Konsekvenser av HIPAA-överträdelser: böter, fängelse och tillsyn

HIPAA (Health Insurance Portability and Accountability Act) är en amerikansk federal lagstiftning som skyddar patienters integritet och känsliga hälsouppgifter. En typisk överträdelse inträffar när en läkare, forskare eller annan vårdpersonal obehörigt röjer en patients medicinska historia. Eftersom HIPAA är en federal lag blir påföljderna desamma i hela landet – allt från höga böter till fängelsestraff.

Civilrättsliga påföljder

En civilrättslig påföljd gäller överträdelser där patientinformation röjs utan uppsåt. Allvarlighetsgraden bedöms i flera nivåer:

• Lägst allvarlighetsgrad: Uppgifterna röjs av okunnighet, trots att personen aktivt arbetade för att skydda informationen från att läcka.
• Högst allvarlighetsgrad: Läckan beror på medveten försumlighet (willful neglect) – personen visste inte att informationen röjdes, men gjorde ingenting aktivt för att stoppa läckan.
• Påföljdens storlek påverkas även av huruvida personen försökt rätta till situationen efter överträdelsen.

Det minsta vitebeloppet är 100 USD per överträdelse, vilket kan upprepas upp till totalt 25 000 USD under ett kalenderår. Det högsta beloppet är 50 000 USD per överträdelse, med ett tak på 1,5 miljoner USD per kalenderår. Observera att beloppen justeras periodvis för inflation.

Straffrättsliga påföljder

För att en HIPAA-överträdelse ska klassas som brott måste den ha begåts medvetet, med full förståelse för konsekvenserna av att röja informationen.

Även här finns olika allvarlighetsgrader. Det lägsta straffet utgörs av böter på 50 000 USD och upp till ett års fängelse. Fall som bedöms som illvilliga – exempelvis när någon säljer medicinsk information i syfte att skada en enskild person eller för egen vinning – kan straffas med böter på upp till 250 000 USD och upp till tio års fängelse.

Tillämpning av påföljderna

Amerikanska justitiedepartementet (Department of Justice) ansvarar för att klargöra lagens definitioner, bland annat vilka påföljder som klassas som civilrättsliga respektive straffrättsliga. När lagen är i kraft är det Office for Civil Rights (OCR), ett kontor inom Department of Health and Human Services, som avgör påföljdens nivå i varje enskilt fall.

En HIPAA-utredning inleds när en patient lämnar in en anmälan till OCR. Varje ärende utreds därefter fall för fall av antingen OCR eller Justitiedepartementet.

Sammanfattningsvis innebär HIPAA-överträdelser betydande risker för både vårdorganisationer och enskilda medarbetare. Genom att noggrant följa lagens riktlinjer för sekretess och dataskydd kan man undvika kostsamma böter, fängelsestraff och ett skadat förtroende hos patienterna.