HIPAA:s sekretessregler för anställda – vad du behöver veta

Health Insurance Portability and Accountability Act (HIPAA) stiftades 1996 i USA. För att genomdriva de standarder som lagen fastställer utfärdade det amerikanska hälsodepartementet (Department of Health and Human Services, HHS) den så kallade Privacy Rule – sekretessregeln. Enligt HHS reglerar sekretessregeln hur skyddad hälsoinformation får användas, samt patientens rätt att förstå och kontrollera hur deras information får hanteras.

Regler för användning och utlämning av information

Principen om minsta nödvändiga mängd (”minimum necessary”) gäller all användning och utlämning av skyddad hälsoinformation. Det innebär att endast den minsta möjliga mängden information lämnas ut till så få personer som möjligt för det avsedda ändamålet.

Fullständig utlämning är dock tillåten i följande fall:

• När en vårdgivare begär informationen för användning i behandlingssyfte.
• När den skyddade personen eller dennes ombud begär informationen.
• När begäran sker med tillstånd från den skyddade personen.
• När utlämning eller användning krävs enligt lag eller inom ramen för en efterlevnadsutredning.

Krav på organisationer

Lagen ålägger administrativ personal att vidta vissa åtgärder för att säkerställa att organisationen – oavsett storlek – följer HIPAA och sekretessregeln. Dessa åtgärder inkluderar:

• Att implementera policys och rutiner.
• Att utse en integritetsansvarig som ansvarar för att utbilda personalen och övervaka att policys och rutiner följs.
• Att utbilda anställda om sekretessregeln.
• Att skapa skyddsåtgärder för att skydda hälsoinformation.
• Att hantera klagomål.
• Att informera de skyddade personerna om deras rättigheter.

Delstatlig lagstiftning

Om en delstatlig lag strider mot sekretessregeln – det vill säga om det skulle vara omöjligt för en anställd att samtidigt följa både delstatslagen och sekretessregeln – har den federala lagen och sekretessregeln företräde.

Tillsyn och påföljder

Sekretessregeln verkställs på flera sätt. Klagomål utreds, efterlevnadsgranskningar genomförs och utbildnings- samt informationsinsatser görs för att säkerställa att reglerna följs. Om bristande efterlevnad upptäcks vidtas särskilda åtgärder. Organisationen eller överträdaren ges först chansen att frivilligt rätt sig efter reglerna och erbjuds då hjälp att göra detta. Underlåter man att följa reglerna kan civilrättsliga penningböter utdömas, och vissa överträdelser kan även leda till åtal och kriminalisering.