HIPAA 준수

공동 책임

HIPAA상 당사의 역할

병원의 수신 번호나 접수 페이지에 대한 BAA는 SingleFax가 그 병원을 대신해 제공하는 서비스를 위해 병원과 체결합니다. 다른 HIPAA 적용 제공자의 별도 전송 서비스에는 별도의 적절한 BAA가 필요합니다. 개인 기록을 위해 독립적으로 이용하는 환자는 문서가 의료 기록이라는 이유만으로 BAA가 필요하지 않습니다.

HIPAA 적용 기관(CE)이나 상위 비즈니스 제휴업체(BA)가 PHI/ePHI 문서 전송을 의뢰하면 SingleFax는 45 C.F.R. § 160.103에 따른 비즈니스 제휴업체 또는 재위탁 BA로서 활동합니다. 약관과 BAA의 서비스 수행을 위해서만 PHI를 생성·수신·유지·전송하며, 주로 팩스 전송, 임시 처리 저장, 전송 상태, 확인서, 규정 준수 기록을 포함합니다.

• 수행하는 업무

  고객 문서 전송, HIPAA 기술 조치 적용, BAA 체결·기록 보관, 보관 정책에 따른 PHI 파일 삭제.

• 수행하지 않는 업무

  의료 행위, 치료 결정, PHI 판매, 당사 마케팅에 PHI 사용, 이용 조직의 개인정보 보호 관행 고지나 직원 교육 대체.

HIPAA Secure 사용 시점

PHI/ePHI 문서가 포함되고 CE이거나 CE를 대신한 BA로서 전송한다면 HIPAA 모드를 사용하세요. 일반 건별 팩스는 PHI가 없는 업무 문서와 본인의 기록을 보내는 개인을 위한 것입니다. 개인은 BAA 없이 보안 전송과 같은 가격으로 개인정보 보호 강화를 선택할 수 있습니다. 계약 요건은 OCR이 아니라 이용자가 수행하는 역할로 결정됩니다.

개인정보 보호 강화는 조직 BAA 없이 보안 문서 보관, 개인정보를 보호하는 알림, 안전하게 저장된 전송 확인서를 제공합니다. 개인용 선택 사항이며 종단 간 암호화나 수신인의 팩스 취급 통제를 제공하지 않습니다. 일반 업로드도 암호화되며, 유료 표시가 일반 전송에 보호 조치가 없다는 뜻은 아닙니다.

OCR로 건강 정보 안내가 표시될 수 있지만 전송 역할·가격·규정 준수를 결정하지 않습니다. HIPAA 적용 제공자와 BA는 환자 정보 업로드 전에 BAA에 동의해야 합니다. 개인은 병원의 BAA를 체결하지 않고 개인정보 보호 옵션을 선택합니다.

비즈니스 제휴 계약

HIPAA 적용 제공자나 BA를 대신해 HIPAA Secure에 업로드하기 전에 법인의 권한 있는 서명자가 전자 BAA에 동의해야 합니다. 동의는 organization-scoped이며, 버전을 관리하고 문서 해시 및 확인란(계약 체결 권한·최소 필요 정보)과 함께 기록합니다.

• 45 C.F.R. § 164.504(e)의 필수 요소에 맞춰 작성되었습니다. 허용된 이용, 보호 조치, 재위탁 업체, 정보 유출 통지, HHS 접근, 반환·파기, 계약 해지를 포함합니다.
• 동의 후 체결 사본 PDF 다운로드 가능.
• 새 버전은 이전 동의를 대체하며 약관 변경 시 다시 동의해야 할 수 있습니다.

보안 보호 조치

HIPAA 모드 ePHI에는 보안 규칙(45 C.F.R. Part 164, Subpart C)을 충족하도록 합리적이고 적절하게 설계된 보호 조치를 적용합니다. 대표적 조치는 다음과 같습니다:

건강 정보 수명 주기

1. 1
   파일 수집

   BAA 동의 후에만 업로드합니다. 팩스 전송에 필요한 경우 문서를 변환합니다.

2. 2
   처리 및 전송

   전용 조치가 적용된 임시 저장, 팩스 통신사 API를 통한 전송, 설정에 따른 재시도.

3. 3
   상태 및 확인서

   확인서·감사에 필요한 전송 상태, 시각, 규정 준수 메타데이터를 보관하며 결제 시스템에는 의료 자유 텍스트를 넣지 않습니다.

