ultimo)
• Indicatori geografici più piccoli di uno stato
• Tutti gli elementi di una data (tranne l'anno)
• Numeri di telefono e fax
• Indirizzi email
• Numeri di previdenza sociale
• Cartella clinica, beneficiario del piano sanitario e numeri di conto
• Numeri di certificato o di licenza
• Identificatori del veicolo
• Attributi del dispositivo
• URL e indirizzi IP associati ai pazienti
• Identificatori biometrici
• Fotografie di volti interi e altri identificatori fisici univoci
• Qualsiasi altro numero o codice che possa identificare un individuo

Per maggiore contesto, mentre il nome di un paziente abbinato ai suoi segni vitali è considerato PHI, i suoi segni vitali da soli non lo sono.

Monitorare le violazioni HIPAA

Anche se prendi tutte le precauzioni per limitare l’uso delle PHI nei tuoi contenuti, i pazienti possono comunque mettere a rischio la tua conformità condividendo essi stessi le informazioni personali. Previeni questo problema aggiungendo disclaimer alle interazioni con i messaggi diretti e ai profili del brand. Chiedere ai pazienti di astenersi dal condividere qualsiasi PHI e informarli dove dovrebbero indirizzare le richieste.

Se un paziente dovesse menzionarti o inviarti un messaggio diretto e compromettere le PHI, elimina immediatamente il messaggio e indirizzalo a un canale più appropriato. Florence consiglia: “Anche se aggiungi una dichiarazione di non responsabilità al tuo profilo o ai tuoi messaggi diretti, alcuni pazienti cercheranno comunque un consiglio medico. Per contrastare questo problema, alcune organizzazioni utilizzano chatbot e strumenti di triage per avvisarle automaticamente di potenziali PHI e rispondere o eliminare contenuti sensibili”.

Utilizzando uno strumento come le risposte salvate di Sprout Social, puoi utilizzare risposte già scritte per rispondere rapidamente ai clienti e reindirizzare la conversazione su un canale sicuro. Puoi anche utilizzare il generatore di chatbot di Sprout per reindirizzare automaticamente gli utenti social a un indirizzo email o ad un altro canale sicuro per conversazioni relative all'assistenza sanitaria.

Con Smart Inbox di Sprout, puoi utilizzare tag e filtri per contrassegnare i messaggi che contengono PHI e creare flussi di lavoro che eliminano tali messaggi.

Costruire un processo per l'approvazione dei pazienti

Potrebbero esserci alcuni casi in cui i pazienti (o le loro famiglie) sono interessati a condividere le loro storie con il tuo pubblico, come questo adorabile TikTok di Halloween della terapia intensiva neonatale della Cleveland Clinic.

Disporre di un processo semplificato e chiaramente documentato per ottenere il consenso scritto e l'autorizzazione HIPAA a divulgare PHI da un paziente prima di condividere tali storie, fotografie e/o video.

Rimani aggiornato sulle novità legislative

Rendere una pratica regolare rimanere aggiornati sui cambiamenti legislativi a livello federale e statale. Esamina regolarmente risorse come il sito web del Dipartimento della salute e dei servizi umani degli Stati Uniti (HHS). Puoi anche seguire l'HHS e la National Law Review sui social per aggiornamenti in tempo reale, comprese le sentenze relative alle violazioni dei dati HIPAA.

Cerchi più risorse? Mettiamo insieme una conformità HIPAA sul cheat sheet sociale che può aiutarti a rimanere conforme, eseguendo al tempo stesso una strategia sociale efficace e creativa.

Violazioni comuni dell'HIPAA e ruolo dei social media

Sebbene la conformità all’HIPAA sui social sia complessa, i rischi monetari, reputazionali e, soprattutto, per il benessere dei pazienti sono troppo elevati per sbagliare. Ecco le violazioni HIPAA più comuni che dovresti evitare.

Nascondere i dettagli del paziente in bella vista

Anche se non includi esplicitamente volti, nomi, date o altri identificatori evidenti, alcuni dettagli situazionali possono rivelare informazioni personali di un paziente. Sia Florence che Van Allen consigliano di rivedere attentamente fotografie e video prima di pubblicarli. Assicurati che non ci siano informazioni protette sullo sfondo dei tuoi contenuti multimediali.

