HIPAA – lagar och regler som skyddar patienters hälsodata

Health Insurance Portability and Accountability Act (HIPAA), som antogs i USA år 1996, är mest känd för sina sekretess- och säkerhetsregler som skyddar enskilda personers hälsorelaterade uppgifter och reglerar vem som får tillgång till en patients konfidentiella medicinska information. Inom det amerikanska hälso- och sjukvårdsdepartementet (Department of Health and Human Services, HHS) övervakas HIPAA av Office of Civil Rights (OCR), som ansvarar för att utreda klagomål och se till att lagen efterlevs.

Skydd för hälsouppgifter

Enligt HHS fungerar HIPAA-lagen som ett skydd för patientens medicinska och hälsorelaterade information i många olika former. Utöver att säkra medicinska journaler skyddar HIPAA även samtal om en patients hälsa som läkare för med annan vårdpersonal, exempelvis sjuksköterskor, liksom information som hanteras av försäkringsbolag eller lagras i deras datorsystem, samt faktureringsunderlag kopplade till mottagen vård.

Lagen kräver att alla som har tillgång till en patients hälsouppgifter måste införa system som säkerställer skyddet längs hela ansvarskedjan – från vårdgivare till försäkringsbolag.

Vem omfattas av lagen?

De så kallade täckta enheterna är de organisationer och institutioner som måste följa HIPAA:s bestämmelser om sekretess för hälsouppgifter. Dit hör:

• Sjukvårdsplaner – exempelvis Medicare, Medicaid, HMO, sjukförsäkringsbolag och företagsbaserade hälsoförsäkringar.
• Vårdgivare – läkare, tandläkare och apotekare, i princip alla verksamheter som elektroniskt fakturerar en sjukförsäkring.
• Hälsovärdeförmedlare – aktörer som överför medicinska journaler mellan olika format, exempelvis företag som digitaliserar pappersbaserade patientjournaler.

Enligt HHS finns dock vissa organisationer som inte är skyldiga att följa HIPAA:s sekretessregler, bland annat privata arbetsgivare, skoldistrikt, livförsäkringsbolag och brottsbekämpande myndigheter.

Patientens rättigheter

Under HIPAA har patienten flera viktiga rättigheter. Patienten har rätt att få en kopia av sina egna medicinska journaler, att begära rättelser i journalerna, att få redogörelser för hur journalerna kan komma att delas eller användas, samt att ge sitt samtycke innan uppgifterna delas med andra.

Anmäla klagomål

Om en patient misstänker att en täckt enhet har kränkt hennes eller någon annans integritet kan klagomål lämnas in till OCR. Detta ställer departementet några krav på anmälningar:

• Klagomålet ska vara skriftligt – via post, e-post eller fax.
• Det ska ange den organisation som misstänks ha gjort sig skyldig till överträdelsen och beskriva dess natur.
• Det ska lämnas in inom 180 dagar från den påstådda överträdelsen.

Fristen på 180 dagar kan förlängas om klaganden kan visa gott skäl för dröjsmålet, enligt HHS.

Tillsyn och påföljder

När ett klagomål om HIPAA-överträdelse har lämnats in inleder OCR en utredning genom att först underrätta både klaganden och den aktuella täckta enheten. Myndigheten lyssnar på båda parter, samlar in bevis och information och fattar sedan beslut till förmån för eller emot klaganden.

Om den täckta enheten visar sig ha brutit mot lagen kan OCR vidta korrigerande åtgärder, vilket kan resultera i civilrättsliga sanktioner som ska betalas in till USA:s statskassa. Bedömer OCR att enhetens agerande är av kriminell natur kan ärendet överlämnas till justitiedepartementet (Department of Justice) för vidare utredning och eventuellt åtal.