HIPAA – regler och bestämmelser för skydd av hälsouppgifter

Health Insurance Portability and Accountability Act (HIPAA) är en amerikansk federal lag som infördes 1996 som en tilläggsändring av Internal Revenue Code från 1986. Lagen kallas ofta en sekretessregel, eftersom den ger federalt skydd för personliga hälsouppgifter. Den tillåter dock även vissa utlämningar av information från medicinsk personal när det är nödvändigt för patientens vård.

Lagen gäller främst vårdgivare, sjukförsäkringar och andra aktörer inom hälso- och sjukvården som hanterar känsliga patientdata elektroniskt eller på annat sätt.

Patientjournaler

Organisationer som omfattas av HIPAA måste uppfylla en individs begäran om att få se sina egna hälsouppgifter, det vill säga sin patientjournal, samt att erhålla kopior av dessa handlingar. Patienten har alltså rätt till insyn i och kontroll över den egna journalen.

Information till patienter

Patienter ska få en underrättelse som förklarar hur deras hälsoinformation och journaler kan komma att användas. Om hälsoinformation har delats för lagliga ändamål ska rapporter lämnas ut till den berörda personen, vilket skapar transparens kring hur uppgifterna hanteras.

Skyddsåtgärder

Tekniska, administrativa och fysiska säkerhetsåtgärder som skyddar hälsoinformation och begränsar åtkomsten till journalerna måste införas och aktivt efterlevas av alla verksamheter som omfattas av HIPAA. Detta inkluderar bland annat lösenordsskydd, kryptering och tydliga interna rutiner för vem som får ta del av uppgifterna.

Överträdelser

Brott mot HIPAA kan anmälas på tre olika sätt. Du kan lämna in ett klagomål till ditt sjukförsäkringsbolag, till din vårdgivare eller direkt till den amerikanska staten via Office for Civil Rights (OCR) inom departementet för hälsa och mänskliga tjänster (HHS).

Vanliga missuppfattningar

En vanlig felaktig föreställning är att alla verksamheter omfattas av lagen. Så är inte fallet. Många skolor, delstatliga myndigheter, brottsbekämpande organ, kommunala kontor, arbetsgivare, livförsäkringsbolag och försäkringsgivare inom arbetsskadeförsäkring är inte skyldiga att följa HIPAA. Det är därför viktigt att veta vilka aktörer som faktiskt står under lagens tillsyn innan man vänder sig med frågor eller klagomål.