HIPAA (Health Insurance Portability and Accountability Act) är en amerikansk lagstiftning som gör det möjligt för företag, läkare, arbetsgivare och försäkringsbolag att utbyta känslig hälsinformation. Syftet är att underlätta betalningar för medicinsk vård samt att låta sjukvårdssektorn samarbeta mer effektivt med sjukförsäkringsaktörer. Lagen innebär att arbetsgivare – och deras anställda – kan få tillgång till hälsuppgifter, men missbruk av denna information kan leda till administrativa, civilrättsliga och straffrättsliga påföljder.
Ett av HIPAA:s huvudsakliga syften är att skapa enhetliga standarder för finansiella och administrativa transaktioner, vilket möjliggör ett effektivt elektroniskt utbyte av hälsorelaterad administrationsdata. Lagen ger även Department of Health and Human Services i uppdrag att utarbeta regelverk ”med avseende på integritetsskyddet för individuellt identifierbar hälsoinformation”.
Enligt HIPAA-föreskrifterna är arbetsgivare uttryckligen förbjudna att använda PHI (personal health information, personlig hälsinformation) som grund för beslut om anställning. Utlämning av PHI är endast tillåten för att betala ut försäkringsersättning, för att tillhandahålla medicinskt motiverad behandling samt inom ramen för vissa ”verksamheter inom vårddriften” – såvida inte den anställde uttryckligen medger utlämning av andra skäl.
HIPAA förbjuder arbetsgivare att vedertaga mot en tidigare anställd som har anmält att arbetsgivaren brutit mot reglerna för utlämning av PHI. Lagtexten innehåller dock inga specifika påföljder för arbetsgivaren, och ingen så kallad ”privaträtt att väcka talan” har införts. Den enda möjlighet som står en tidigare anställd till buds är att lämna in en anmälan till OCR (Office for Civil Rights) om hen anser att sina integritetsrättigheter har kränkts. Anmälan måste göras skriftligen ”inom 180 dagar från det datum då anmälaren fick eller rimligen borde ha fått kännedom om överträdelsen”.
En anställd som obehörigt inhämtar eller röjer en kollegas PHI kan dömas till böter på upp till 50 000 dollar, fängelse i ett år – eller bådadera. Bryter personen medvetet mot HIPAA kan straffet skärpas till fem års fängelse, böter på upp till 100 000 dollar eller bådadera. Den som medvetet bryter mot lagen i syfte att sälja hälsuppgifter eller använda dem för kommersiell vinning riskerar hela tio års fängelse, böter på upp till 250 000 dollar eller bådadera.
Vid överträdelser av HIPAA kan även civilrättsliga sanktioner åläggas. Office for Civil Rights kan utfärda ett vite på upp till 100 dollar per överträdelse för varje ”person” (anställd) som bryter mot lagen, med ett maximivite på 25 000 dollar för flera separata incidenter rörande samma krav eller överträdelse.
Dessa påföljder kan dock inte utdömas om den ansvarige anställde inte visste att hen bröt mot HIPAA och inte heller rimligen hade kunna upptäcka överträdelsen trots rimlig aktsamhet. Påföljder undviks dessutom om bristande efterlevnad inte beror på uppsåtligt försummande och felet åtgärdas inom 30 dagar från det att den ansvarige fick – eller borde ha fått – kännedom om underlåtenheten.
Hälsa och Sjukdom © https://www.sjukdom.online