Какие правила конфиденциальности и согласия применяются к созданию и хранению фотографий «до и после» клиентов, проходящих лазерную терапию или процедуры по коррекции фигуры?

Фотографии «до и после» лазерной терапии или процедур по коррекции фигуры следует рассматривать как конфиденциальную медицинскую информацию, а не как обычный маркетинговый контент. В Соединенных Штатах закон HIPAA может классифицировать идентифицируемые фотографии процесса лечения как защищенную медицинскую информацию (PHI), если покрываемый медицинский работник или бизнес-партнер создает, получает, хранит или передает их. Клиникам, как правило, требуется надлежащее письменное разрешение для использования таких данных в целях, выходящих за рамки лечения, оплаты и медицинского обслуживания, при этом применимые законы штатов, законы о биометрической конфиденциальности, защите прав потребителей и международные законы о конфиденциальности могут налагать дополнительные требования.

Главное правило — цель и возможность идентификации: надежно документируйте изображения для законных клинических целей, получайте конкретное письменное разрешение перед их использованием в маркетинге, образовании, публикациях или других внешних целях, и не полагайтесь на то, что удаление глаз на фото делает человека анонимным.

Почему фотографии процесса лечения регулируются законом

Фотография может раскрывать медицинскую информацию

Изображение «до и после» может раскрыть факт прохождения человеком лазерной терапии, коррекции фигуры, лечения кожи или другой процедуры. Оно также может показать обрабатываемую область тела, результаты лечения, физические характеристики и время оказания медицинской помощи.

Когда изображение связано с клиентом, медицинской картой, записью на прием, учетной записью или другим идентификатором, оно может стать защищенной медицинской информацией в соответствии с HIPAA.

Идентификация — это шире, чем просто полное лицо

Для того чтобы изображение было идентифицируемым, не обязательно видеть лицо целиком. Структура лица, татуировки, шрамы, родимые пятна, форма тела, отличительные черты и контекстные детали могут позволить узнать человека.

Удаление глаз или кадрирование изображения может снизить возможность идентификации, но это не отменяет автоматически обязательства по соблюдению конфиденциальности или юридические риски.

Применимость HIPAA зависит от организации и целей использования

HIPAA применяется в первую очередь к покрываемым организациям, таким как квалифицированные медицинские работники, и их бизнес-партнерам. Косметический или оздоровительный бизнес не подпадает под действие HIPAA автоматически только потому, что он выполняет процедуры; важен его юридический статус и отношения с медицинскими работниками.

Даже если HIPAA не применяется, другие законы о конфиденциальности и защите прав потребителей могут по-прежнему регулировать сбор, хранение, раскрытие и использование фотографий в рекламных целях.

Какие разрешения необходимы

Клиническая документация отличается от маркетинга

Фотографии, хранящиеся как часть медицинской карты или истории лечения клиента, могут использоваться для лечения, оплаты и определенных медицинских операций в рамках HIPAA без отдельного маркетингового разрешения в каждой ситуации. Клиника при этом обязана предоставлять требуемые уведомления о конфиденциальности, ограничивать доступ, защищать информацию и соблюдать применимое законодательство штата.

Отдельное разрешение обычно требуется, когда клиника хочет использовать идентифицируемые изображения для маркетинга, включая рекламу, веб-сайты, социальные сети, брошюры, отзывы или рекламные кампании.

Разрешение должно описывать предполагаемое использование

Письменное разрешение должно содержать на понятном языке следующую информацию:

• Какие изображения или информация могут быть использованы
• Конкретная цель использования
• Могут ли изображения появляться в рекламе, образовательных материалах, публикациях, социальных сетях или при клиническом обучении
• Кто может использовать или получать изображения
• Как долго действует разрешение
• Как клиент может отозвать разрешение
• Любые соответствующие условия лечения, компенсации или публикации

Одной общей фразы, такой как «разрешение на использование фотографий», может быть недостаточно, если клиника намерена использовать изображения для нескольких существенно различающихся целей.

Публикации и образование требуют осторожности

Профессиональные публикации, презентации на конференциях, учебные материалы и образовательные веб-сайты могут сделать изображения доступными для более широкой аудитории, чем обычная внутренняя документация лечения. Перед использованием идентифицируемых фотографий в таких условиях необходимо получить письменное разрешение.

Деидентификация может снизить потребность в разрешении в некоторых контекстах, но клиника должна оценить, сможет ли разумный человек идентифицировать клиента по изображению или сопутствующей информации.

