Vad är skillnaden mellan en Covered Entity och en Business Associate enligt HIPAA?

Skillnaden mellan en covered entity (täckt verksamhet) och en business associate (affärspartner) är avgörande, eftersom reglerna i den amerikanska lagen Health Insurance Portability and Accountability Act (HIPAA) tillämpas olika på dessa två kategorier av aktörer. Att förstå skillnaden är viktigt för att veta vem som kan få tillgång till dina medicinska uppgifter – och vilken behörighet de har att använda informationen.

En business associate får hantera information på uppdrag av en covered entity, men omfattas delvis andra regler. Nedan förklarar vi begreppen steg för steg.

Vad är skyddad hälsoinformation?

Information som skyddas enligt HIPAA:s sekretessregler kallas protected health information (PHI), det vill säga skyddad hälsoinformation. Det omfattar all individidentifierbar hälsoinformation – alltså uppgifter som kan kopplas till en enskild person.

Exempel på sådan information är:

• Demografiska uppgifter som namn, adress, födelsedatum och personnummer (Social Security number)
• Konkreta hälsotillstånd och diagnoser
• Tidigare och pågående behandlingar
• Vilka vårdinrättningar och läkare en person har besökt

Vad är en covered entity?

Enligt HIPAA-föreskrifterna kan en covered entity vara en av tre typer av aktörer:

• Ett sjukförsäkringsprogram (health plan)
• Ett clearinghouse för hälsovård (health care clearinghouse)
• En vårdgivare (health care provider) som överför hälsoinformation elektroniskt i samband med hälsorelaterade transaktioner

Alla vårdgivare och sjukförsäkringsprogram räknas som covered entities. Det innebär att ditt sjukhus, din läkare och ditt försäkringsbolag – liksom statliga, federala, privata, arbetsgivarfinansierade och veteranrelaterade sjukförsäkringsprogram – omfattas av definitionen. Dessa aktörer är därmed skyldiga att följa HIPAA:s sekretessregler i sin hantering av patientuppgifter.

Vad är en business associate?

En business associate utför tjänster åt en covered entity som kräver användning av skyddad hälsoinformation. Det kan röra sig om ett brett spektrum av tjänster, till exempel:

• Redovisning och bokföring
• Datahantering och IT-tjänster
• Dokumenthantering
• Fakturering och billing
• Kvalitetssäkring

En business associate kan alltså få tillgång till din skyddade hälsoinformation i sitt arbete. Den täckta verksamheten (covered entity) har dock ansvaret för att säkerställa att sina affärspartners skyddar informationen på ett korrekt sätt.

Avtal och garantier

För att samarbetet mellan en covered entity och dess business associates ska anses vara HIPAA-kompatibelt måste avtalet mellan parterna tydligt ange:

• Vilka användningar av den skyddade hälsoinformationen som business associate är tillåten och skyldig att göra
• Att business associate ska skydda informationen på ett adekvat sätt

Om en business associate bryter mot avtalet måste den täckta verksamheten vidta åtgärder för att rättelse ska ske – eller i värsta fall säga upp avtalet. Detta system av kontraktuella garantier är en central del av HIPAA:s ramverk för att skydda patienternas känsliga hälsoinformation, oavsett vilken aktör som hanterar den.