Anda mungkin berasumsi bahwa rekam medis Anda adalah rahasia antara Anda dan penyedia layanan kesehatan Anda. Itu adalah pemikiran yang menghibur. Itu juga sebagian besar salah.
Data kesehatan Anda, rincian asuransi, dan informasi keuangan dapat dilihat oleh banyak entitas yang mungkin tidak pernah Anda minta untuk dilihat. Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) tahun 1996 menciptakan kerangka kerja nasional untuk hal ini. Itu tidak menghentikan akses. Ia hanya mencoba mengendalikannya.
Di bawah HIPAA, Anda memiliki hak. Anda dapat meminta salinan catatan Anda. Anda dapat meminta koreksi. Anda dapat membatasi penggunaan tertentu. Anda dapat melihat siapa lagi yang melihatnya. Namun melihat tidak sama dengan berhenti. Manajer akun yang memverifikasi kelayakan Anda di komputer memiliki akses. Mereka bukan dokter Anda. Tapi mereka ada dalam sistem.
Siapa yang Sebenarnya Melihat Data Kesehatan Anda?
Undang-undang menggunakan istilah khusus untuk pihak-pihak yang memiliki akses sah: entitas yang dilindungi.
Ini bukan hanya dokter. Ini termasuk:
– Penyedia layanan kesehatan (rumah sakit, klinik, apotek, dokter gigi)
– Paket kesehatan (perusahaan asuransi, HMO, Medicare, Medicaid)
– Clearinghouse layanan kesehatan
– Rekan bisnis pihak ketiga (perusahaan penagihan, pemroses klaim, spesialis TI)
Entitas ini harus mematuhi aturan HIPAA. Artinya, mereka memiliki kewajiban hukum untuk menjaga privasi dan keamanan data Anda. Jika gagal, mereka menghadapi hukuman. Kantor Hak Sipil Departemen Kesehatan dan Layanan Kemanusiaan AS menerapkan “dinding rasa malu” atas pelanggaran yang berdampak pada lebih dari 500 orang per insiden. Berkat HITECH Act, Anda sebenarnya dapat mencari kegagalan ini menggunakan Alat Pelanggaran mereka. Ini adalah daftar yang serius.
Aturan Privasi dan Informasi Kesehatan yang Dilindungi
Aturan Privasi HIPAA, yang diberlakukan sejak tahun 2003, mengamanatkan bahwa Informasi Kesehatan Terlindungi (PHI) Anda tetap aman.
PHI itu luas. Ini mencakup semua yang ditulis dokter Anda di bagan Anda. Ini mencakup percakapan antara staf medis. Ini termasuk informasi penagihan. Ini mencakup data apa pun yang dapat diidentifikasi yang disimpan oleh rencana kesehatan Anda di komputernya.
Aturannya sederhana: dilarang berbagi atau mengakses tanpa izin. Tapi “izin” itu rumit. Anda memberikannya saat Anda menandatangani formulir persetujuan awal. Atau mungkin Anda tidak melakukannya. Persyaratannya sering kali memerlukan persetujuan untuk operasi rutin.
Aturan Keamanan dan Transaksi Elektronik
Meskipun Aturan Privasi mencakup apa yang dilindungi, Aturan Keamanan mencakup bagaimana hal tersebut dilindungi secara elektronik.
Hal ini berlaku untuk transaksi elektronik yang memenuhi syarat. Ini termasuk:
– Klaim dan informasi pertemuan
– Saran pembayaran dan pengiriman uang
– Pemeriksaan status klaim
– Kelayakan dan status pendaftaran
– Referensi dan otorisasi
– Koordinasi manfaat
Entitas yang dilindungi harus menandatangani kontrak dengan rekan bisnisnya sebelum berbagi data. Baik itu transaksi online atau dokter yang memeriksa catatan di tablet, kontrak harus menegakkan perlindungan.
Perlindungan adalah hal yang wajib. Perlindungan administratif mencakup kebijakan terdokumentasi dan pelatihan karyawan. Perlindungan teknis memerlukan enkripsi data dan sistem keamanan. Perlindungan fisik melibatkan pencadangan data dan tindakan keamanan fisik.