Согласия на лечение недостаточно

Согласие клиента на прохождение лазерной терапии или коррекции фигуры не дает автоматического права на фотосъемку, хранение, публикацию или использование в маркетинговых целях. Это отдельные действия, которые должны быть отдельно оговорены в процессе приема и получения разрешений.

Как клиникам следует защищать изображения

Стандартизируйте клинический процесс

Последовательная фотосъемка улучшает как клиническую полезность, так и контроль конфиденциальности. Клиники должны использовать одинаковые углы съемки, расстояние, освещение, позиционирование, фон и ракурсы, например, как минимум два стандартизированных ракурса, если это клинически целесообразно.

В рабочем процессе также должно быть задокументировано, когда было сделано изображение, к какому лечению оно относится и где оно находится в карте клиента.

Шифруйте передачу и хранение

Изображения клиентов и связанные с ними записи о лечении должны передаваться через зашифрованные каналы связи и храниться в защищенных системах с ограничением доступа. Обычная личная электронная почта, потребительские приложения для обмена сообщениями, незащищенные облачные папки и незашифрованные съемные диски создают риски утечки, которых можно избежать.

Система хранения должна поддерживать аутентификацию, контроль доступа, журналы аудита, резервное копирование и, при необходимости, безопасное удаление.

Ограничьте доступ по ролям

Только персонал, имеющий законную необходимость, должен иметь возможность просматривать или обрабатывать фотографии лечения. Администраторам, врачам, подрядчикам, маркетинговому персоналу и внешним поставщикам могут потребоваться разные уровни доступа.

Доступ должен быть оперативно отозван, когда сотрудник меняет роль или покидает организацию.

Управляйте поставщиками в рамках программы конфиденциальности

Облачные хранилища, платформы для фотографий, поставщики электронных медицинских карт, маркетинговые агентства и другие поставщики услуг могут обрабатывать изображения. Если применяется HIPAA, клинике может потребоваться Соглашение с бизнес-партнером (Business Associate Agreement) с соответствующим поставщиком.

Контракты должны регулировать вопросы конфиденциальности, меры безопасности, уведомление об утечках, разрешенное использование, хранение, удаление и возврат изображений.

Регулирование за пределами HIPAA

Законы штатов о медицинской конфиденциальности

Многие штаты регулируют медицинскую информацию более широко, чем HIPAA, или налагают дополнительные требования к согласию, раскрытию, хранению или уведомлению об утечках. Клиника должна оценить законы каждого штата, в котором она работает, а в некоторых случаях — и штата, в котором проживает клиент.

Правила штатов могут применяться, даже если бизнес не является организацией, покрываемой HIPAA.

Законы о биометрической конфиденциальности

Некоторые законы регулируют биометрические идентификаторы или биометрическую информацию, включая определенную геометрию лица или системы, используемые для идентификации людей. Это особенно актуально, если клиника использует распознавание лиц, автоматическое сопоставление, измерение параметров лица или другие технологии идентификации.

Юридический статус обычной фотографии варьируется в зависимости от юрисдикции, поэтому клиникам не следует предполагать, что каждое изображение подпадает под действие закона или исключено из него без проверки применимого статута.

GDPR и аналогичные международные режимы

Для клиентов в Европейской экономической зоне, Великобритании или других юрисдикциях с комплексными законами о конфиденциальности фотографии лечения могут рассматриваться как медицинские данные, персональные данные или биометрические данные. Эти категории могут требовать законного основания, усиленных мер защиты, прозрачности, практики минимизации данных, ограничений на хранение и, возможно, явного согласия.

Только местоположение клиники может не определять, применимы ли эти законы; предложение услуг или мониторинг лиц в другой юрисдикции также могут иметь значение.

Правила рекламы и защиты прав потребителей

Использование клиникой изображений «до и после» в рекламе не должно вводить в заблуждение. Заявления об ожидаемых результатах, типичных исходах, долговечности, безопасности или эффективности должны быть точными и обоснованными.

Разрешение клиента на публикацию изображения не защищает клинику от ответственности за обманчивую рекламу или необоснованные заявления о лечении.

Понимание компромиссов

Клиническая ценность против риска конфиденциальности

Стандартизированные фотографии могут обеспечить полезную базу и поддержать объективное сравнение результатов после лечения. Однако каждая дополнительная копия, передача, пользователь или публикация увеличивают вероятность несанкционированного доступа или идентификации.

