Så undviker du överträdelser av HIPAA

Den ökade användningen av teknik inom sjukvården gör det möjligt för vårdgivare, försäkringsbolag och patienter att snabbt få tillgång till medicinska journaler. Den elektroniska överföringen av skyddad hälsoinformation (PHI – Protected Health Information) innebär dock risker för dataintrång och missbruk. År 1996 antogs lagen Health Insurance Portability and Accountability Act (HIPAA) med två syften: att fastställa nationella standarder för elektronisk överföring av PHI och att ge patienterna ytterligare skydd för sin hälsoinformations integritet.

Organisationer som omfattas av HIPAA kan drabbas av betydande böter, och enskilda personer kan i värsta fall dömas till fängelse för överträdelser. För att undvika anmälningar och utredningar kan berörda verksamheter vidta proaktiva åtgärder för att säkerställa full efterlevnad.

Instruktioner

1. 1. Granska riktlinjer för patientintegritet

   Gå igenom organisationens policyer och rutiner kopplade till patientintegritet. HIPAA:s sekretessregel (Privacy Rule) beskriver vem som får tillgång till en persons PHI och hur informationen får användas. Organisationer är skyldiga att utse en sekretessansvarig (Privacy Officer) som övervakar efterlevnaden av reglerna.

   Se dessutom till att varje patient får en skriftlig redogörelse för sekretesspraxis och att informationen finns tydligt synlig på verksamheten. Redogörelsen ska klargöra när och hur patientens PHI får lämnas ut. För användning utanför vad HIPAA tillåter krävs alltid patientens skriftliga samtycke.

2. 2. Säkerställ informationssäkerheten kring PHI

   Granska policyerna och rutinerna för säkerhet kring PHI. HIPAA:s säkerhetsregel (Security Rule) ställer krav på administrativt, fysiskt och tekniskt skydd av informationen. För att uppnå efterlevnad kräver HIPAA att organisationen utser en säkerhetsansvarig (Security Officer). Denna person ska leda analysen av säkerhetssystemen, identifiera och åtgärda eventuella säkerhetsrisker samt kontinuerligt övervaka efterlevnaden. Tillgången till PHI bör begränsas till endast de anställda som behöver den i sitt arbete, och informationen ska alltid skyddas med lösenord.

3. 3. Utbilda personalen

   Utbilda personalen i HIPAA och deras ansvar enligt lagen. Kaliforniens läkarförening rekommenderar att personalen årligen går igenom organisationens HIPAA-policyer och rutiner. Efter genomgången ska de anställda underteckna en bekräftelse på att de förstått innehållet. Håll dokumentationen lättillgänglig så att personalen enkelt kan återkomma till den vid behov.

4. 4. Kräv avtal med samarbetspartners

   Kräv att alla samarbetspartners som hanterar PHI skriver under ett avtal om att följa HIPAA. En samarbetspartner är en person eller ett företag som inte räknas som en täckt verksamhet men som ändå kommer i kontakt med PHI som en del av tjänsten de levererar, exempelvis en programvaruleverantör, advokat eller revisor.

5. 5. Hantera patienters begäranden korrekt

   Svara snarast på och följ upp patienternas begäranden om sina egna journaluppgifter. Patienter har rätt att få kopior av sina medicinska journaler, men inte originalen. Kopiorna ska lämnas ut inom 30 dagar från det att begäran gjordes. Om tidsfristen inte kan hållas måste patienten informeras om detta.