Probabilmente presumi che la tua cartella clinica sia un segreto tra te e il tuo fornitore. È un pensiero confortante. È anche in gran parte falso.
I tuoi dati sanitari, i dettagli dell’assicurazione e le informazioni finanziarie sono visibili a una lunga serie di entità a cui probabilmente non hai mai chiesto di guardare. L’Health Insurance Portability Act and Accountability Act (HIPAA) del 1996 ha creato il quadro nazionale a tal fine. Non ha impedito l’accesso. Ha solo cercato di controllarlo.
Secondo HIPAA, hai dei diritti. Puoi richiedere copie dei tuoi documenti. Puoi richiedere correzioni. Puoi limitare determinati usi. Puoi vedere chi altro ha guardato. Ma vedere non è la stessa cosa che fermarsi. Ha accesso un gestore dell’account che verifica la tua idoneità su un computer. Non sono il tuo medico. Ma sono nel sistema.
Chi vede effettivamente i tuoi dati sanitari?
La legge utilizza un termine specifico per le parti con accesso legittimo: entità coperte.
Questi non sono solo medici. Includono:
– Operatori sanitari (ospedali, cliniche, farmacie, dentisti)
– Piani sanitari (compagnie assicurative, HMO, Medicare, Medicaid)
– Camere di compensazione della sanità
– Collaboratori d’affari terzi (società di fatturazione, elaboratori di sinistri, specialisti IT)
Queste entità devono rispettare le norme HIPAA. Ciò significa che hanno l’obbligo legale di mantenere i tuoi dati privati e sicuri. Se falliscono, rischiano sanzioni. L’Ufficio per i diritti civili del Dipartimento della sanità e dei servizi umani degli Stati Uniti mantiene un “muro della vergogna” per le violazioni che colpiscono più di 500 persone per incidente. Grazie all’HITECH Act, puoi effettivamente verificare questi fallimenti utilizzando il loro Breach Tool. È un elenco che fa riflettere.
La normativa sulla privacy e l’informazione sanitaria protetta
La normativa sulla privacy HIPAA, applicata dal 2003, impone che le tue Informazioni sanitarie protette (PHI) rimangano sicure.
PHI è ampio. Include tutto ciò che il tuo medico scrive nella tua cartella clinica. Copre le conversazioni tra il personale medico. Include informazioni di fatturazione. Include tutti i dati identificabili archiviati dal tuo piano sanitario nei suoi computer.
La regola è semplice: è vietata la condivisione o l’accesso senza autorizzazione. Ma il “permesso” è complicato. L’hai dato quando hai firmato i moduli di consenso iniziali. O forse no. Le clausole scritte in piccolo spesso presuppongono il consenso per le operazioni di routine.
La regola della sicurezza e le transazioni elettroniche
Mentre la Regola sulla Privacy copre cosa è protetto, la Regola sulla Sicurezza copre come è protetto elettronicamente.
Questo vale per le transazioni elettroniche idonee. Questi includono:
– Reclami e informazioni sull’incontro
– Consulenza sui pagamenti e sulle rimesse
– Controlli sullo stato dei sinistri
– Idoneità e stato di iscrizione
– Rinvio e autorizzazioni
– Coordinamento delle prestazioni
Le entità interessate devono firmare contratti con i propri soci in affari prima di condividere i dati. Che si tratti di una transazione online o di un medico che controlla i dati su un tablet, il contratto deve garantire la protezione.
Le garanzie sono obbligatorie. Le tutele amministrative comprendono politiche documentate e formazione dei dipendenti. Le garanzie tecniche richiedono la crittografia dei dati e sistemi di sicurezza. Le garanzie fisiche implicano il backup dei dati e misure di sicurezza fisica.
Ogni volta che qualcuno accede alle tue informazioni sanitarie, deve rivelarne il motivo. E devono indicare lo scopo previsto. Ciò è richiesto dalla legge.
Dove finisce l’HIPAA e inizia la realtà
Ecco il problema. L’HIPAA si applica solo alle entità coperte e ai loro soci in affari. Non si applica ovunque.
Il tuo datore di lavoro? Nessun obbligo.
Fornitori di indennizzi per i lavoratori? No.
Assicuratori sulla vita? No.
Distretti scolastici? No.
Alle agenzie statali piacciono i servizi di protezione dell’infanzia? No.
Forze dell’ordine? No.
Uffici comunali? No.
Se un account manager utilizza un computer per verificare la tua assicurazione, si applica l’HIPAA. Se usano il telefono? Le regole non vincolano allo stesso modo lo scambio verbale di PHI. La legge è legata alle transazioni elettroniche. È una lacuna. Uno deliberato.
L’illusione della privacy totale
Hai i diritti previsti dall’HIPAA. Ma questi diritti sono amministrativi. Riguardano l’accesso e la correzione. Non riguardano l’invisibilità.
I tuoi dati si muovono attraverso una complessa rete di sistemi. I centri di compensazione trattano le richieste. Le società di fatturazione gestiscono i pagamenti. Gli specialisti IT mantengono i server. Tutti loro sono “entità coperte”. Tutti vedono il tuo PHI.
L’HITECH Act ha aggiunto trasparenza. Il muro della breccia è pubblico. Ma la trasparenza non equivale a sicurezza. Significa solo che sai quando qualcosa è andato storto.
