Vad är HIPAA Privacy Act? Så skyddas din hälsodata i USA

Rätten till integritet kring hälsoinformation i USA regleras av HIPAA Privacy Act (Health Insurance Portability and Accountability Act). Lagen fastställer konsumenters rättigheter när det gäller deras individuella hälsoinformation och definierar hur den får samlas in, användas och delas av vårdgivare och andra aktörer.

Kort om lagen

HIPAA infördes 1996 och dess sekretessregler, ofta kallade Privacy Rule, trädde i kraft 2003. Lagen administreras av Office for Civil Rights (OCR) inom det amerikanska hälsodepartementet (HHS) och syftar till att skapa en nationell standard för skyddet av känslig patientdata.

Konsumentskydd

Den hälsoinformation som skyddas för varje konsument omfattar, men är inte begränsad till:

• Information som dokumenterats av vårdgivare, exempelvis journaler och läkarintyg.
• Extern kommunikation från vårdgivare om en individs hälsa.
• Fakturerings- och betalningsuppgifter som är kopplade till individuell hälsa.

Omfattade verksamheter (covered entities)

Institutioner vars hantering av hälsoinformation regleras enligt lagen kallas covered entities. Dit hör bland annat:

• Försäkringsbolag inom sjukvården
• Vårdcentraler och kliniker
• Sjukhus
• Apotek
• Tandläkare

Verksamheter utanför lagen (non-covered entities)

Vissa organisationer som förvarar konsumenters hälsojournaler omfattas dock inte av lagen. Det gäller exempelvis livförsäkringsbolag, vissa skoldistrikt, de flesta statliga myndigheter samt en del arbetsgivare. Konsumenter bör därför vara medvetna om att information som delas med dessa aktörer inte nödvändigtvis skyddas av HIPAA.

Folkhälsa

Även om lagen strikt reglerar utlämnandet av personlig hälsoinformation finns viktiga undantag. Omfattade verksamheter är skyldiga att lämna ut viss information – inklusive personlig hälsoinformation – till behöriga folkhälsomyndigheter, om informationen kan vara avgörande för att förebygga eller begränsa spridningen av en smittsam sjukdom.

Forskning

Omfattade verksamheter får endast använda individuell hälsoinformation i forskningssyfte om de först inhämtar personens uttryckliga samtycke. Det enda undantaget gäller när verksamheten har fått godkännande av en Institutional Review Board (IRB) eller en Privacy Board, vilka granskar att forskningen uppfyller lagens krav på skydd av personuppgifter.

Sammanfattning

HIPAA Privacy Act utgör grunden för hälsosekretessen i USA och ger konsumenter kontroll över sin känsliga hälsoinformation. Genom att definiera vilka aktörer som omfattas av lagen, vilka undantag som gäller och hur informationen får användas i forskning skapar regelverket en balans mellan integritetsskydd och samhällsnytta.