Sanità e finanza: HIPAA, FTC Safeguards Rule, NY DFS Part 500

HIPAA: a chi si applica

Le regole della HIPAA sulla sicurezza riguardano gli enti coperti (covered entities) e i loro business associates. Gli enti coperti sono i piani sanitari, i centri di elaborazione dei dati sanitari (health care clearinghouses) e i prestatori di cure che trasmettono informazioni sanitarie in forma elettronica per le transazioni previste dalla normativa (45 C.F.R. § 160.103). Il business associate è chi, per conto di un ente coperto, crea, riceve, conserva o trasmette informazioni sanitarie protette, oppure gli presta servizi legali, contabili, di consulenza, di gestione, amministrativi o finanziari che comportano la comunicazione di quelle informazioni. La Security Rule (regola sulla sicurezza) riguarda le informazioni sanitarie protette in forma elettronica, dette ePHI.

La cifratura nella Security Rule: «addressable»

La cifratura compare due volte tra le misure tecniche del § 164.312:

«(iv) Encryption and decryption (Addressable). Implement a mechanism to encrypt and decrypt electronic protected health information.»

«(ii) Encryption (Addressable). Implement a mechanism to encrypt electronic protected health information whenever deemed appropriate.»

La prima riguarda il controllo degli accessi, quindi anche i dati conservati (lettera (a)(2)(iv)); la seconda la sicurezza delle trasmissioni in rete (lettera (e)(2)(ii)). Il § 164.306(d) spiega che cosa vuol dire addressable, a differenza di required (obbligatorio): l'ente deve valutare se la misura è ragionevole e appropriata nel proprio contesto, considerando quanto contribuisce a proteggere i dati; se lo è, deve adottarla; se non lo è, deve documentare perché e adottare una misura alternativa equivalente, se questa è ragionevole e appropriata. Nella scelta contano le dimensioni e le capacità dell'ente, la sua infrastruttura tecnica, i costi e la probabilità e gravità dei rischi (§ 164.306(b)(2)).

La proposta del 2025

Il 6 gennaio 2025 l'HHS ha pubblicato nel Federal Register una proposta di modifica della Security Rule (90 Fed. Reg. 898), con osservazioni fino al 7 marzo 2025. La proposta elimina la distinzione tra misure required e addressable e prevede un nuovo § 164.312(b)(2) che imporrebbe di cifrare tutti i dati sanitari elettronici, conservati e trasmessi, con eccezioni limitate. Nel testo l'HHS scrive che la propria esperienza di controllo la porta a ritenere che addressable venga frainteso come «optional». Alla data di verifica una ricerca nel Federal Register per il numero di identificazione della procedura (RIN 0945-AA22) non restituisce una regola definitiva, e il testo del Code of Federal Regulations aggiornato al 22 settembre 2026 classifica ancora la cifratura come addressable.

Se i dati sanitari vengono violati: l'esenzione per i dati cifrati

La regola sugli avvisi riguarda solo le informazioni sanitarie protette unsecured (non messe in sicurezza), cioè quelle non rese inutilizzabili, illeggibili o indecifrabili per chi non è autorizzato con una tecnologia o metodologia indicata dall'HHS (§ 164.402). Le indicazioni dell'HHS, nella pagina «Guidance to Render Unsecured Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals», chiedono due cose:

1. Una cifratura conforme. Per i dati conservati, processi coerenti con la NIST Special Publication 800-111; per i dati in transito, processi conformi, secondo i casi, alle Special Publications 800-52 (TLS), 800-77 (VPN IPsec) o 800-113 (VPN SSL), o altri convalidati secondo lo standard FIPS 140-2.
2. Una chiave rimasta segreta. Il processo o la chiave che permettono di decifrare non devono essere stati compromessi; per questo gli strumenti di decifrazione vanno conservati su un dispositivo o in un luogo separati dai dati.

Quando invece i dati coinvolti sono unsecured, ogni uso o divulgazione non consentiti si presume una violazione, salvo che una valutazione del rischio basata su almeno quattro fattori dimostri una bassa probabilità di compromissione (§ 164.402), e l'ente coperto deve avvisare le persone senza ingiustificato ritardo e comunque entro 60 giorni di calendario dalla scoperta (§ 164.404). Le leggi statali sulle violazioni di dati si aggiungono: vedi Le leggi statali sulle violazioni di dati.

FTC Safeguards Rule: le istituzioni finanziarie vigilate dalla FTC

La Safeguards Rule della Federal Trade Commission (16 C.F.R. parte 314) si applica alle istituzioni finanziarie di competenza della FTC, cioè quelle non soggette a un'altra autorità di vigilanza secondo il Gramm-Leach-Bliley Act. Il § 314.1 ne elenca molte: tra le altre, chi concede mutui o prestiti, i mediatori creditizi, i servizi di incasso di assegni e di trasferimento di denaro, le agenzie di viaggio collegate a servizi finanziari, le agenzie di recupero crediti, i consulenti finanziari, i preparatori di dichiarazioni dei redditi, i consulenti per gli investimenti non tenuti a registrarsi presso la SEC. La regola sulla cifratura è netta:

«Protect by encryption all customer information held or transmitted by you both in transit over external networks and at rest.»

