Vous supposez probablement que vos dossiers médicaux sont un secret entre vous et votre prestataire. C’est une pensée réconfortante. C’est aussi largement faux.
Vos données de santé, vos informations d’assurance et vos informations financières sont visibles par une longue liste d’entités que vous n’avez probablement jamais demandé à consulter. La Health Insurance Portability Act and Accountability Act (HIPAA) de 1996 a créé le cadre national à cet effet. Cela n’a pas empêché l’accès. Il a juste essayé de le contrôler.
En vertu de la HIPAA, vous avez des droits. Vous pouvez demander des copies de vos dossiers. Vous pouvez exiger des corrections. Vous pouvez restreindre certaines utilisations. Vous pouvez voir qui d’autre a regardé. Mais voir n’est pas la même chose que s’arrêter. Un gestionnaire de compte vérifiant votre éligibilité sur un ordinateur y a accès. Ce n’est pas votre médecin. Mais ils sont dans le système.
Qui voit réellement vos données de santé ?
La loi utilise un terme spécifique pour les parties ayant un accès légitime : entités couvertes.
Ce ne sont pas que des médecins. Ils comprennent :
– Prestataires de soins de santé (hôpitaux, cliniques, pharmacies, dentistes)
– Plans de santé (compagnies d’assurance, HMO, Medicare, Medicaid)
– Centres d’information sur les soins de santé
– Associés commerciaux tiers (sociétés de facturation, processeurs de réclamations, spécialistes informatiques)
Ces entités doivent se conformer aux règles HIPAA. Cela signifie qu’ils ont l’obligation légale de garder vos données privées et sécurisées. S’ils échouent, ils s’exposent à des sanctions. Le bureau des droits civils du ministère américain de la Santé et des Services sociaux maintient un « mur de la honte » pour les violations affectant plus de 500 personnes par incident. Grâce à la loi HITECH, vous pouvez réellement rechercher ces pannes à l’aide de leur Breach Tool. C’est une liste qui donne à réfléchir.
La règle de confidentialité et les informations de santé protégées
La règle de confidentialité HIPAA, appliquée depuis 2003, exige que vos informations de santé protégées (PHI) restent sécurisées.
Le PHI est large. Il comprend tout ce que votre médecin écrit dans votre dossier. Il couvre les conversations entre le personnel médical. Il comprend les informations de facturation. Il comprend toutes les données identifiables que votre plan de santé stocke dans ses ordinateurs.
La règle est simple : le partage ou l’accès sans autorisation est interdit. Mais la « permission » est délicate. Vous l’avez donné lorsque vous avez signé les formulaires de consentement initiaux. Ou peut-être que vous ne l’avez pas fait. Les petits caractères supposent souvent le consentement pour les opérations de routine.
La règle de sécurité et les transactions électroniques
Alors que la règle de confidentialité couvre ce qui est protégé, la règle de sécurité couvre comment cela est protégé électroniquement.
Cela s’applique aux transactions électroniques éligibles. Ceux-ci incluent :
– Réclamations et informations sur les rencontres
– Conseils de paiement et de remise
– Vérifications de l’état des réclamations
– Admissibilité et statut d’inscription
– Références et autorisations
– Coordination des prestations
Les entités couvertes doivent signer des contrats avec leurs associés commerciaux avant de partager des données. Qu’il s’agisse d’une transaction en ligne ou d’un médecin vérifiant des dossiers sur une tablette, le contrat doit assurer la protection.
Les garanties sont obligatoires. Les mesures de protection administratives comprennent des politiques documentées et la formation des employés. Les garanties techniques nécessitent des systèmes de cryptage et de sécurité des données. Les protections physiques impliquent la sauvegarde des données et des mesures de sécurité physique.
Chaque fois que quelqu’un accède à vos informations de santé, il doit en révéler la raison. Et ils doivent indiquer le but recherché. Ceci est requis par la loi.
Là où se termine la HIPAA et où commence la réalité
Voici le piège. HIPAA s’applique uniquement aux entités couvertes et à leurs associés commerciaux. Cela ne s’applique pas partout.
Votre employeur ? Aucune obligation.
Les assureurs d’accidents du travail ? Non.
Les assureurs-vie ? Non.
Des districts scolaires ? Non.
Les agences d’État aiment-elles les services de protection de l’enfance ? Non.
Application de la loi ? Non.
Des bureaux municipaux ? Non.
Si un gestionnaire de compte utilise un ordinateur pour vérifier votre assurance, la HIPAA s’applique. S’ils utilisent le téléphone ? Les règles ne lient pas l’échange verbal de PHI de la même manière. La loi est liée aux transactions électroniques. C’est un écart. Une décision délibérée.
L’illusion d’une confidentialité totale
Vous avez des droits en vertu de la HIPAA. Mais ces droits sont administratifs. Ils concernent l’accès et la correction. Il ne s’agit pas d’invisibilité.
Vos données transitent par un réseau complexe de systèmes. Les centres d’échange traitent les réclamations. Les sociétés de facturation gèrent les paiements. Des informaticiens entretiennent les serveurs. Ce sont toutes des « entités couvertes ». Tous voient votre PHI.
La loi HITECH a ajouté de la transparence. La brèche dans le mur est publique. Mais la transparence n’est pas synonyme de sécurité. Cela signifie simplement que vous savez quand quelque chose s’est mal passé.
