اتحادیه‌ای از سازمان‌های مراقبت‌های بهداشتی نسبت به تغییرات احتمالی در قوانین حریم خصوصی HIPAA (قانون انتقال و پاسخگویی بیمه سلامت) هشدار داده‌اند. این سازمان‌ها معتقدند مقررات جدید می‌تواند مانع از آن شود که ارائه‌دهندگان خدمات، صحت مجوز بیمار برای دسترسی اپلیکیشن‌های شخص ثالث (Third-party applications) به اطلاعات حساس پزشکی را تأیید کنند.
در نامه‌ای که به وزیر وزارت بهداشت و خدمات انسانی ایالات متحده (HHS) ارسال شده، کالج مدیران اطلاعات مراقبت‌های بهداشتی (CHIME) و ۱۷ سازمان دیگر تأکید کردند که این محدودیت‌ها می‌تواند ریسک نشت داده‌ها (Data Breach) و نقض حریم خصوصی را افزایش داده و ارائه‌دهندگان خدمات را در معرض مسئولیت‌های مدنی و نظارتی قرار دهد.
مخاطرات امنیتی و تأیید هویت
نگرانی اصلی این گروه‌ها این است که قوانین نهایی HIPAA ممکن است شامل موادی باشد که ارائه‌دهندگان را از تأیید مستقلِ اینکه آیا بیمار واقعاً به یک اپلیکیشن شخص ثالث اجازه دسترسی به اطلاعات حفاظت‌شده سلامت (PHI) را داده است یا خیر، منع کند. همچنین، نگرانی‌هایی در مورد استفاده از اعتبارنامه‌های سطح اطمینان هویت ۲ (IAL2) وجود دارد؛ این سازمان‌ها معتقدند که IAL2 اگرچه هویت فرد را تأیید می‌کند، اما لزوماً محدوده، مدت زمان یا اعتبار مجوز ارائه شده به اپلیکیشن را مشخص نمی‌کند.
این تحلیل نشان می‌دهد که تفکیک بین «اثبات هویت» (Identity proofing)، «تطبیق بیمار» (Patient matching) و «تأیید مجوز» (Authorization verification) برای حفظ امنیت داده‌ها حیاتی است. ادغام این فرآیندها در یک مرحله واحد می‌تواند منجر به ایجاد شکاف‌های امنیتی جدی شود.
پیامدهای قانونی و نظارتی
سازمان‌های امضاکننده هشدار می‌دهند که این محدودیت‌های احتمالی ممکن است با قانون رویه‌های اداری (Administrative Procedure Act) مغایرت داشته باشد. آن‌ها استدلال می‌کنند که اگر تغییرات در قوانین نهایی، تفاوت ماهوی با پیشنهادات قبلی داشته باشد، باید فرصت کافی برای نظرات عمومی و ارزیابی پیامدهای عملیاتی، حقوقی و امنیتی فراهم شود.
کارشناسان تأکید دارند که درخواست‌های جعلی برای دسترسی به PHI یک تهدید واقعی در دنیای واقعی است و محدود کردن توانایی ارائه‌دهندگان برای انجام بررسی‌های معقول، امنیت بیماران را به خطر می‌اندازد.