Van Allen avverte: “Qualcosa che sembra innocuo come una foto di una stanza del personale può essere una violazione. Qualcuno potrebbe ingrandire la cartella clinica di un paziente seduto sul tavolo ed essere in grado di identificare il suo nome o altre PHI."

Convalidare le informazioni sanitarie

"Molti pazienti inviano messaggi ai marchi sanitari pensando che il loro messaggio raggiungerà i loro medici, il che significa che includono PHI sensibili nella loro comunicazione", afferma Florence. Come accennato nella sezione precedente, è fondamentale eliminare qualsiasi PHI, anche quando il paziente lo fornisce spontaneamente.

Ma una sfumatura fondamentale che molte organizzazioni non notano è che si dovrebbe anche astenersi dal convalidare le PHI. Ad esempio, se un paziente commenta il tuo post e rivela di avere una malattia, non dovresti menzionare tale malattia nella tua risposta. Potrebbe trattarsi di una violazione dell'HIPAA. Ecco alcuni scenari di esempio:

Esempio di messaggio paziente: @Ospedale, mi è stato recentemente diagnosticato il diabete e mi chiedevo quale dei vostri medici è specializzato nella cura del diabete?

Non conforme a HIPAA: @Patient, sappiamo che affrontare una nuova diagnosi di diabete può essere difficile e siamo qui per aiutarti. Chiama direttamente l'ufficio del Dr. Smith per programmare una consultazione.

Conformità HIPAA: @Patient, abbiamo eliminato il tuo commento per proteggere la tua privacy. Chiama o contatta il nostro team via e-mail per ricevere assistenza.

Limitare la formazione ai canali aziendali e al personale retribuito

Limitando la formazione ai canali aziendali e al personale retribuito, le organizzazioni sanitarie creano lacune di conoscenza che possono causare gravi ricadute. Ad esempio, uno stagista emozionato potrebbe pubblicare un selfie con un paziente. Oppure uno studente in residenza potrebbe rivelare accidentalmente PHI in un divertente TikTok.

Le organizzazioni sanitarie dovrebbero ricordare che l’HIPAA si applica a chiunque sia sotto il controllo di un ente coperto, compresi i volontari, gli studenti e il personale non retribuito. Incapsula inoltre profili social oltre l'account aziendale, compresi gli account personali dei membri del personale.

Cosa significa HIPAA per i tuoi fornitori di social media

La conformità e la sicurezza HIPAA dovrebbero essere al primo posto nella scelta dei fornitori e degli strumenti software. Durante le valutazioni della tua piattaforma, aspettati che i tuoi team di sicurezza e privacy siano vigili sul modo in cui i dati vengono utilizzati quando sono integrati in stack tecnologici più grandi.

Trova una soluzione di gestione con livelli di autorizzazione e funzionalità di approvazione dei messaggi per garantire che solo le parti responsabili possano pubblicare. Garantire che siano messe in atto misure di sicurezza informatica per proteggere le PHI sui dispositivi elettronici come crittografia o firewall.

Fai un ulteriore passo avanti e trova una soluzione di gestione dei social media disposta a firmare un contratto di società in affari (BAA), un contratto legalmente vincolante che specifica le responsabilità di ciascuna parte in termini di conformità PHI e HIPAA. Come spiega Florence, “dovresti lavorare con un partner come Sprout Social che possa firmare un BAA e assumerti i rischi e le responsabilità con te”.

Marchi sanitari da cui imparare

Queste quattro organizzazioni sanitarie dimostrano che avere una presenza attiva sui social media è ancora possibile e importante, anche nei settori regolamentati.

Clinica Mayo

La Mayo Clinic, l'ospedale più importante della nazione, utilizza i social media per costruire il proprio marchio di datori di lavoro. Come quando hanno ricondiviso il post di una cattedra di trapianti che ha celebrato un mese di successo. Nota come il post non rivela alcuna informazione sensibile del paziente, ma si concentra invece sui risultati e sull'alto livello del team di trapianti.

La Mayo Clinic condivide anche i profili dei propri volontari, medici e altro personale per umanizzare ulteriormente la propria azienda, come questo video commovente su un sopravvissuto all'Olocausto diventato volontario.

Il sistema ospedaliero integra questi post con consigli generali sulla salute e sullo stile di vita per ispirare i propri follower e promuovere il benessere, come in questo carosello sui benefici del movimento quotidiano.

