Vem ansvarar för att verkställa HIPAA? En komplett guide

HIPAA (Health Insurance Portability and Accountability Act) är en amerikansk federal lagstiftning som syftar till att skydda patienters hälsouppgifter och integritet. Lagen, som ofta kallas HIPAA:s sekretessregel (Privacy Rule), reglerar hur känslig hälsoinformation får samlas in, användas och delas.

Enligt U.S. Department of Health and Human Services (HHS) är det deras avdelning för medborgerliga rättigheter – Office for Civil Rights (OCR) – som har det övergripande ansvaret för att verkställa HIPAA:s sekretessregel.

Vilken typ av hälsoinformation skyddas?

Sekretessregeln omfattar både fysisk och psykisk hälsoinformation som kan kopplas till en specifik individ. Det kan exempelvis handla om journaler, labbresultat, recept och betalningsuppgifter inom vården.

Information som inte kan användas för att identifiera en enskild person, såsom anonymiserad eller avidentifierad data, omfattas däremot inte av sekretessregeln.

Vilka omfattas av HIPAA:s riktlinjer?

Inte alla som kommer i kontakt med hälsoinformation är juridiskt bundna av HIPAA. Reglerna gäller så kallade "täckta enheter" (covered entities), vilket enligt HHS inkluderar:

• Läkare
• Sjuksköterskor och annan vårdpersonal
• Sjukhus
• Vårdbostäder och äldreboenden
• Apotek
• Sjukförsäkringsbolag

Hur verkställs HIPAA:s sekretessregel?

Office for Civil Rights genomför regelbundna efterlevnadsgranskningar för att säkerställa att hälsoinformation hanteras konfidentiellt och i enlighet med lagen. När ett klagomål lämnas in är det OCR som ansvarar för att utreda ärendet.

Brottsliga överträdelser

Om det finns bevis för brottslig verksamhet, exempelvis att hälsouppgifter medvetet sålts eller missbrukats, kan OCR hänvisa ärendet vidare till justitiedepartementet (Department of Justice) för åtal. Brott mot HIPAA kan resultera i böter och i allvarliga fall fängelsestraff.

Så anmäler du ett klagomål

En person som tror att dennes hälsopersonuppgifter har missbrukats har rätt att lämna in ett klagomål till Office for Civil Rights. Det rekommenderas att klagomålet lämnas in inom 180 dagar från den tidpunkt då överträdelsen upptäcktes eller borde ha upptäckts.

Klagomål kan vanligtvis lämnas in skriftligt via post, e-post eller genom OCR:s webbportal, och det är olagligt för en täckt enhet att retaliere mot någon som anmäler en misstänkt överträdelse.