HIPAA:s regler för administrativ förenkling syftar till att standardisera och underlätta den elektroniska lagringen och hanteringen av personlig hälsoinformation (PHI), samtidigt som de ställer stränga säkerhetskrav för att skydda patienternas integritet. Alla vårdorganisationer som HIPAA definierar som så kallade covered entities – inklusive vårdgivare och försäkringsbolag – är enligt lag skyldiga att följa dessa standarder.
HIPAA-reglerna kräver att vårdgivare använder den medicinska kodningen ICD-10 för all elektronisk fakturering och inlämning av ersättningsansökningar, med tidsgräns i oktober 2011. Dessa övergångsdeadlines har sedan länge passerat, vilket innebär att ICD-10 idag är helt obligatoriskt.
ICD-10 täcker betydligt fler tillstånd och diagnoser än sin föregångare ICD-9, vilket ger vårdgivare möjlighet att ange mer detaljerad information på ansökningsformulär. En annan viktig skillnad är att alla ICD-10-koder är alfanumeriska, medan ICD-9-koderna var rent numeriska.
HIPAA föreskriver att alla covered entities ska använda ANSI X12 Version 5010 för sina elektroniska PHI-transaktioner, med ikraftträdande den 1 januari 2012. Version 5010 ersatte version 4010/4010A1 och tillåter större fältstorlekar för medicinska koder, vilket är nödvändigt för att rymma ICD-10:s alfanumeriska format. Standarden medger dessutom att fler diagnoser kan anges på en enda ersättningsansökan.
För läkemedels- och tjänsteansökningar gäller NCPDP Version D Release 0 som obligatorisk EDI-standard från samma datum.
HIPAA kräver att arbetsgivares identifikationsnummer (EIN), som tilldelas av den amerikanska skattemyndigheten IRS, används i alla EDI-transaktioner. Covered entities tilldelas dessutom ett nationellt leverantörsidentifikationsnummer (NPI) för användning vid elektroniska transaktioner.
NPI är ett tioställigt nummer som ska delas med alla covered entities som behöver det för fakturering och hantering av ersättningsansökningar.
HIPAA-reglerna säkerställer att elektroniskt lagrad PHI omfattas av samma sekretesskrav som skriftlig och muntlig hälsoinformation. Patientens rättigheter inkluderar bland annat rätten att granska sina egna journaler samt att få skriftlig redovisning av hur informationen har använts och med vilka den har delats.
Sekretessreglerna tillåter covered entities att dela PHI med andra vårdgivare som behandlar patienten, med folkhälsoorganisationer, med brottsbekämpande myndigheter samt med patientens familj – förutsatt att patienten inte motsätter sig detta. Däremot får PHI aldrig användas i marknadsföringssyfte eller delas med patientens arbetsgivare.
Covered entities är skyldiga att utforma och implementera administrativa rutiner som säkerställer att obehöriga inte får tillgång till patienters PHI. Organisationens säkerhets- och sekretesspolicy måste spridas internt så att samtliga medarbetare förstår och efterlever säkerhetsprotokollet.
Därtill krävs tekniska skyddsåtgärder som lösenordsskydd, brandväggar och kryptering för att skydda informationen. HIPAA ställer även krav på fysiska säkerhetsåtgärder, exempelvis begränsad tillgång till datalagerlokaler och kontrollmekanismer som förhindrar att PHI-data tas bort från anläggningen.
Hälsa och Sjukdom © https://www.sjukdom.online