HIPAA:s säkerhetsregler och riktlinjer

År 1996 införde USA:s departement för hälsa och socialtjänst (Department of Health and Human Services, HHS) lagen Health Insurance Portability and Accountability Act (HIPAA) i syfte att skydda integriteten hos hälso- och sjukvårdsinformation. Säkerhetsregeln (Security Rule), som trädde i kraft 2005, fastställer ytterligare standarder för skyddet av elektronisk information inom vården.

Säkerhetsregeln

Säkerhetsregeln fokuserar enbart på skyddet av "elektronisk skyddad hälsoinformation", även kallad e-PHI (electronic protected health information). Detta är en allt viktigare aspekt i takt med att fler vårdgivare övergår till digitala system. Enligt HHS webbplats är ett av säkerhetsregelns huvudmål att "skydda enskilda personers hälsouppgifter samtidigt som täckta verksamheter ges möjlighet att införa ny teknik för att förbättra kvaliteten och effektiviteten i patientvården".

Verksamheter som omfattas av säkerhetsregeln är alla vårdgivare, försäkringsplaner och clearinghus som överför hälsoinformation elektroniskt.

Allmänna regler och riktlinjer

Enligt HHS webbplats är verksamheter som omfattas av säkerhetsregeln skyldiga att införa och upprätthålla "skäliga och lämpliga administrativa, tekniska och fysiska skyddsåtgärder" för att skydda e-PHI. Det innebär att verksamheterna måste kunna garantera integriteten, tillgängligheten och sekretessen för all e-PHI som de ansvarar för.

Verksamheterna måste dessutom skydda informationen genom att identifiera och vidta åtgärder mot "otillåten användning eller utlämnande" av uppgifter, samt mot potentiella hot mot informationens säkerhet eller integritet. Att utbilda alla anställda som har tillgång till e-PHI och säkerställa deras efterlevnad av reglerna är en central del av arbetet.

Eftersom både teknik och sjukvårdspraxis ständigt förändras bör efterlevnadsåtgärder dokumenteras, utvärderas och uppdateras regelbundet.

Vem ansvarar för tillsynen?

Enligt HHS webbplats är Office for Civil Rights (OCR) ansvarig myndighet för att verkställa säkerhetsregeln, bland annat genom "frivilliga efterlevnadsinsatser och civila penningböter". OCR kan även genomföra undersökningar av täckta verksamheter för att säkerställa att reglerna följs.