Health Insurance Portability and Accountability Act (HIPAA) ger federalt skydd för integriteten hos personlig hälsoinformation i USA. Programmet administreras av det amerikanska departementet för hälsa och socialtjänst (U.S. Department of Health and Human Services). Lagen tillåter dock att information lämnas ut i vissa situationer, exempelvis till en persons försäkringsbolag eller till andra vårdgivare. HIPAA innehåller även en särskild säkerhetsregel som fastställer standarder för hur medicinsk information som lagras elektroniskt ska skyddas.
Elektronisk personlig hälsoinformation (e-PHI) skyddas av den så kallade "Security Rule". Informationen får inte lämnas ut till obehöriga eller röjas på annat sätt, samtidigt som journalerna måste vara tillgängliga för de personer som har behörighet att ta del av dem. Säkerhetsregeln skyddar också mot att data ändras eller förstörs på otillåtna sätt.
Hur regeln implementeras är dock inte reglerat i detalj. En liten mottagning kan därför ha ett annat sätt att hantera journaler än ett sjukhus med verksamhet över hela landet.
Säkerhetsåtgärder måste finnas på plats som begränsar möjligheten för obehörig personal att ta del av journalerna. Detta kallas "Facility Access and Control".
Den så kallade "covered entity" – alltså den verksamhet som förvarar journalerna, exempelvis en läkarmottagning – måste enligt HIPAA använda policys och rutiner för "korrekt användning av och åtkomst till arbetsstationer och elektroniska media". Detta gäller även vid utskick av journaler, borttagning av filer, förstörelse av filer samt återanvändning av elektroniska media, exempelvis en skrivbar CD-skiva.
Policys måste tas fram och användas för hårdvara och mjukvara för att dokumentera vem som har tagit del av informationen. Det måste dessutom finnas rutiner för att granska vilka som har haft åtkomst till journalerna. System ska även finnas på plats för att skydda journalerna från att ändras eller förstöras – exempelvis kan ett säkerhetskopieringssystem användas för att skydda de elektroniska data. Skydd måste dessutom erbjudas under överföringen av data, vilket vanligtvis innebär ett IT-säkerhetssystem.
Den täckta verksamheten måste åtgärda eventuella överträdelser, exempelvis om en obehörig person ändå skulle få tillgång till konfidentiella journaler. Enligt HIPAA måste "rimliga åtgärder" vidtas för att lösa situationen. Det betraktas som en överträdelse om verksamheten saknar skyddsåtgärder som åtkomstkontroll.
Policys och rutiner måste finnas på plats för att vårda och underhålla journalerna. Enligt gällande HIPAA-regel ska dokumentation av policys, rutiner samt erforderliga skriftliga åtgärder sparas i sex år från det datum då de skapades eller från det "senaste giltighetsdatumet". Verksamheten måste också genomföra regelbundna granskningar av sina journaler och införa nya riktlinjer vid behov. Security Rule ställer däremot inga krav på hur länge själva patientjournalerna ska sparas.
Hälsa och Sjukdom © https://www.sjukdom.online