Preocupaciones Éticas y de Privacidad de ArcGIS Online: Cumplimiento HIPAA

Question

Trabajo en un hospital académico que cumple con HIPAA, en un rol de investigación, creando una herramienta de mapeo web personalizable y análisis de datos ecológicos. Antes de 2018, usaba únicamente ArcMap, que sentía que podía equilibrar la privacidad con la necesidad de análisis y mapeo de datos espaciales. En 2018, comencé a utilizar ArcGIS Pro y Online, pero tuve algunos problemas con las preocupaciones de privacidad y HIPAA, y tenía la intención de usar software de código abierto, como QGIS hasta que ESRI encontrara una manera de equilibrar la privacidad con el análisis espacial.<\/P> Como forma de anticiparme, me inscribí en un posgrado en GIS, con concentración en programación. Aprendí a programar herramientas de mapeo de escritorio y web mientras descubría cómo equilibrar la privacidad y el análisis espacial. En 2020, al hacer mi proyecto final, mi mentor me asignó redearrollar una herramienta de mapeo web que usa datos ecológicos relacionados con la salud. Sin embargo, al revisar ArcGIS Online no tenía la funcionalidad que necesitábamos, lo que requirió que aprendiera Dojo JavaScript. Al revisar las directrices técnicas en ese momento, el departamento de TI estaba preocupado porque la funcionalidad del mapeo web no cumplía con HIPAA; por lo tanto, terminé mi uso de ArcGIS Online y utilicé ArcGIS Pro, similar a ArcMap, que debe ser revisado minuciosamente por el personal de TI del hospital para asegurar que no exista información sanitaria identificable personalmente (PHI), a menos que esté aprobado por una junta institucional de revisión (IRB) para investigación o un proyecto de mejora de calidad, que NIH considera como no investigación debido a que no genera conocimiento generalizable (https:\/\/grants.nih.gov\/policy-and-compliance\/policy-topics\/human-subjects\/research)<\/A>. Para mi proyecto final desarrollé una herramienta de mapeo web y usé una encuesta de evaluación de usabilidad; el IRB la consideró sin consideración para sujetos humanos, lo cual se hizo durante COVID, pero a pesar del tamaño pequeño de muestra produjo buenos resultados (https:\/\/pubmed.ncbi.nlm.nih.gov\/35496652\/<\/A>).<\/P>Sin embargo, para la herramienta de mapeo web mi mentor y yo decidimos utilizar Leaflet JavaScript, un equivalente de código abierto junto con otras soluciones en GitHub para desarrollar la herramienta. Recomiendo a quienes usan ArcGIS Online tener cuidado para asegurar que los datos garanticen preocupaciones sobre privacidad y confidencialidad. Recientemente obtuve mi certificación profesional GIS (GISP) y tomé un curso preparatorio para el examen; me sorprendió la falta de conocimiento sobre HIPAA y preocupaciones de privacidad. En 2022 lo trasladé al sitio web del hospital, donde hasta hace poco mi sitio basado en código funcionaba sin problemas. De hecho desarrollé un artículo técnico sobre cómo fue desarrollado ( https:\/\/www.ncbi.nlm.nih.gov\/pmc\/articles\/PMC10665118\/<\/A>). Después de la publicación desarrollé mapeo bivariado y otras funcionalidades y actualicé los conjuntos de datos. Sin embargo, en 2024 el hospital cambió a un sitio web automatizado con código mínimo y ahora el sitio no puede enlazar con el servidor del hospital. Sin embargo, con ArcGIS Online aún está en zona gris si cumple HIPAA y protege la privacidad del paciente; algo tiene que ceder.<\/P>Mi pregunta es cómo usar mejor ArcGIS Online y ArcGIS Pro para proteger la privacidad y consideraciones éticas.<\/P>

EsteGeraghtyMD · Answer

Hello NathanielGeyer!

My name is Este Geraghty and I'm the Chief Medical Officer at Esri. We have worked hard over the last decade on this issue of ensuring our customers have the resources they need to deal with PHI in their work. Here are some of those resources:

* This Thursday, October 9, 10-11am PDT, we have a webinar, "Balancing Privacy, Security and Location Intelligence in Healthcare. You can register here: https://www.esri.com/en-us/webinars/industry/health-and-human-services/transforming-healthcare-with-gis/balancing-privacy-security-location-intelligence-in-healthcare
* We have 2 lessons to help you with geocoding and data de-identification procedures in our free Health GIS Curriculum. The entire curriculum is here: https://health-gis-curriculum-learngis.hub.arcgis.com/  
* The geocoding lesson is here: https://learn.arcgis.com/en/projects/protect-patient-data-when-geocoding/ 
* The data de-identification lesson is here: https://learn.arcgis.com/en/projects/de-identify-health-data-for-visualization-and-sharing/

* You can always review our policies on privacy and security at our 'trust' website here: https://trust.arcgis.com/en/ and specifically see our HIPAA page here: https://trust.arcgis.com/en/compliance/hipaa.htm#GUID-737EDAE3-E47B-44F0-8C2D-E0BD568AEF0E . In fact, since about 2019, ArcGIS Online has been HIPAA aligned so that you can geocode your data safely in the platform. Last year, AGOL was upgraded to FedRamp Moderate for security which also aligns well with HIPAA. Organizationally, you need to determine if FedRamp Moderate meets your needs for data storage in AGOL, but the geocoding, within North America, is safe. Again, see the lesson above for a review of best practices when geocoding PHI.

Hope that helps!

Best,

Este (egeraghty@esri.com)