Nella maggior parte dei casi, nulla va storto. I tuoi dati rimangono intatti. Ma non è mai veramente tuo. È un bene condiviso. Una responsabilità. Una merce.
La prossima volta che vedi un modulo che richiede il consenso, leggilo. Non tutto. Solo la parte su chi può vedere la tua cronologia. Potresti rimanere sorpreso dai nomi.
Quando le regole sulla privacy si piegano: emergenze e set di dati limitati
L’HIPAA non è un blocco totale. In circostanze specifiche, le tue informazioni sanitarie protette (PHI) possono essere condivise senza il tuo esplicito consenso. Questa non è una scappatoia per la condivisione casuale. È riservato a scenari ad alto rischio. Pensa alle cure mediche di emergenza. O bioterrorismo. O qualsiasi minaccia per la salute pubblica che richieda un’azione immediata.
Le eccezioni riguardano anche la sorveglianza sanitaria pubblica. I rapporti locali sull’influenza si basano su questa raccolta di dati. Anche le indagini contano. Se un centro medico di emergenza tratta una ferita da arma da fuoco, lo segnalano. Anche alcuni interventi sanitari consentono l’utilizzo nella ricerca.
Questi dati confluiscono in quello che viene chiamato set di dati limitato o LDS. Una Chiesa dei Santi degli Ultimi Giorni contiene dettagli personali, ma sono ridotti al minimo. Vedrai l’età. Potrebbero essere anni, mesi, giorni o addirittura ore. Le date rilevanti sono incluse. La tua data di nascita. La tua data di morte. Date di ammissione e dimissione, se applicabili. Rimangono anche i dati geografici di base. Codici postali. Città e stato di residenza.
Ma l’elenco di ciò che non può essere presente in una Chiesa è lungo. Le Regole sulla Privacy vietano esplicitamente 16 tipi di informazioni identificabili. I nomi sono usciti. I numeri della previdenza sociale sono spariti. Gli indirizzi fisici non rientrano nel taglio. Sono esclusi i numeri di telefono e di fax. Gli indirizzi e-mail vengono rimossi. URL e indirizzi IP vengono rimossi.
Sono vietati anche gli identificatori dei veicoli. Ciò include numeri di serie e targhe. Sono vietate le foto a figura intera. Sono disponibili anche immagini comparabili. Non è possibile includere identificatori biometrici come le impronte digitali.
I numeri di conto sono vietati. Sono esclusi i numeri delle cartelle cliniche. Sono usciti i numeri dei beneficiari del piano sanitario. I numeri di licenza del certificato sono scomparsi. Gli identificatori del dispositivo, inclusi i numeri di serie, sono severamente vietati.
Il divario di fiducia e le conseguenze di una violazione
Nonostante queste tutele, la fiducia è bassa. L’83% degli americani nutre ancora dubbi sulla privacy e sulla sicurezza delle proprie cartelle cliniche. Quasi il 70% non vuole affatto che le proprie informazioni sanitarie siano digitalizzate.
Quindi cosa succede quando queste paure vengono confermate? Quando si verifica una violazione?
Le violazioni del BPHI spesso derivano dal furto di computer. Entra in vigore la regola di notifica delle violazioni. I pazienti interessati devono essere avvisati. L’incidente è stato segnalato al Segretario del Dipartimento americano della salute e dei servizi umani (HHS).
Se sospetti una violazione della privacy, puoi segnalarla. Riferire all’entità coperta o al socio in affari responsabile. Oppure fai rapporto all’HHS. Puoi fare entrambe le cose.
Le violazioni HIPAA hanno un peso. Le sanzioni civili comprendono le multe. Queste sono chiamate sanzioni pecuniarie civili. Le sanzioni penali sono più severe. Includono multe e reclusione.
Garantire la conformità HIPAA
Garantire la conformità richiede qualcosa di più delle buone intenzioni. È necessario comprendere chiaramente le norme sulla privacy e sulla sicurezza HIPAA. È necessario sviluppare politiche e procedure. Questi garantiscono il rispetto di tali norme.
La formazione non è negoziabile. I dipendenti devono essere formati sulle politiche. Hanno bisogno di conoscere le procedure. Questa formazione garantisce il rispetto delle norme sulla privacy e sulla sicurezza.
Cos’è comunque la conformità HIPAA? L’HIPAA (Health Insurance Portability and Accountability Act) è una legge statunitense. Richiede alle entità coperte di mantenere la privacy e la sicurezza delle PHI. Le entità coperte includono piani sanitari. Stazioni di compensazione della sanità. Alcuni operatori sanitari.
Domande con risposta frequente
Come garantite la conformità HIPAA?
Esistono diversi modi. Un modo è comprendere chiaramente le norme sulla privacy e sulla sicurezza HIPAA. Un altro modo è sviluppare politiche e procedure che garantiscano la conformità alle norme sulla privacy e sulla sicurezza HIPAA. Infine, è importante formare i dipendenti sulle politiche e sulle procedure sviluppate per garantire la conformità alle norme sulla privacy e sulla sicurezza HIPAA.
Che cos’è la conformità HIPAA?
L’HIPAA (Health Insurance Portability and Accountability Act) è una legge statunitense che impone agli enti coperti di mantenere la privacy e la sicurezza delle informazioni sanitarie protette (PHI). Le entità coperte includono piani sanitari, centri di smistamento sanitario e alcuni fornitori di servizi sanitari.
