HIPAA-policy och rutiner för skydd av hälsouppgifter (PHI)

Hälsoförsäkringslagen HIPAA (Health Insurance Portability and Accountability Act) från 1996 stiftades för att förbättra överförbarheten och kontinuiteten i sjukförsäkringsskydd och vårdleverans. Även om lagen i första hand reglerar hur din personliga hälsouppgift (PHI) samlas in, lagras och hämtas på ett enhetligt sätt, innehåller HIPAA även ett avsnitt som behandlar integritetsskyddet och sekretessen kring den informationen.

Historik

Traditionellt har sjukförsäkringsbolag arbetat självständigt i en konkurrensutsatt miljö som motverkade informationsdelning. HIPAA tillkom eftersom vårdtagare var trötta på att behöva upprepa sina medicinska uppgifter varje gång de mötte en ny vårdgivare eller ett nytt försäkringsbolag. Budskapet var tydligt: man ville att medicinska data skulle vara tillgängliga när de behövdes för vård eller försäkringstäckning, men samtidigt ha kontrollerad åtkomst till dessa data.

Vilka omfattas av lagen?

HIPAA identifierade tre typer av aktörer som måste utveckla policyer och rutiner som speglar lagens sekretessregler:

• Sjukvårdsplaner, inklusive HMO, Medicare, Medicaid och sjukförsäkringsbolag.
• De flesta vårdgivare, exempelvis läkare, kliniker och sjukhus.
• Hälsovårdskontor (clearinghouses) som bearbetar hälsouppgifter som mottagits från någon av de två övriga aktörerna.

Vissa organisationer, bland annat bolag för arbetsgivaransvarsförsäkring och livförsäkringsbolag, är undantagna från HIPAA.

Funktioner

HIPAA är mycket specifik när det gäller vilken typ av personlig hälsouppgift som ska skyddas. Täckta aktörer måste ha policyer och rutiner för att kontrollera åtkomsten till informationen i din journal, oavsett om det rör sig om en pappersjournal eller ett elektroniskt register. Varje gång din läkare diskuterar din vård med sjuksköterskor eller annan vårdpersonal måste samtalen hållas konfidentiella. Vårdgivare måste dessutom strikt begränsa åtkomsten till dina faktureringsuppgifter.

Att tänka på

Även om HIPAA ger dig vissa rättigheter finns det begränsningar som återspeglas i en organisations policyer och rutiner. Din personliga hälsouppgift kan fortfarande delas för faktureringsändamål, så att läkare och sjukhus får ersättning för den vård du tagit emot. Informationen kan även användas på specifika sätt för kvalitetssäkring, så att vårdgivare kan utvärdera vården du fått. HIPAA ersätter inte heller kraven på folkhälsorapportering, exempelvis vid smittsamma sjukdomar, eller den obligatoriska anmälningsplikten vid misstanke om barnmisshandel.

Betydelse

HIPAA är goda nyheter för dig som vårdtagare, eftersom lagen ger dig rätten att kontrollera åtkomsten till din journal. Om du inte uttryckligen samtycker får vårdgivare inte lämna ut din personliga hälsouppgift till din arbetsgivare eller använda den i marknadsföringssyfte. Enligt HIPAA har du dessutom rätt att:

• få en kopia av din PHI,
• få en redogörelse för när och varför din information delats,
• ta reda på vem som haft åtkomst till uppgifterna, samt
• rätta eventuella fel i journalen.

Dessa rättigheter måste återspeglas i organisationens policyer och rutiner.