Påföljder för brott mot HIPAA:s sekretessregel

I december 2000 fastställde det amerikanska hälsodepartementet (Department of Health and Human Services, DHHS) den slutgiltiga sekretessregeln inom ramen för lagen om sjukförsäkringars portabilitet och ansvarsutkrävande (Health Insurance Portability and Accountability Act, HIPAA). Sekretessregeln skyddar patienters privata hälsouppgifter genom att kräva att så kallade "täckta enheter" tillämpar säkerhetsåtgärder när informationen överförs elektroniskt. Till täckta enheter räknas vårdgivare som sjukhus och läkarmottagningar, men även sjukförsäkringsplaner och vårdclearinghus.

Överväganden vid bedömning av överträdelser

Det är DHHS:s kontor för medborgerliga rättigheter (Office for Civil Rights, OCR) som ansvarar för att verkställa HIPAA:s sekretessregel. Myndigheten utför både undersökningar och granskningar av regelefterlevnad. När OCR konstaterar att en täckt enhet har brutit mot sekretessregeln grundas bedömningen och påföljderna på flera nyckelfaktorer:

• Datumet då överträdelsen ägde rum
• I vilken utsträckning enheten var medveten om att den inte följde regeln
• Huruvida enheten handlat med uppsåtlig försummelse

Civilrättsliga påföljder

För ett brott mot sekretessregeln kan OCR ådöma böter från 100 dollar upp till 50 000 dollar eller mer. Under ett kalenderår kan en täckt enhet dock inte bötfällas med mer än sammanlagt 1 500 000 dollar. Får en täckt enhet besked om att den har brutit mot sekretessregeln kan böterna undvikas genom att överträelsen rättas till inom 30 dagar.

Straffrättsliga påföljder

Straffrättsliga påföljder för brott mot HIPAA:s sekretessregel varierar beroende på brottets allvarlighetsgrad:

• Grundläggande brott: En person som medvetet inhämtar eller röjer skyddad hälsouppgift kan dömas till böter på 50 000 dollar och upp till ett års fängelse.
• Brott under falska förevändningar: Om falska förevändningar använts kan böterna höjas till 100 000 dollar och fängelsestraffet förlängas till fem år.
• Allvarligaste brottet: Den som döms för att ha inhämtat eller röjt skyddad hälsouppgift i syfte att sälja, överföra eller använda informationen för ekonomisk eller personlig vinning – eller för att orsaka illvillig skada – riskerar det strängaste straffet.

Kunskap om dessa påföljder är avgörande för alla organisationer som hanterar skyddade hälsouppgifter. Genom att aktivt efterleva sekretessregeln undviker både vårdgivare och försäkringsbolag betydande ekonomiska och juridiska konsekvenser – och framför allt skyddas patienternas integritet.