Setiap kali seseorang mengakses informasi kesehatan Anda, mereka harus mengungkapkan alasannya. Dan mereka harus menyatakan tujuan yang dimaksudkan. Hal ini diwajibkan oleh hukum.
Dimana HIPAA Berakhir dan Realitas Dimulai
Inilah hasil tangkapannya. HIPAA hanya berlaku untuk entitas tercakup dan rekan bisnisnya. Itu tidak berlaku di semua tempat.
Majikan Anda? Tidak ada kewajiban.
Penyedia kompensasi pekerja? Tidak.
Penyedia asuransi jiwa? Tidak.
Distrik sekolah? Tidak.
Lembaga negara menyukai layanan perlindungan anak? Tidak.
Penegakan hukum? Tidak.
Kantor kota? Tidak.
Jika manajer akun menggunakan komputer untuk memverifikasi asuransi Anda, HIPAA berlaku. Jika mereka menggunakan telepon? Aturan tidak mengikat pertukaran verbal PHI dengan cara yang sama. Hukum terkait dengan transaksi elektronik. Ini adalah sebuah kesenjangan. Sebuah hal yang disengaja.
Ilusi Privasi Total
Anda memiliki hak berdasarkan HIPAA. Namun hak tersebut bersifat administratif. Itu tentang akses dan koreksi. Itu bukan tentang ketidaktampakan.
Data Anda berpindah melalui jaringan sistem yang kompleks. Clearinghouse memproses klaim. Perusahaan penagihan menangani pembayaran. Spesialis TI memelihara server. Semuanya adalah “entitas yang dilindungi”. Semuanya melihat PHI Anda.
Undang-undang HITECH menambahkan transparansi. Tembok penerobos bersifat publik. Namun transparansi tidak sama dengan keamanan. Itu hanya berarti Anda tahu jika ada yang tidak beres.
Seringkali, tidak ada yang salah. Data Anda tetap utuh. Tapi itu juga tidak pernah benar-benar milikmu. Itu adalah aset bersama. Sebuah tanggung jawab. Sebuah komoditas.
Lain kali Anda melihat formulir yang meminta persetujuan, bacalah. Tidak semuanya. Hanya bagian tentang siapa yang dapat melihat riwayat Anda. Anda mungkin akan terkejut dengan namanya.
Ketika Aturan Privasi Membengkok: Keadaan Darurat dan Kumpulan Data Terbatas
HIPAA bukanlah kunci total. Dalam keadaan tertentu, informasi kesehatan yang dilindungi (PHI) Anda dapat dibagikan tanpa izin tertulis dari Anda. Ini bukanlah celah untuk berbagi secara santai. Ini disediakan untuk skenario berisiko tinggi. Pikirkan perawatan medis darurat. Atau bioterorisme. Atau ancaman kesehatan masyarakat apa pun yang memerlukan tindakan segera.
Pengecualian juga mencakup pengawasan kesehatan masyarakat. Laporan flu lokal bergantung pada pengumpulan data ini. Investigasi juga penting. Jika pusat medis darurat menangani luka tembak, mereka akan melaporkannya. Bahkan beberapa intervensi layanan kesehatan mengizinkan penggunaan penelitian.
Data ini mengalir ke dalam apa yang disebut kumpulan data terbatas atau LDS. OSZA berisi rincian pribadi, namun dipreteli. Anda akan melihat usia. Mungkin bertahun-tahun, berbulan-bulan, berhari-hari, atau bahkan berjam-jam. Tanggal-tanggal yang relevan disertakan. Tanggal lahir Anda. Tanggal kematianmu. Tanggal masuk dan keluar jika berlaku. Data geografis dasar juga tetap ada. Kode pos. Kota dan negara bagian tempat tinggal.
