HIPAA och individuellt identifierbar hälsoinformation – så fungerar skyddet

HIPAA, eller Health Insurance Portability and Accountability Act, blev lag i USA år 1996. Lagen täcker många olika aspekter av hälso- och sjukvården, bland annat möjligheten att behålla sitt försäkringsskydd vid byte av arbete, åtgärder mot vårdrelaterat bedrägeri och missbruk, standarder för medicinsk fakturering vid elektroniskt datautbyte samt integritets- och säkerhetsskyddet kring patientinformation. Individuellt identifierbar hälsoinformation omfattas av den del av HIPAA som reglerar patienters integritet.

HIPAA Title II

HIPAA är indelad i flera olika delar, så kallade "Titles". Delen "Administrative Simplification" inom HIPAA:s Title II behandlar integritet och säkerhet för skyddad hälsoinformation, eller PHI (Protected Health Information). "Privacy Rule" reglerar hur PHI får delas och lämnas ut i vilket format som helst, medan "Security Rule" hanterar frågor som rör elektroniskt skyddad hälsoinformation, e-PHI. PHI består i sin tur av individuellt identifierbar hälsoinformation.

Definition av IIHI

Individuellt identifierbar hälsoinformation, IIHI (Individually Identifiable Health Information), avser medicinska patientuppgifter som gör det möjligt att koppla informationen till en enskild person. IIHI innefatter delar av eller hela följande demografiska uppgifter:

• Namn eller del av namn
• Adress och postnummer
• Socialförsäkringsnummer
• Födelsedatum
• Telefonnummer
• Diagnos eller psykisk hälsostatus
• Arbetsgivare
• Anhöriga
• Faktureringsuppgifter
• Annan kombination av information som kan användas för att identifiera en patient

Aviderifierad information

Enligt HIPAA betraktas borttagning av IIHI som "avidentifierad" information. Det innebär att alla patientuppgifter eller annan information som på något sätt kan leda till patientens identitet inte längre förekommer i en kopia av journalen. Detta görs av olika skäl, till exempel för att informationen ska kunna användas i fallstudier eller för forskningsändamål. När hälsoinformationen har avidentifierats får PHI användas för att undervisa studenter och bedriva forskning – helt utan patientens tillstånd eller samtycke.

Tillstånd kontra samtycke

Samtycke ger vårdpersonal rätt att dela patientinformation inom den dagliga vården. Att en exempelvis patient bokar tid hos sin husläkare innebär ett underförstått samtycke till behandling. Tillstånd (authorization) däremot betyder att patienten aktivt ger sitt medgivande till att skyddad hälsoinformation lämnas ut av andra skäl än normal vårdverksamhet. Ett tillstånd måste alltid innehålla skriftligt medgivande som preciserar exakt vilken information som ska lämnas ut. En patient som till exempel deltar i ett sjukhus marknadsföringsprogram, där hens hälsoinformation används i samband med sjukdomen, ska därför först fylla i ett sådant tillstånd.

När får IIHI lämnas ut?

I vissa fall kan IIHI lämnas ut utan patientens uttryckliga tillstånd eller samtycke. HIPAA anger fem specifika situationer då detta är tillåtet:

1. Egen insyn: När patienten vill granska sina egna uppgifter.
2. Normal vårdverksamhet: Vid så kallad TPO – treatment, payment, operations (behandling, ersättning, drift).
3. Patientkatalog: För inkludering i en sjukhus- eller vårdkatalog så att anhöriga kan hitta patienten.
4. Tillfälliga utlämningar: Vid oavsiktliga eller oförutsebara utlämningar av information.
5. Allmännytta: När utlämningen gagnar allmänheten, till exempel i juridiska situationer eller för att förebygga sjukdomsutbrott.

HIPAA tillåter dessutom ytterligare en form av användning och utlämning av PHI utan tillstånd: enligt lagen får en patients avidentifierade information användas efter behov inom folkhälsoarbete och forskning.