Se la cifratura in transito o a riposo è impraticabile, l'istituzione può proteggere le informazioni con controlli alternativi efficaci, esaminati e approvati dal responsabile della sicurezza designato (Qualified Individual) (§ 314.4(c)(3)). Per la regola, cifrare vuol dire trasformare i dati in una forma a cui è poco probabile attribuire un significato senza un processo o una chiave di protezione, secondo gli standard crittografici attuali e con garanzie adeguate per le chiavi (§ 314.2). Le istituzioni con meno di 5.000 consumatori sono esentate da alcune disposizioni (§ 314.6), ma non da quella sulla cifratura.

Con una modifica pubblicata il 13 novembre 2023 è stato aggiunto un avviso alla FTC: se un evento riguarda le informazioni di almeno 500 consumatori, va comunicato il prima possibile e comunque entro 30 giorni dalla scoperta (§ 314.4(j)). L'evento da comunicare è l'acquisizione non autorizzata di informazioni dei clienti non cifrate, e le informazioni si considerano non cifrate se la chiave è stata raggiunta da una persona non autorizzata (§ 314.2).

New York: 23 NYCRR Part 500

La regolamentazione sulla sicurezza informatica del Department of Financial Services (DFS) di New York riguarda le covered entities: chiunque operi, o debba operare, con una licenza, una registrazione, una autorizzazione o un titolo simile rilasciati in base al Banking Law, all'Insurance Law o al Financial Services Law dello Stato, anche se è vigilato da altre autorità (500.1). La norma sulla cifratura, nel testo modificato dalla seconda modifica del 2023, è il 500.15:

• ogni entità deve adottare una politica scritta che imponga una cifratura conforme agli standard del settore per proteggere le informazioni non pubbliche conservate o trasmesse, sia in transito sulle reti esterne sia a riposo;
• se la cifratura dei dati a riposo è impraticabile, si possono usare controlli alternativi efficaci, esaminati e approvati per iscritto dal responsabile della sicurezza informatica (CISO), che ogni anno rivede sia la fattibilità della cifratura sia l'efficacia dei controlli. Per i dati in transito il testo non prevede questa alternativa.

Le informazioni non pubbliche comprendono le informazioni aziendali la cui divulgazione danneggerebbe l'entità, i dati personali combinati con elementi come il numero di previdenza sociale, i numeri di conto o di carta, i codici di accesso e i dati biometrici, e le informazioni sanitarie. Le entità più piccole (meno di 20 dipendenti e collaboratori, oppure meno di 7,5 milioni di dollari di ricavi annui negli ultimi tre esercizi, oppure meno di 15 milioni di attivo, calcolati come dice la norma) sono esentate dal 500.15 e da altre disposizioni, ma devono presentare una comunicazione di esenzione entro 30 giorni (500.19). Gli incidenti informatici vanno comunicati al DFS al più presto e comunque entro 72 ore da quando si accerta che si sono verificati, anche presso società collegate o fornitori (500.17).

Le tre regole a confronto

Casi frequenti

• «Per la HIPAA cifrare è obbligatorio?» Nel testo in vigore la cifratura è addressable: se si decide di non adottarla bisogna documentare perché e adottare un'alternativa equivalente, se ragionevole. La proposta del 2025 la renderebbe obbligatoria, ma alla data di verifica non è definitiva.
• «È stato rubato un portatile cifrato con dati di pazienti.» Se la cifratura rispetta le indicazioni dell'HHS e la chiave non è stata compromessa, i dati non sono unsecured e gli avvisi della HIPAA non scattano. Restano da considerare le leggi statali.
• «La filiale newyorkese di una banca o di un'assicurazione italiana.» Se opera con un'autorizzazione rilasciata in base al Banking Law, all'Insurance Law o al Financial Services Law di New York, è una covered entity anche se è vigilata da altre autorità.

Fonti

45 C.F.R. §§ 160.103, 164.306, 164.312, 164.402, 164.404 e 164.408 (eCFR, testo aggiornato al 22 settembre 2026); Department of Health and Human Services, «Guidance to Render Unsecured Protected Health Information Unusable, Unreadable, or Indecipherable to Unauthorized Individuals» (hhs.gov, contenuto rivisto il 26 luglio 2013); HHS, «HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information», proposta, 90 Fed. Reg. 898 (6 gennaio 2025), e ricerca nel Federal Register per RIN 0945-AA22; 16 C.F.R. §§ 314.1, 314.2, 314.4 e 314.6 (eCFR, con la modifica di 88 Fed. Reg. 77508 del 13 novembre 2023); 23 NYCRR Part 500, §§ 500.1, 500.15, 500.17, 500.19 e 500.22, nel testo della seconda modifica pubblicato dal Department of Financial Services (dfs.ny.gov), che lo indica come versione non ufficiale. Verificato il 24 settembre 2026.