HIPAA-förvaring: Sexårsbaslinjen
HIPAA Privacy Rule (45 CFR §164.530(j)) kräver att täckta entiteter behåller skyddad hälsoinformation (PHI) och relaterad dokumentation i minst sex år från skadedatumet eller det datum det senast var i kraft, beroende på vilket som är senast.
Vad som måste bevaras i sex år
- Patientjournaler (papper och elektroniska)
- Integritetspolicyer och procedurer
- Versioner av Notis om integritetspraxis (NPP)
- Samtyckesformulär och återkallanden
- Loggar över redovisning av utdelningar
- Affärspartnersavtal (BAA)
- Riskbedömningar och hanteringsdokumentation
- Utbildningsregister
- Klagomål och utredningsregister
- Dokumentation om dataintrångsmeddelanden
- Dokumentation om fysisk/elektronisk säkerhet
Kritiska undantag och förlängda förvaringsperioder
Statliga lagar kräver ofta längre förvaring
| Journalens typ | Vanliga statliga minimikrav | Exempel |
|---|
| Vuxna patientjournaler | 7–10 år från senaste kontakt | CA: 7 år; NY: 6 år; TX: 7 år; FL: 5 år (men 7 för Medicaid) |
| Barn/pediatriska journaler | Majoritetsålder + 3–10 år | Ofta tills 21–28 år; CA: 1 år efter 18; NY: 6 år efter 18 |
| Obstetriska journaler | Längre (mor + barn) | Ofta 25+ år eller barnets majoritetsålder + lagstiftning |
| Vaccinationsjournaler | Permanenta eller förlängda | Många stater: permanent |
Regel: HIPAA sätter golvet; statlig lag sätter taket. Följ det längre kravet.
Federala programkrav
- Medicare/Medicaid: 10 år från tjänstdatum (42 CFR §424.32, §431.107)
- OSHA: 30 år för exponering/medicinska journaler (29 CFR 1910.1020)
- CLIA: 2 år för laboratoriejournaler (42 CFR §493.1105)
- FDA/Kliniska prövningar: 2 år efter studiens slut (21 CFR 312.57)
- DEA kontrollerade substanser: 2–7 år beroende på schema
Rättslig förvaring / Rättegång
- Rättegångsförvaring åsidosätter alla förvaringsscheman.
- Bevara alla potentiellt relevanta journaler tills juridisk rådgivare släpper förvaringen.
- Sanktioner för spolering vid förtida förstöring.
Särskilda överväganden
Elektroniska patientjournaler (EHR)
- Samma förvaringsregler gäller för elektronisk PHI (ePHI).
- Måste säkerställa integritet, tillgänglighet och läsbarhet under förvaringsperioden.
- Migrerings-/arkivstrategi behövs för äldre system.
- Metadata/avspårningsloggar är del av journalen.
Affärspartners
- BAA:er måste specificera förvarings-/återlämnings-/förstöringsplikter.
- Täckta entiteter är ultimat ansvariga för PHI-förvaringsefterlevnad.
- Underentreprenörers krav flödar nedåt.
Förstöring / Kassation
- Papper: Korsskärning, bränning, massa.
- Elektronisk: NIST 800-88-kompatibel radering, avmagnetisering, fysisk förstöring.
- Förstöringsintyg: Dokumentera datum, metod, vittne, beskrivning.
- Aldrig: Sopcontainer, återvinning, standardradera, osäker kassering.
Praktiska efterlevnadssteg
- Skapa en journalförvaringsschema matris (journalstyp × förvaringsperiod × myndighet).
- Koppla till den strikta applicerbara kravet (HIPAA, stat, federal, kontraktuell).
- Implementera automatiserad förvaring/kassering i EHR/ECM.
- Årlig revision av förvaringsefterlevnad.
- Utbilda personal om förvaringspolicyer och rättsliga förvaringar.
- Dokumentera förstöring med intyg.
Viktig slutsats: Sex år är HIPAA-minimum, men de flesta patientjournaler kräver 7–10+ år enligt statlig lag. Pediatriska, obstetriska och Medicare-journaler kräver ofta betydligt längre. Använd alltid den längst gällande förvaringsperioden.
