HIPAA-compatibele hosting voor in Europa gevestigde organisaties

Om medische gegevens die vanuit de Europese Unie (EU) worden overgedragen, te hosten en/of te migreren, moeten Amerikaanse hostingproviders het Certificeringsproces tussen de VS en de EU onderdompelen.

EU-richtlijn 95/46/EG is het mandaat van de Europese Unie (in samenhang met het Europees Verdrag (EG}) voor de bescherming van personen in verband met automatische verwerking van persoonsgegevens. Gezondheidsinformatie valt onder de werkingssfeer van deze Europese richtlijn. U.S.-EU Safe Harbor Framework is een proces voor Amerikaanse organisaties om te voldoen aan deze Europese norm voor privacybescherming van persoonsgegevens afkomstig uit landen die deelnemen aan de EU.

Bij het omgaan met dit soort gegevensbescherming zijn niet-productie (ontwikkelings)hostingomgevingen niet gebonden aan deze regelgeving (als beschermde gezondheidsinformatie (PHI) en/of elektronische medische dossiers (EMR) niet op deze systemen zijn gevestigd). Overwegende dat de "overgangs" en "productie"-systemen deze beperkingen op het verbeteren van gegevensbescherming zouden moeten volgen.

Er zijn verschillen tussen de AMERIKAANSE HIPAA Compliance en de VS-EU Safe Harbor-vereisten. Health Information Portability and Accountability Act (HIPAA) is meer een richtlijn, terwijl de EU-gegevensprivacy strenger is bij het aanpakken van maatregelen op het gebied van informatiebescherming en gegevensbeveiliging.

HIPAA-richtlijnen volgen code of federal regulations (CFR) om zich aan de naleving te houden; Us-EU Framework gebruikt de Safe Harbor Privacy Principles als de fundamentele regels.

Kortom, HIPAA en US-EU Safe Harbor dienen beide hetzelfde doel: de bescherming van privégegevens (met medische dossiers en patiëntgegevens).

– HIPAA is regulated by the US Federal Government
– US-EU is regulated by the US Federal Government and the European Union
– Data being hosted in the US is bound to HIPAA, not to US-EU
– Data being hosted in the EU is not bound to HIPAA, nor to US-EU
– Data being hosted in the US [containing private data transferred from EU to US] is bound to HIPAA and US-EU