Arkiveringskrav för HIPAA-dokument

Health Insurance Portability and Accountability Act (HIPAA) är en amerikansk federal lagstiftning som infördes 1996 för att skydda patienters integritet och personuppgifter. Lagen, som ändrades 2003, skyddar patienters medicinska och personliga journaler – både digitalt och på papper – mot tredje part och andra aktörer som kan tänkas använda informationen för egen vinning. Lagringstiderna för journaler och dokument som anges i lagen är specifika, men HIPAA lämnar samtidigt stort utrymme för delstaterna att ställa egna, kompletterande krav.

Lagringstid

Enligt American Speech-Language Hearing Association kräver den federala regeringen att juridiska medicinska enheter som omfattas av HIPAA-regelverket arkiverar eller bevarar medicinska och personliga handlingar i minst sex år. Sex år är den nationella standarden för efterlevnad av federala krav som alla medicinska företag och verksamheter måste följa. Utöver detta har varje enskild delstat antagit ytterligare lagar om integritetsskydd och lagring utöver de federala standarderna.

Dokument som ska arkiveras

HIPAA-dokument som måste arkiveras inkluderar all patientinformation som rör användning och utlämnande av uppgifter, avtal med affärspartners, samtyckesformulär, meddelanden om informationshantering, svar till patienter som vill ändra eller korrigera sina uppgifter, register över klagomål samt patientens skriftliga invändningar. Om en patient avlider kräver HIPAA att journalerna arkiveras i minst två ytterligare år efter dödsdatumet.

Så går arkiveringen till

Enligt HIPAA-lagarna måste elektroniska data arkiveras i ett säkert nätverk som kräver lösenord och säkerhetskoder för att garantera informationens säkerhet och integritet. Pappershandlingar och journaler ska förvaras i en låda eller behållare som inte kan granskas eller läsas av anställda eller allmänheten förrän kasseringstiden har gått ut. En vanlig metod är att arkivera handlingarna per månad och datum för enklare kassering, eftersom korrekt och regelrätt kassering är obligatoriskt. För att få arkivera journaler måste den medicinska verksamheten uppfylla HIPAA:s efterlevnadskrav för att betraktas som en så kallad covered entity, det vill säga en täckt verksamhet enligt lagen.