ArcGIS Online Ethische en Privacyzorgen: HIPAA-naleving

Question

Ik werk in een HIPAA-conforme academische ziekenhuisomgeving, in een onderzoeksfunctie, waarbij ik aanpasbare webmappingtools en ecologische data-analyses ontwikkel. Voor 2018 gebruikte ik uitsluitend ArcMap, waarvan ik vond dat het privacy kon balanceren met de behoefte aan ruimtelijke data-analyse en mapping. In 2018 begon ik ArcGIS Pro en Online te gebruiken, maar had enkele problemen met privacy en HIPAA-zorgen, en wilde open-source software gebruiken, zoals QGIS, totdat ESRI een manier vond om privacy te balanceren met ruimtelijke data-analyse.<\/P> Om voorop te lopen schreef ik me in voor een masteropleiding GIS, met een specialisatie in programmeren. Ik leerde desktop- en webmappingtools programmeren terwijl ik uitzocht hoe privacy en ruimtelijke analyse in balans te brengen. In 2020, tijdens mijn afstudeerproject, gaf mijn mentor me de opdracht om een webmappingtool te herontwikkelen die gezondheidsgerelateerde ecologische data gebruikt. Echter, bij het bekijken van ArcGIS Online bleek dat het niet de functionaliteit had die we nodig hadden, wat vereiste dat ik Dojo JavaScript leerde. Volgens de technische richtlijnen was de IT-afdeling destijds bezorgd dat de webmappingfunctionaliteit niet HIPAA-conform was, daarom stopte ik met mijn ArcGIS Online-functionaliteit en gebruikte ArcGIS Pro, vergelijkbaar met ArcMap, wat grondig moet worden beoordeeld door het ziekenhuis IT-personeel om te verzekeren dat er geen persoonlijk identificeerbare gezondheidsinformatie (PHI) aanwezig is, tenzij goedgekeurd door een institutionele beoordelingscommissie (IRB) voor onderzoek of een kwaliteitsverbeteringsproject, wat NIH als niet-onderzoek beschouwt omdat het geen generaliseerbare kennis genereert (https:\/\/grants.nih.gov\/policy-and-compliance\/policy-topics\/human-subjects\/research)<\/A>. Voor mijn afstudeerproject ontwikkelde ik een webmappingtool en gebruikte een bruikbaarheidsbeoordelingsenquête, en de IRB beschouwde het als niet-menselijke proefpersonen overweging, wat tijdens COVID werd gedaan, maar ondanks de kleine steekproefgrootte goede resultaten opleverde (https:\/\/pubmed.ncbi.nlm.nih.gov\/35496652\/<\/A>).<\/P>Echter besloten mijn mentor en ik voor de webmappingtool Leaflet JavaScript te gebruiken, een open-source equivalent met andere oplossingen op GitHub om de webmappingtool te ontwikkelen. Mijn aanbeveling voor mensen die ArcGIS Online gebruiken is voorzichtig te zijn dat de data privacy- en vertrouwelijkheidszorgen waarborgt. Onlangs behaalde ik mijn GIS professional (GISP) certificering en volgde een examenvoorbereidingscursus waarbij ik geschokt was over het gebrek aan kennis over HIPAA en privacyzorgen. In 2022 verplaatste ik het naar de ziekenhuiswebsite, waar mijn code-gebaseerde website tot voor kort zonder zorgen werkte. Sterker nog, ik ontwikkelde een technisch artikel over hoe het ontwikkeld werd ( https:\/\/www.ncbi.nlm.nih.gov\/pmc\/articles\/PMC10665118\/<\/A>). Na publicatie ontwikkelde ik bivariate mapping en andere functionaliteiten en werkte de datasets bij. Echter, in 2024 stapte het ziekenhuis over op een geautomatiseerde website met minimale code en kan de website nu niet meer linken naar de ziekenhuisserver. Met ArcGIS Online blijft het onduidelijk of het HIPAA-conform is en patiëntprivacy beschermt; er moet iets veranderen. <\/P>Mijn vraag is hoe ArcGIS Online en ArcGIS Pro beter kunnen worden gebruikt om privacy en ethische overwegingen te beschermen.<\/P>

EsteGeraghtyMD · Answer

Hello NathanielGeyer!

My name is Este Geraghty and I'm the Chief Medical Officer at Esri. We have worked hard over the last decade on this issue of ensuring our customers have the resources they need to deal with PHI in their work. Here are some of those resources:

* This Thursday, October 9, 10-11am PDT, we have a webinar, "Balancing Privacy, Security and Location Intelligence in Healthcare. You can register here: https://www.esri.com/en-us/webinars/industry/health-and-human-services/transforming-healthcare-with-gis/balancing-privacy-security-location-intelligence-in-healthcare
* We have 2 lessons to help you with geocoding and data de-identification procedures in our free Health GIS Curriculum. The entire curriculum is here: https://health-gis-curriculum-learngis.hub.arcgis.com/  
* The geocoding lesson is here: https://learn.arcgis.com/en/projects/protect-patient-data-when-geocoding/ 
* The data de-identification lesson is here: https://learn.arcgis.com/en/projects/de-identify-health-data-for-visualization-and-sharing/

* You can always review our policies on privacy and security at our 'trust' website here: https://trust.arcgis.com/en/ and specifically see our HIPAA page here: https://trust.arcgis.com/en/compliance/hipaa.htm#GUID-737EDAE3-E47B-44F0-8C2D-E0BD568AEF0E . In fact, since about 2019, ArcGIS Online has been HIPAA aligned so that you can geocode your data safely in the platform. Last year, AGOL was upgraded to FedRamp Moderate for security which also aligns well with HIPAA. Organizationally, you need to determine if FedRamp Moderate meets your needs for data storage in AGOL, but the geocoding, within North America, is safe. Again, see the lesson above for a review of best practices when geocoding PHI.

Hope that helps!

Best,

Este (egeraghty@esri.com)