Health Insurance Portability and Accountability Act (HIPAA) kräver skyddsåtgärder för Protected Health Information (PHI) – all hälsoinformation kopplad till en individ.
Tre skyddskategorier
- Administrativa: Policyer/procedurer för PHI-användning/avslöjande, personalutbildning, åtkomsthantering, beredskapsplaner, business associate-avtal.
- Fysiska: Anläggningsåtkomstkontroller, arbetsplats/enhetssäkerhet, medieförstöring, maskininventering.
- Tekniska: Åtkomstkontroll (unika ID, kryptering), revisionskontroller, integritetskontroller, överföringssäkerhet (kryptering, TLS).
Business Associate Agreements (BAAs)
Krävs med alla tredjeparter som får tillgång till PHI. BAAs binder dem till HIPAA-efterlevnad.
Individuella rättigheter
- Tillgång till egen PHI
- Begär ändringar
- Begär begränsningar på användning/avslöjande
- Få redovisning av avslöjanden
- Lämna klagomål till HHS Office for Civil Rights
Skyldiga entiteter (vårdgivare, planer, clearinghus) måste implementera alla tre skyddstyper. Icke-efterlevnad riskerar signifikanta sanktioner.
