Что такое PHI простыми словами?

Это медицинская информация, по которой можно понять, о ком речь. 45 CFR 160.103 определяет её как individually identifiable health information в любой форме, и включает туда демографические данные и сведения об оплате медицинской помощи, если по ним есть разумные основания опознать человека. Прочитано на law.cornell.edu 12 сентября 2026.

Моей стоматологии вообще нужен BAA с разработчиком?

Если разработчик создаёт, получает, хранит или передаёт PHI от твоего имени, он подпадает под определение business associate в 45 CFR 160.103, а 45 CFR 164.504(e) описывает, что должен требовать договор с ним. Оба прочитаны на law.cornell.edu 12 сентября 2026. Я не юрист: составлять этот договор должен твой.

Ты сделаешь мне HIPAA-совместимую систему?

Нет. Ни одна из трёх систем, которые сейчас работают, не строилась под HIPAA, и заявлять готовность к тому, чего я не сдавал, я не буду. Что могу: построить часть, которая PHI не касается, и записать эту границу в объём до начала работы.

Мед-спа это covered entity?

Зависит от того, оказывает ли заведение медицинскую помощь и передаёт ли медицинскую информацию электронно в регулируемых транзакциях: это и есть определение covered entity в 45 CFR 160.103, прочитано 12 сентября 2026. Для конкретного заведения на этот вопрос отвечает юрист, а не подрядчик по софту.

Можно ли отправлять резюме звонка в Telegram?

Для клиники по умолчанию нет, пока не решено, где это сообщение живёт и кто имеет право его открыть. Резюме разговора о процедуре содержит признаки PHI из определения выше, поэтому маршрут сообщения это часть проекта, а не настройка мессенджера, и решать его надо до постройки, а не после.

Сколько стоит сделать всё по HIPAA?

Цену за то, чего я не делаю, я не называю. Сборка обычной системы идёт от $2 000 за 30-45 дней, и HIPAA в неё не входит. Оценивать HIPAA-проект должен тот, кто такой уже сдавал, иначе он придумает и цену, и срок.

HIPAA простыми словами для стоматологии и мед-спа в США

Разбор для владельца клиники, который хочет автоматизировать приём заявок и не понимает, где начинается зона, куда подрядчика без договора пускать нельзя. С определениями из регламента и с честным «этого у меня нет».

Автор Евгений Романов·Опубликовано 12 сентября 2026 г.

Короткий ответ

HIPAA это американский закон о защите медицинских данных, и для стоматологии или мед-спа в США он решает, кому вообще можно показать карту пациента. Защищённая информация о здоровье, PHI, определена в 45 CFR 160.103, прочитано 12 сентября 2026. Любой подрядчик, который её создаёт, получает, хранит или передаёт, это business associate, и с ним нужен письменный договор. HIPAA-системы у меня в продакшене нет, и обычная сборка от $2 000 под HIPAA не сделана. Я не юрист.

Бесплатный аудит Вся лестница цен

SHT-02От чего зависит число

Что такое PHI, если читать определение, а не пересказы

45 CFR 160.103 определяет protected health information как individually identifiable health information, которая передаётся или хранится в электронном виде либо в любой другой форме. Само individually identifiable health information определено там же: это подмножество медицинской информации, включая демографические данные, созданное или полученное медицинским провайдером, планом, работодателем или клиринговой палатой, относящееся к прошлому, настоящему или будущему состоянию здоровья, к оказанию медицинской помощи или к оплате за неё, и либо прямо идентифицирующее человека, либо такое, по которому есть разумные основания полагать, что человека можно опознать. Прочитано на law.cornell.edu 12 сентября 2026. Обрати внимание на последнюю часть: имя и номер телефона в связке с фактом записи на процедуру это уже она.

Кто ты в этой схеме и кто в ней подрядчик

Covered entity по тому же 45 CFR 160.103 это медицинский план, клиринговая палата или провайдер медицинской помощи, который передаёт медицинскую информацию в электронной форме в рамках регулируемых транзакций. Business associate это тот, кто от имени covered entity создаёт, получает, хранит или передаёт PHI для регулируемой функции, и определение прямо перечисляет обработку заявок, анализ данных, биллинг, практис-менеджмент и консультационные услуги. Прочитано на law.cornell.edu 12 сентября 2026. Перевод на язык твоего вопроса: студия, которая строит тебе систему, где лежат имена пациентов и их записи на приём, попадает в это определение, и «мы просто разработчики» ничего не меняет.

