Så påverkar HIPAA organisationer – krav, rutiner och sanktioner

HIPAA (Health Insurance Portability and Accountability Act) från 1996 fastställer de juridiska kraven för skydd av personlig hälsouppgift. Lagen påverkar alla organisationer som använder elektronisk lagring och överföring av individers journaler och hälsodata.

De organisationer som måste följa HIPAA omfattar vårdgivare, försäkringsbolag, sjukförsäkringsplaner, vårdclearinghus samt så kallade business associates – externa partners som hanterar dessa organisationers data. Även vissa arbetsgivare omfattas av lagens krav.

Säkerhet och åtkomst till patientinformation

Sjukhus och andra vårdgivare måste skydda sekretessen för "individuellt identifierbar hälsouppgift", oavsett om den finns på papper, kommuniceras muntligt eller lagras elektroniskt. Organisationerna måste ha tydliga policyer som definierar rollbaserad åtkomst till personlig hälsouppgift i syfte att behandling, betalning eller verksamhetsstyrning. Endast personal med ett konkret behov av att känna till specifik information får tillgång till elektroniska patientjournaler.

Allmänintresse och samhällsnyttiga ändamål

Organisationer måste känna till de nationella prioriteringar som tillåter utlämning av skyddad hälsouppgift utan patientens eller dennes ombuds samtycke. HIPAA identifierar tolv "allmänintresseändamål", var och en med begränsningar och villkor som ska balansera allmänintresset mot den personliga integriteten. Några av de tillåtna utlämnandena inkluderar återkallanden av FDA-godkända medicintekniska produkter, skydd av offer för våld i hemmet, misshandel och vanvård, fall som rör misstänkt brottslighet samt svar på domstolsbeslut.

Arbetsgivare

Arbetsgivare kan ta emot skyddad hälsouppgift om en anställds arbetsskada. Om en arbetsgivare har en företagssköterska på plats, erbjuder ett hälsofrämjande program för anställda eller har en egenfinansierad försäkringsplan, måste arbetsgivaren erbjuda samma skydd för integritet och säkerhet gällande personliga hälsoposter som sjukhus och läkarmottagningar gör.

Löpande utbildning

Arbetsgivare som omfattas av HIPAA måste utbilda nyanställda och genomföra kompletterande utbildning när nya HIPAA-regler införs. Utbildning måste även hållas i aftermathet av eventuella HIPAA-överträdelser.

Organisationer som erbjuder flexibla sparkonton

Om en arbetsgivare erbjuder ett Flexible Spending Account (FSA), som låter anställda avsätta skattefria pengar för egna medicinska kostnader, måste arbetsgivaren säkerställa att FSA-förvaltaren uppfyller HIPAA:s efterlevnadskrav. Arbetsgivare kan också behöva ett HIPAA-kompatibelt "business associate"-avtal med FSA-förvaltaren.

Skriftlig rutin för utredning av klagomål

Organisationer bör ha en skriftlig plan för att utreda HIPAA-relaterade klagomål. HIPAA-reglerna kräver inte en skriftlig rutin, men organisationer kan använda sina planer som del av dokumentationen över de åtgärder som vidtagits för att utreda, åtgärda och lösa klagomål. Utredningsdokumentationen kan också förebygga att problematiska processer upprepas. HIPAA kan ge organisationer 30 dagar på sig att rätta en oavsiktlig överträdelse.

Vite och sanktionsavgifter

Organisationer som inte följer HIPAA:s krav på att skydda integriteten och säkerheten för skyddad hälsouppgift kan böta från 100 till 50 000 dollar eller mer per överträdelse. Office for Civil Rights måste underrätta organisationen om bristande efterlevnad av HIPAA-kraven, och organisationen får därefter möjlighet att lämna in bevis som kan minska påföljdens storlek.