Клиники должны собирать только те ракурсы и информацию, которые необходимы для заявленной клинической цели.

Маркетинговая ценность против необратимого раскрытия

Изображения «до и после» могут облегчить потенциальным клиентам понимание результатов лечения. Однако, как только изображение появляется в сети, скриншоты, загрузки, репосты, индексация поисковыми системами и сторонние архивы могут сделать полное удаление невозможным.

Поэтому разрешение на маркетинг должно быть конкретным и добровольным, а клиенты должны понимать практическую сложность удаления изображения после публикации.

Деидентификация против ложной уверенности

Кадрирование, размытие, маскировка или удаление имен могут снизить риск и поддержать определенные внутренние или образовательные цели. Эти методы не являются гарантией анонимности, если отличительные физические особенности или сопутствующие детали остаются видимыми.

Клиника должна оценивать полный контекст, а не только лицо.

Согласие против операционной безопасности

Письменное разрешение не делает небезопасное обращение законным. Клиника может иметь действительное разрешение и все равно нарушить обязательства по конфиденциальности, отправляя изображения по незащищенному каналу, предоставляя чрезмерный доступ или храня их бессрочно без уважительной причины.

Разрешение и безопасность — это отдельные требования.

Распространенные ошибки, которых следует избегать

Объединение всех целей в одну расплывчатую форму

Клинические записи, обучение персонала, академические публикации, галереи на веб-сайтах, социальные сети и платная реклама связаны с разной аудиторией и рисками. Объединение их в одну недифференцированную цель делает выбор клиента менее осознанным и может не соответствовать применимым требованиям к разрешению.

Сделать публикацию условием лечения

На клиента не следует оказывать давление с целью получения разрешения на маркетинговое использование как условия получения медицински необходимого лечения. Процесс получения разрешения должен разграничивать необходимую документацию лечения и необязательное рекламное использование.

Предположение, что устного разрешения достаточно

Устное соглашение может быть трудно доказать, и оно может не соответствовать требованиям HIPAA к разрешению или другим требованиям к письменному согласию. Используйте документированный письменный процесс перед созданием или раскрытием изображений для предполагаемой цели.

Хранение изображений без определенной политики

Хранение должно основываться на клинических, юридических, договорных и бизнес-требованиях. Клиника должна определить сроки хранения, периодически просматривать хранящиеся изображения и безопасно удалять те, которые больше не нужны, в соответствии с применимыми обязательствами по ведению учета.

Как применить это в вашей практике

Используйте письменную политику, которая отделяет клиническую фотосъемку от внешнего раскрытия и устанавливает четкий контроль на каждом этапе жизненного цикла изображения.

• Если ваш основной фокус — клиническая документация: делайте только необходимые снимки, привязывайте каждое изображение к правильной медицинской карте, ограничивайте доступ по ролям и храните файлы в утвержденной зашифрованной системе.
• Если ваш основной фокус — маркетинг: получите конкретное письменное разрешение, охватывающее каждый предполагаемый канал и цель перед публикацией, и объясните, что распространение в Интернете может быть трудно обратить вспять.
• Если ваш основной фокус — образование или публикация: по возможности используйте деидентифицированные изображения, получите письменное разрешение на идентифицируемые изображения и проверьте подписи и сопутствующие детали на наличие косвенных идентификаторов.
• Если ваш основной фокус — соблюдение нормативных требований: определите, применяются ли к вашей организации и клиентам HIPAA, законы штатов о конфиденциальности, биометрические правила, международные законы о конфиденциальности и рекламные требования.
• Если ваш основной фокус — управление поставщиками: используйте проверенных поставщиков, заключайте необходимые соглашения, обеспечивайте контроль доступа и подтверждайте возможности шифрования, аудита, отчетности об утечках, хранения и удаления.

Процесс фотосъемки, учитывающий вопросы конфиденциальности, защищает клиентов, сохраняет клиническую ценность и дает клинике обоснованную базу для каждого случая использования изображения.

Сводная таблица:

Убедитесь, что ваша клиника соответствует всем правилам конфиденциальности и защищает доверие клиентов. Свяжитесь с BELIS сегодня для получения экспертной консультации по управлению фотографиями в соответствии с HIPAA и передовым решениям в области эстетических технологий. Свяжитесь с нами прямо сейчас!