Что такое BAA и что он обязан требовать

45 CFR 164.504(e) перечисляет, что должен требовать от business associate письменный договор. Не использовать и не раскрывать информацию иначе, чем разрешает договор или закон. Применять защитные меры и соблюдать стандарты безопасности. Сообщать о неправомерном использовании и о нарушениях, включая утечки незащищённой PHI. Обязать субподрядчиков теми же условиями. Обеспечить доступ пациента к его данным, их исправление и учёт раскрытий. Допустить проверку внутренних практик регулятором. Вернуть или уничтожить PHI по окончании договора, а если это невозможно, продлить защиту бессрочно. Прочитано на law.cornell.edu 12 сентября 2026. Это не формальность на одну страницу: почти каждый пункт означает работу внутри системы.

Почему ИИ-автоответчик в клинике это не просто подписка

Голосовой агент производит артефакты, которых раньше не было: расшифровку разговора, короткое резюме и ссылку на запись. У обычного подрядчика по ремонту всё это спокойно уходит уведомлением в мессенджер, и это нормально. У клиники ровно те же три артефакта содержат описание чужого тела и чужой процедуры, то есть подпадают под определение из первого раздела, и вопрос «куда они уходят» становится частью проекта, а не настройкой. Решать надо заранее три вещи: где физически лежит расшифровка, кто именно её может открыть, и что вообще не должно покидать клинику. Это не строчка в договоре, это архитектура.

Что я честно не делаю

У меня нет системы под HIPAA в продакшене, и я не собираюсь делать вид, что она есть. Три системы, которые работают, обслуживают подрядчика по обоям, строительную компанию и автоброкера, и ни одна из них не строилась как HIPAA-совместимая. Значит для клиники честных вариантов два. Либо мы сначала выносим PHI за пределы системы и я строю то, что её не касается, и это записано в объёме, а не подразумевается. Либо тебе нужен подрядчик, который уже сдавал HIPAA-совместимую систему и готов подписать BAA со всеми пунктами из предыдущего раздела, и тогда мой правильный ответ это отказаться от работы.

Что можно построить, не трогая PHI вообще

Граница проходит не по типу софта, а по тому, какие поля в нём лежат. Сайт с ценами, расписанием и формой обратного звонка, где нет причины обращения, PHI не содержит. Учёт рекламных источников и звонков без содержания разговора тоже. Отчёт владельцу о количестве заявок и загрузке кресел может быть построен на числах, а не на людях. Такую работу я делаю обычным порядком: Blueprint за $500 и сборка от $2 000 за 30-45 дней. Как только в поля попадает причина визита или фамилия пациента, мы останавливаемся и возвращаемся к предыдущему разделу. Проверять эту границу надо на этапе разбора, а не на приёмке.

SHT-03Общие примечания

Вопросы, которые задают на самом деле.

N01Что такое PHI простыми словами?: Это медицинская информация, по которой можно понять, о ком речь. 45 CFR 160.103 определяет её как individually identifiable health information в любой форме, и включает туда демографические данные и сведения об оплате медицинской помощи, если по ним есть разумные основания опознать человека. Прочитано на law.cornell.edu 12 сентября 2026.
N02Моей стоматологии вообще нужен BAA с разработчиком?: Если разработчик создаёт, получает, хранит или передаёт PHI от твоего имени, он подпадает под определение business associate в 45 CFR 160.103, а 45 CFR 164.504(e) описывает, что должен требовать договор с ним. Оба прочитаны на law.cornell.edu 12 сентября 2026. Я не юрист: составлять этот договор должен твой.
N03Ты сделаешь мне HIPAA-совместимую систему?: Нет. Ни одна из трёх систем, которые сейчас работают, не строилась под HIPAA, и заявлять готовность к тому, чего я не сдавал, я не буду. Что могу: построить часть, которая PHI не касается, и записать эту границу в объём до начала работы.
N04Мед-спа это covered entity?: Зависит от того, оказывает ли заведение медицинскую помощь и передаёт ли медицинскую информацию электронно в регулируемых транзакциях: это и есть определение covered entity в 45 CFR 160.103, прочитано 12 сентября 2026. Для конкретного заведения на этот вопрос отвечает юрист, а не подрядчик по софту.
N05Можно ли отправлять резюме звонка в Telegram?: Для клиники по умолчанию нет, пока не решено, где это сообщение живёт и кто имеет право его открыть. Резюме разговора о процедуре содержит признаки PHI из определения выше, поэтому маршрут сообщения это часть проекта, а не настройка мессенджера, и решать его надо до постройки, а не после.
N06Сколько стоит сделать всё по HIPAA?: Цену за то, чего я не делаю, я не называю. Сборка обычной системы идёт от $2 000 за 30-45 дней, и HIPAA в неё не входит. Оценивать HIPAA-проект должен тот, кто такой уже сдавал, иначе он придумает и цену, и срок.

SHT-04Доказательство

Системы, из которых этот довод взялся.

Всё выше узнано на их сборке. На каждом листе названа компания, названо правило ремесла и назван файл в репозитории, который доказывает возможность. Ни выручки клиента, ни его покупателей там нет.

SHT-05Дальше