La plupart du temps, rien ne va plus. Vos données restent intactes. Mais ce n’est jamais vraiment le vôtre. C’est un bien partagé. Un handicap. Une marchandise.
La prochaine fois que vous verrez un formulaire demandant le consentement, lisez-le. Pas tout. Juste la partie concernant qui peut voir votre historique. Vous pourriez être surpris par les noms.
Quand les règles de confidentialité s’écartent : urgences et ensembles de données limités
HIPAA n’est pas un verrouillage total. Dans des circonstances spécifiques, vos informations de santé protégées (PHI) peuvent être partagées sans votre autorisation explicite. Ce n’est pas une échappatoire pour le partage occasionnel. Il est réservé aux scénarios à enjeux élevés. Pensez aux soins médicaux d’urgence. Ou le bioterrorisme. Ou toute menace pour la santé publique nécessitant une action immédiate.
Les exceptions couvrent également la surveillance de la santé publique. Les rapports locaux sur la grippe s’appuient sur cette collecte de données. Les enquêtes comptent aussi. Si un centre médical d’urgence traite une blessure par balle, il le signale. Même certaines interventions de soins de santé permettent une utilisation en recherche.
Ces données circulent dans ce qu’on appelle un ensemble de données limité ou LDS. Un LDS contient des informations personnelles, mais elles sont supprimées. Vous verrez l’âge. Cela peut prendre des années, des mois, des jours ou même des heures. Les dates pertinentes sont incluses. Votre date de naissance. Votre date de décès. Dates d’admission et de sortie le cas échéant. Les données géographiques de base restent également. Codes postaux. Ville et état de résidence.
Mais la liste de ce qui ne peut pas être dans une SDJ est longue. Les règles de confidentialité interdisent explicitement 16 types d’informations identifiables. Les noms sont dévoilés. Les numéros de sécurité sociale ont disparu. Les adresses physiques ne font pas l’affaire. Les numéros de téléphone et de fax sont exclus. Les adresses e-mail sont supprimées. Les URL et les adresses IP sont supprimées.
Les identifiants de véhicules sont également interdits. Cela inclut les numéros de série et les plaques d’immatriculation. Les photos de face sont interdites. Des images comparables sont également disponibles. Les identifiants biométriques tels que les empreintes digitales ne peuvent pas être inclus.
Les numéros de compte sont interdits. Les numéros de dossiers médicaux sont exclus. Les numéros de bénéficiaires du plan de santé sont connus. Les numéros de licence de certificat ont disparu. Les identifiants d’appareil, y compris les numéros de série, sont strictement interdits.
L’écart de confiance et les conséquences des violations
Malgré ces garanties, la confiance est faible. 83 % des Américains ont toujours des préoccupations en matière de confidentialité et de sécurité concernant leur dossier médical. Près de 70 % ne souhaitent pas du tout que leurs informations de santé soient numérisées.
Alors, que se passe-t-il lorsque ces craintes se confirment ? Quand une violation se produit-elle ?
Les violations BPHI résultent souvent d’un vol d’ordinateur. La règle de notification des violations entre en vigueur. Les patients concernés doivent être informés. L’incident est signalé au secrétaire du ministère américain de la Santé et des Services sociaux (HHS).
Si vous soupçonnez une violation de la vie privée, vous pouvez la signaler. Faites rapport à l’entité couverte ou à l’associé commercial responsable. Ou signalez-le au HHS. Vous pouvez faire les deux.
Les violations de la HIPAA ont du poids. Les sanctions civiles comprennent des amendes. C’est ce qu’on appelle des sanctions pécuniaires civiles. Les sanctions pénales sont plus sévères. Ils comprennent des amendes et des peines d’emprisonnement.
Garantir la conformité HIPAA
Garantir la conformité nécessite plus que de bonnes intentions. Vous devez comprendre clairement les règles de confidentialité et de sécurité HIPAA. Des politiques et des procédures doivent être élaborées. Ceux-ci garantissent le respect de ces règles.
La formation n’est pas négociable. Les employés doivent être formés sur les politiques. Ils doivent connaître les procédures. Cette formation garantit le respect des règles de confidentialité et de sécurité.
De toute façon, qu’est-ce que la conformité HIPAA ? La Health Insurance Portability and Accountability Act (HIPAA) est une loi américaine. Il oblige les entités couvertes à maintenir la confidentialité et la sécurité des PHI. Les entités couvertes comprennent les régimes de santé. Centres d’information sur les soins de santé. Certains prestataires de soins de santé.
Questions fréquemment répondues
Comment garantissez-vous la conformité HIPAA ?
Il existe plusieurs façons. Une solution consiste à comprendre clairement les règles de confidentialité et de sécurité HIPAA. Une autre façon consiste à développer des politiques et des procédures garantissant le respect des règles de confidentialité et de sécurité HIPAA. Enfin, il est important de former les employés aux politiques et procédures élaborées pour garantir le respect des règles de confidentialité et de sécurité HIPAA.
Qu’est-ce que la conformité HIPAA ?
La Health Insurance Portability and Accountability Act (HIPAA) est une loi américaine qui oblige les entités couvertes à maintenir la confidentialité et la sécurité des informations de santé protégées (PHI). Les entités couvertes comprennent les plans de santé, les centres d’échange de soins de santé et certains prestataires de soins de santé.
