HIPAA inom långtidssköttning: Skydda boendes hälsoinformation
Health Insurance Portability and Accountability Act (HIPAA) gäller fullt ut för vårdhem, servicehus (om täckta entitet) och andra långtidssköttingsanläggningar (LTC). Efterlevnad är icke-förhandlingsbar.
Kärnkrav
1. Integritetsregel – Boendes rättigheter
- Integritetsmeddelande (NPP) tillhandahålls vid inskrivning.
- Rätt till tillgång, ändring och begäran om redovisning av uppenbaranden.
- Minimi nödvändig standard för interna användningar/uppenbaranden.
- Auktorisering krävs för marknadsföring, forskning, icke-behandling uppenbaranden.
2. Säkerhetsregel – ePHI-skydd
| Skyddskategori | Exempel i LTC |
|---|
| Administrativ | Säkerhetsansvarig, riskanalys, personalutbildning, sanktionspolicy, kontingensplan |
| Fysisk | Låsta journalrum, badge-åtkomst, arbetsstationspositionering, enhet/media-avhändelse |
| Teknisk | Unika användar-ID, auditloggar, kryptering (viloläge/under överföring), automatisk utloggning, MFA |
3. Dataintrångsmeddelanderegel
- Osäkrat PHI intrång → meddela drabbade boende, HHS (≤60 dagar), media om >500 i delstat.
- Affärspartners måste meddela anläggning utan oskälig fördröjning.
4. Business Associate Agreements (BAA)
Krävs med alla leverantörer som får tillgång till PHI: apotek, labb, terapiagenturer, fakturering, IT, makulering, svarstjänster. Anläggning ansvarig för BA icke-efterlevnad.
5. Verkställighet och straff
- Civila: $100–$50 000/överträdelse (årligt tak $1,5M per nivå).
- Kriminella: Upp till $250 000 och 10 år fängelse för viljest försumlighet.
- Statliga AG-åtgärder och klassaktioner lägger till exponering.
Efterlevnadsprogram-essentials
- Årlig riskanalys (krävs).
- Rollbaserad utbildning vid anställning och årligen (dokumenterad).
- Policyer och procedurer för åtkomst, uppenbarande, intrångssvar, enhetshantering.
- Incidentsvarsplan med 24/7 kontaktträd.
- BAA-inventering och övervakning (årlig intyg).
- Fysiska skydd för pappersjournaler, läkemedelsvagnar, faxmaskiner.
- Boendekommunikation på rent språk (stort tryck, översatt).
HIPAA är inte en kryssruta – det är en kultur. Bädda in integritet i dagliga arbetsflöden: "Skulle jag vilja att min mors journal var på den skärmen?"
