PHI = Personuppgifter om hälsa som hålls/överförs av skyddade entiteter (vårdgivare, försäkringsbolag, clearinghouse) eller affärspartners.
Tillåtna uppgiftslämnanden (Inget samtycke krävs)
- Vård: Delning med andra vårdgivare för samordning av vård.
- Betaldning: Fakturering till försäkringsbolag, ärendehantering, behörighetsverifiering.
- Vårdverksamhet: Kvalitetsförbättring, utbildning, behörighetsgivande, efterlevnad.
- Folkhälsa: Sjukdomsrapportering, vitalstatistik, FDA bivärkningsrapporter.
- Polis/Myndigheter: Domstolsorder, utskrifter, identifiering av misstänkta/offer (begränsat).
- Misshandel/Försummelse: Obligatorisk anmälan (barn, äldre, utsatta vuxna).
- Rättsmedicin, organdonation, forskning (IRB-undantagna), arbetsskadeförsäkring.
Uppgiftslämnanden som kräver patientens samtycke
- De flesta icke-vård/betaldning/verksamhet-användningar (marknadsföring, forskning, livförsäkring, arbetsgivare).
- Psykoterapianteckningar (särskilt skydd).
- Försäljning av PHI.
Patientens rättigheter
- Tillgång till och kopia av egna journaler (30 dagar, en 30-dagars förlängning).
- Begäran om rättelse.
- Redogörelse för uppgiftslämnanden (6 år).
- Begränsningsbegäran (inte skyldig att medge, utom vid helt egenbetald vård).
- Konfidentiell kommunikation (alternativ adress/telefon).
- Klagomål till OCR (HHS).
Minimi-kravet
Skyddade entiteter måste begränsa PHI till det minimi som behövs för syftet (utom vård, patientåtkomst, HIPAA-krävda).
Intrångsmeddelande
- Intrång av osäker PHI → meddela individer, HHS, media (om >500 drabbade i stat/jurisdiktion) inom 60 dagar.