Clinica di Cleveland

La Cleveland Clinic, un importante centro medico accademico, è sempre aggiornato sulle conversazioni sanitarie di tendenza e utilizza la propria esperienza per tenere informata la propria comunità sui nuovi rapporti sulla salute pubblica.

Come in questo Reel in cui indagano sui benefici dell'ultima mania per la salute dei social media, dei tuffi o delle docce fredde. Il post spiega come raccogliere i frutti di questa tendenza, rimanendo sani e salvi.

Il centro medico condivide anche i migliori rapporti sulla salute pubblica prodotti dalla propria organizzazione. Solitamente riassumono brevemente i risultati principali del rapporto, includendo al contempo il collegamento in modo che le persone possano leggerne di più, come hanno fatto in questo post.

Ospedale pediatrico di Boston

Il Boston Children's Hospital ospita il più grande programma di ricerca pediatrica ospedaliera del mondo. L'organizzazione utilizza i propri canali social per evidenziare la ricerca innovativa (e i ricercatori dietro di essa) come ha fatto in questo post su un importante genetista clinico che promuove i risultati sulla salute dei bambini.

Presentano anche i pazienti che beneficiano dei loro trattamenti all'avanguardia intervistando le loro famiglie, come in questo servizio su Facebook sul potere dei test genetici per i bambini affetti da epilessia.

Inno Croce Blu Scudo Blu

Anthem Blue Cross Blue Shield è un fornitore affidabile di piani di assicurazione sanitaria. Sui social, condividono statistiche significative sul valore che offrono ai propri membri, incluso questo post sul ritorno sugli investimenti che i datori di lavoro ottengono investendo nel recupero e nel supporto della dipendenza sul posto di lavoro.

Condividono anche premi e accreditamenti che dimostrano il loro impegno per la cura e l'eccellenza dei membri, come questo post sul loro riconoscimento da parte di NCQA.

In quanto fornitore popolare di piani assicurativi, ricevono molte richieste sui dettagli della polizza dei membri sui social. Il loro team di assistenza illustra come instradare le conversazioni dai forum pubblici a canali privati ​​più appropriati e sicuri, come in questa risposta in cui chiedono a un membro di inviare un'e-mail al proprio centro assistenza.

Naviga con sicurezza nell'HIPAA e nei social media

La conformità HIPAA sui social media è un processo continuo in più fasi che prevede uno stretto allineamento con i team legali e di sicurezza e lo sviluppo di una formazione interdipartimentale. Seguendo le migliori pratiche chiave che proteggono i dati dei pazienti e la salute del marchio della tua organizzazione, sarai in grado di affrontare i complessi protocolli HIPAA e sviluppare la tua presenza sociale con sicurezza.

Passaggi successivi: ora che hai letto questo articolo, metti in calendario un incontro con i tuoi team legali e di sicurezza per iniziare a pianificare le tue iniziative formative a livello di organizzazione e rispolverare i benchmark dei social media sanitari per comprendere meglio il ruolo dei social nella tua comunità kit di strumenti per il coinvolgimento.

Disclaimer

Le informazioni fornite in questo articolo non costituiscono e non intendono costituire una consulenza legale formale; tutte le informazioni, i contenuti, i punti e i materiali sono a scopo informativo generale. Le informazioni contenute in questo sito Web potrebbero non costituire le informazioni legali o di altro tipo più aggiornate. L'incorporazione delle linee guida fornite in questo articolo non garantisce la riduzione del rischio legale. I lettori di questo articolo dovrebbero contattare il proprio team legale o avvocato per ottenere consulenza in merito a qualsiasi questione legale particolare e dovrebbero astenersi dall'agire sulla base delle informazioni contenute in questo articolo senza prima richiedere una consulenza legale indipendente. L'uso e l'accesso a questo articolo o a uno qualsiasi dei collegamenti o delle risorse contenuti nel sito non creano una relazione avvocato-cliente tra il lettore, l'utente o il browser e eventuali contributori o studi legali contribuenti. Le opinioni espresse dai contributori a questo articolo sono le loro e non riflettono le opinioni di Sprout Social. Si declina espressamente ogni responsabilità rispetto ad azioni intraprese o non intraprese in base al contenuto di questo articolo.