HIPAA:s implementeringskrav – Så efterlevs lagen inom hälso- och sjukvården

Health Insurance Portability and Accountability Act (HIPAA) från 1996 skapade nationella standarder för hur enskilda personers privata hälso- och sjukvårdsinformation ska hanteras och skyddas. För att organisationer ska kunna efterleva lagstiftningen finns tydliga specifikationer för hur HIPAA ska implementeras i praktiken inom vården.

Skriftliga policyer och utsett ansvar

Hälso- och sjukvårdsorganisationer måste ha skriftliga policyer och rutiner som är förenliga med HIPAA:s regelverk. Utöver detta krävs att en särskild person utses med ansvar för att skyddad hälsoinformation hålls privat och säker.

Denna ansvarige har flera viktiga uppgifter:

• Utbildning – informera övriga anställda om de riktlinjer som HIPAA fastställer.
• Övervakning – säkerställa att alla regelverk följs i den dagliga verksamheten.
• Uppföljning – vidta disciplinära åtgärder mot anställda som inte efterlever HIPAA:s krav.

Varför specifikationerna är viktiga

Genom att kräva att organisationer upprättar sina policyer och rutiner skriftligen, samt utser en särskild person med ansvar för regelefterlevnad, hålls verksamheten accountable – det vill säga ansvarig för sitt skydd av patientdata. Detta minskar risken för slarv och otydlighet i hanteringen av känslig information.

Specifikationerna gör det dessutom enklare och snabbare för organisationer att uppnå full efterlevnad av regelverket kring integritet och datasäkerhet. Med tydliga riktlinjer att följa blir vägen till compliance både kortare och mindre kostsam.

Hybridentiteter – vad gäller för delvis vårdrelaterade organisationer?

Vissa organisationer bedriver bara delvis vårdrelaterad verksamhet. En sådan organisation kan klassificeras som en så kallad hybridentitet, om endast ett urval av dess funktioner uppfyller kraven för att betraktas som en täckt enhet ("covered entity") enligt HIPAA.

För att få denna status måste organisationen skriftligt dokumentera exakt vilka delar av verksamheten som är vårdrelaterade och därmed omfattas av HIPAA:s regler. Sker inte detta gäller lagstiftningen i stället för hela organisationen – något som ofta innebär betydligt större administrativ börda.

Sammanfattning

HIPAA:s implementeringskrav bygger på tre grundpelare: skriftliga policyer, ett utpekat säkerhetsansvar och tydlig dokumentation av vilka verksamhetsdelar som omfattas. Organisationer som underlåter att efterleva kraven riskerar betydande böter och sanktioner, vilket gör en strukturerad implementering avgörande för varje aktör inom hälso- och sjukvården.