4. 4
   안전한 삭제

   HIPAA 문서 파일에는 짧은 운영 보관 기간과 삭제 증거가 남는 자동 삭제가 적용됩니다. BAA 동의, 체결 PDF, 필수 규정 준수 기록은 HIPAA 문서화 요건에 따라 최소 6년 보관합니다.

재위탁 업체 및 서비스 제공업체

SingleFax는 객체 저장소, 통신·팩스 연결, 결제, 이메일, 인프라 호스팅 등에 신중히 선정한 재위탁 처리업체를 사용합니다. 당사를 대신해 PHI를 생성·수신·유지·전송하는 경우 45 C.F.R. § 164.502(e) 및 § 164.308(b)에 부합하는 서면 보장을 확보하며, 일반적으로 BAA 또는 동등한 계약상 보호 조치를 적용합니다. 또는 업체가 문서 내용을 받지 않도록 설계합니다. 예를 들어 Stripe Checkout과 청구서에는 파일명·내용 대신 불투명 주문 식별자, “HIPAA 전송” 같은 결제 설명, 수신 팩스 번호를 사용합니다.

유효한 BAA가 있는 적용 대상 기관 고객은 합리적인 비밀유지 조건에 따라 주요 재위탁업체의 최신 목록을 요청할 수 있습니다.

정보 유출 통지 및 사고

BAA에 따라 부당한 지체 없이, 발견 후 늦어도 60일(역일 기준) 이내(법률에서 요구하면 더 일찍)에 다음을 고객에게 보고합니다:

• 인지한 BAA상 허용되지 않는 PHI 이용 또는 공개;
• 인지한 보안 사고: 실제로 이루어진 무단 접근·이용·공개·변경·파기 또는 시스템 운영 방해; 그리고
• 보안 조치가 적용되지 않은 PHI 유출. 45 C.F.R. § 164.410에서 요구하는 정보를 포함합니다.

일상적으로 발생하는 실패한 탐색·스캔 시도는 기록하고 요청 시 집계하여 보고할 수 있습니다. HIPAA 적용 기관에 요구되는 개인·HHS·언론에 대한 후속 통지는 고객의 책임입니다.

이용자의 책임

HIPAA 준수는 공동 책임입니다. HIPAA 모드를 이용하고 BAA에 동의하면 다음을 진술하고 동의합니다:

• 01이용자는 HIPAA 적용 기관 또는 SingleFax를 재위탁 BA로 고용하는 비즈니스 제휴업체이며 병원을 계약에 구속하는 개인 환자가 아닙니다.
• 02서명자는 명시된 조직을 계약에 구속할 법적 권한이 있습니다.
• 03적용되는 경우 최소 필요 정보 요건(45 C.F.R. § 164.502(b))을 따릅니다. HIPAA에는 치료 목적 공개 등 예외가 있습니다.
• 04HIPAA 규칙에서 BA에 명시적으로 허용한 경우 외에는 이용자가 직접 수행해도 허용되지 않을 이용·공개를 요청하지 않습니다.
• 05CE 또는 BA에 요구되는 자체 정책, 직원 교육, 접근 제어, 환자 권리 절차를 유지합니다.
• 06PHI에는 HIPAA 모드를 사용하고 적절한 경우에만 일반 전송을 사용합니다. 오분류로 일반 트래픽에 BAA가 생기지는 않습니다.

기록 및 접근

SingleFax가 지정 기록 집합에 PHI를 유지하는 경우 지원 채널을 통해 합리적인 기간 내에 고객의 열람(45 C.F.R. § 164.524), 수정(§ 164.526), 공개 내역 확인(§ 164.528)에 필요한 PHI를 제공합니다. HIPAA 준수 판단을 위해 PHI 관련 내부 관행·장부·기록을 HHS 장관에게 제공합니다(45 C.F.R. § 164.504(e)(2)(ii)(I)).

운영 팩스 파일은 보통 단기간만 보관하며 BAA·동의 기록·삭제 증거 같은 규정 준수 자료는 더 오래 유지합니다. 당사 파일 유효기간 이후에도 필요한 의료 내용은 자체 보관을 계획하세요.

문의 및 개인정보 보호

BAA 문의, SingleFax 관련 보안 사고, 규정 준수 문서 요청: