HIPAA:s personalföreskrifter för vårdpersonal

HIPAA (Health Insurance Portability and Accountability Act) är en amerikansk lagstiftning som infördes för att skydda patienters personliga hälsouppgifter – oavsett om informationen överförs muntligt, skriftligt eller elektroniskt. All personal på vårdinrättningar, apotek och hos hälsoförsäkringsbolag har ansvar för att utföra sitt arbete i enlighet med HIPAA-föreskrifterna.

Skyddad information

All personlig, medicinsk eller ekonomisk information som skapas, tas emot eller förvaras av en vårdgivare eller en hälsoförsäkringsplan omfattas av HIPAA och betraktas som konfidentiell. Varje obehörig spridning av denna information – vare sig den mottagits muntligt, skriftligt eller elektroniskt – utgör en överträdelse av lagen.

HIPAA listar följande uppgifter som skyddad patientinformation (Protected Health Information, PHI), som inte får delas av personalen:

• Namn
• Postadress
• Alla delar av datumet utom året
• Telefonnummer
• Faxnummer
• E-postadress
• Webbadresser
• IP-adresser
• Personnummer (Social Security number)
• Kontonummer
• Licens- och legitimeringsnummer
• Journalnummer
• Förmånstagarnummer hos hälsoförsäkringen
• Enhetsidentifierare med tillhörande serienummer
• Fordonsidentifikationer och serienummer
• Biometriska identifierare, exempelvis fingeravtryck
• Foton av hela ansiktet samt andra bilder
• Alla övriga unika identifierande koder eller kännetecken

HIPAA gäller alla anställda vid en vårdinrättning, en hälsoförsäkringsplan eller ett apotek – inte enbart dem som kommer i direkt kontakt med patienter eller som utför vårdarbete.

Enligt HIPAA:s riktlinjer bör en anställd inte ens titta på en patients skyddade information om det inte är nödvändigt för att kunna utföra sina arbetsuppgifter.

Att dela information

En anställd får dela eller ta del av en patients information när det krävs för att utföra sitt arbete. Om det till exempel ingår i en medarbetares arbetsuppgifter att läsa laboratorieresultat, ge patienten hälsorådgivning eller förmedla patientinformation till en kollega, får personen komma åt informationen – men endast den minimala mängd uppgifter som behövs för att slutföra arbetsuppgiften.

Oavsiktliga överträdelser

HIPAA kan även överträdas genom oavsiktliga handlingar, till exempel att patientinformation lämnas synlig på datorskärmar eller att dokument tappas bort. Eftersom överträdelser av HIPAA är en allvarlig angelägenhet bör all personal på verksamheter som hanterar patientvård vidta vissa försiktighetsåtgärder för att undvika misstag.

Exempel på förebyggande åtgärder:

• Använda dokumentförstörare för att kassera handlingar som innehåller skyddad information när de inte längre behövs
• Skydda datorprogram som innehåller känslig information med lösenord
• Använda antivirusprogram
• Låsa datorer vid arbetsstationer som lämnas utan tillsyn

Slutligen gäller att all personal måste rapportera varje säkerhetsincident som kan leda till en överträdelse av HIPAA.