Sammanfattning av HIPAA:s säkerhetsregel

Health Insurance Portability and Accountability Act (HIPAA) är en amerikansk federal lagstiftning som ställer krav på vissa vårdaktörer att skydda patienters personuppgifter, samtidigt som den ger konsumenter rättigheter kring vem som får tillgång till denna information. Lagen innehåller särskilda regler om integritet och säkerhet som preciserar dessa bestämmelser närmare.

Privacy Rule – integritetsregeln

HIPAA:s Privacy Rule ger riktlinjer för både individer och organisationer, exempelvis läkare, vårdhem, sjukförsäkringsbolag och Medicare. Riktlinjerna beskriver hur dessa aktörer får använda och lämna ut så kallad skyddad hälsoinformation (Protected Health Information, PHI) – det vill säga data som direkt eller indirekt kan avslöja en patients identitet.

Security Rule – säkerhetsregeln

Säkerhetsregeln bygger vidare på integritetsregeln och behandlar skyddet av PHI i elektroniskt format, med målet att förhindra att informationen sprids till obehöriga mottagare. Detta kan bland annat innebära att e-postmeddelanden skyddas med krypteringsprogramvara eller att en ansvarsfriskrivning bifogas alla elektroniska meddelanden som skickas av verksamheten.

Breach Notification – anmälningsplikt vid intrång

Som en del av Health Information Technology for Economic and Clinical Health Act (HITECH Act) måste aktörer som omfattas av HIPAA underrätta berörda parter om oskyddad PHI har utsatts för ett intrång. Ett intrång föreligger när informationens säkerhet eller integritet har äventyrats på ett sätt som kan orsaka någon form av skada för de personer vars uppgifter kommit i orätta händer.