Namun daftar apa yang tidak boleh ada dalam OSZA panjang. Aturan Privasi secara eksplisit melarang 16 jenis informasi yang dapat diidentifikasi. Nama-nama sudah keluar. Nomor Jaminan Sosial hilang. Alamat jalan fisik tidak cocok. Nomor telepon dan nomor faks tidak termasuk. Alamat email dihapus. URL dan alamat IP dihapus.
Pengenal kendaraan juga dilarang. Itu termasuk nomor seri dan plat nomor. Foto seluruh wajah dilarang. Gambar serupa juga sudah keluar. Pengenal biometrik seperti sidik jari tidak dapat disertakan.
Nomor rekening terlarang. Nomor rekam medis tidak termasuk. Jumlah penerima manfaat program kesehatan sudah keluar. Nomor lisensi sertifikat hilang. Pengenal perangkat, termasuk nomor seri, dilarang keras.
Kesenjangan Kepercayaan dan Konsekuensi Pelanggaran
Meskipun ada upaya perlindungan ini, kepercayaan masih rendah. 83 persen orang Amerika masih mengkhawatirkan privasi dan keamanan terkait rekam medis mereka. Hampir 70 persen tidak ingin informasi kesehatan mereka didigitalkan sama sekali.
Jadi apa yang terjadi jika ketakutan itu terbukti? Kapan pelanggaran terjadi?
Pelanggaran BPHI sering kali diakibatkan oleh pencurian komputer. Aturan Pemberitahuan Pelanggaran berlaku. Pasien yang terkena dampak harus diberitahu. Insiden ini dilaporkan ke Sekretaris Departemen Kesehatan & Layanan Kemanusiaan (HHS) AS.
Jika Anda mencurigai adanya pelanggaran privasi, Anda dapat melaporkannya. Laporkan kepada entitas tercakup atau rekan bisnis yang bertanggung jawab. Atau lapor ke HHS. Anda bisa melakukan keduanya.
Pelanggaran HIPAA membawa beban berat. Hukuman perdata termasuk denda. Ini disebut hukuman uang perdata. Hukuman pidana lebih berat. Termasuk denda dan penjara.
Memastikan Kepatuhan HIPAA
Memastikan kepatuhan memerlukan lebih dari sekadar niat baik. Anda perlu memahami Aturan Privasi dan Keamanan HIPAA dengan jelas. Kebijakan dan prosedur harus dikembangkan. Hal ini memastikan kepatuhan terhadap peraturan tersebut.
Pelatihan tidak bisa dinegosiasikan. Karyawan harus dilatih mengenai kebijakan tersebut. Mereka perlu mengetahui prosedurnya. Pelatihan ini memastikan kepatuhan terhadap Aturan Privasi dan Keamanan.
Apa sebenarnya kepatuhan HIPAA itu? Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) adalah undang-undang AS. Hal ini mengharuskan entitas yang dilindungi untuk menjaga privasi dan keamanan PHI. Entitas yang tercakup mencakup rencana kesehatan. Clearinghouse layanan kesehatan. Penyedia layanan kesehatan tertentu.
Pertanyaan yang Sering Dijawab
Bagaimana Anda memastikan kepatuhan HIPAA?
Ada beberapa cara. Salah satu caranya adalah dengan memahami Aturan Privasi dan Keamanan HIPAA dengan jelas. Cara lainnya adalah dengan mengembangkan kebijakan dan prosedur yang memastikan kepatuhan terhadap Aturan Privasi dan Keamanan HIPAA. Terakhir, melatih karyawan tentang kebijakan dan prosedur yang dikembangkan untuk memastikan kepatuhan terhadap Aturan Privasi dan Keamanan HIPAA adalah hal yang penting.
Apa yang dimaksud dengan kepatuhan HIPAA?
Undang-Undang Portabilitas dan Akuntabilitas Asuransi Kesehatan (HIPAA) adalah undang-undang AS yang mewajibkan entitas yang dilindungi untuk menjaga privasi dan keamanan informasi kesehatan yang dilindungi (PHI). Entitas yang tercakup mencakup rencana kesehatan, lembaga kliring layanan kesehatan, dan penyedia layanan kesehatan tertentu.
