U gaat er waarschijnlijk van uit dat uw medische gegevens geheim zijn tussen u en uw zorgverlener. Dat is een geruststellende gedachte. Het is ook grotendeels onwaar.
Uw gezondheidsgegevens, verzekeringsgegevens en financiële informatie zijn zichtbaar voor een lange rij entiteiten waarvan u waarschijnlijk nooit hebt gevraagd ernaar te kijken. De Health Insurance Portability Act and Accountability Act (HIPAA) uit 1996 creëerde hiervoor het nationale kader. Het heeft de toegang niet tegengehouden. Het probeerde het gewoon onder controle te krijgen.
Onder HIPAA heeft u wel rechten. U kunt kopieën van uw administratie opvragen. U kunt correcties eisen. U kunt bepaald gebruik beperken. Je kunt zien wie er nog meer heeft gekeken. Maar zien is niet hetzelfde als stoppen. Een accountmanager die op een computer verifieert of u in aanmerking komt, heeft toegang. Ze zijn niet uw arts. Maar ze zitten in het systeem.
Wie ziet uw gezondheidsgegevens eigenlijk?
De wet gebruikt een specifieke term voor partijen met legitieme toegang: gedekte entiteiten.
Dit zijn niet alleen artsen. Ze omvatten:
– Zorgverleners (ziekenhuizen, klinieken, apotheken, tandartsen)
– Ziektekostenverzekeringen (verzekeringsmaatschappijen, zorgorganisaties, Medicare, Medicaid)
– Zorgcentrales
– Externe zakenpartners (factureringsbedrijven, schadeverwerkers, IT-specialisten)
Deze entiteiten moeten voldoen aan de HIPAA-regels. Dat betekent dat ze een wettelijke verplichting hebben om uw gegevens privé en veilig te houden. Als ze falen, riskeren ze sancties. Het Civil Rights Office van het Amerikaanse ministerie van Volksgezondheid en Human Services handhaaft een ‘muur van schaamte’ voor inbreuken waarbij meer dan 500 mensen per incident betrokken zijn. Dankzij de HITECH Act kunt u deze fouten daadwerkelijk opzoeken met behulp van hun Breach Tool. Het is een ontnuchterende lijst.
De privacyregel en beschermde gezondheidsinformatie
De HIPAA-privacyregel, van kracht sinds 2003, schrijft voor dat uw Beschermde gezondheidsinformatie (PHI) veilig blijft.
PHI is breed. Het bevat alles wat uw arts in uw dossier schrijft. Het gaat over gesprekken tussen medisch personeel. Het bevat factuurgegevens. Het omvat alle identificeerbare gegevens die uw zorgverzekering op zijn computers opslaat.
De regel is simpel: delen of openen zonder toestemming is verboden. Maar ‘toestemming’ is lastig. U heeft het gegeven toen u de initiële toestemmingsformulieren ondertekende. Of misschien niet. De kleine lettertjes veronderstellen vaak toestemming voor routinematige handelingen.
De veiligheidsregel en elektronische transacties
Terwijl de Privacyregel bepaalt wat wordt beschermd, dekt de Beveiligingsregel hoe het elektronisch wordt beschermd.
Dit geldt voor in aanmerking komende elektronische transacties. Deze omvatten:
– Claims en informatie over ontmoetingen
– Betaal- en overboekingsadvies
– Claimstatuscontroles
– Geschiktheid en inschrijvingsstatus
– Verwijzingen en machtigingen
– Coördinatie van uitkeringen
Betrokken entiteiten moeten contracten ondertekenen met hun zakenpartners voordat ze gegevens delen. Of het nu gaat om een online transactie of om een arts die gegevens op een tablet controleert, het contract moet bescherming afdwingen.
Beveiligingen zijn verplicht. Administratieve waarborgen omvatten gedocumenteerd beleid en opleiding van medewerkers. Technische veiligheidsmaatregelen vereisen gegevensversleuteling en beveiligingssystemen. Fysieke veiligheidsmaatregelen omvatten gegevensback-up en fysieke beveiligingsmaatregelen.
Elke keer dat iemand toegang krijgt tot uw gezondheidsinformatie, moet hij of zij bekendmaken waarom. En ze moeten het beoogde doel vermelden. Dit is wettelijk verplicht.
Waar HIPAA eindigt en de realiteit begint
Hier is de vangst. HIPAA is alleen van toepassing op gedekte entiteiten en hun zakenpartners. Het geldt niet overal.
Jouw werkgever? Geen verplichting.
Aanbieders van werknemerscompensatie? Nee.
Levensverzekeraars? Nee.
Schooldistricten? Nee.
Staatsinstanties houden van kinderbeschermingsdiensten? Nee.
Wetshandhaving? Nee.
Gemeentelijk kantoor? Nee.
Als een accountmanager een computer gebruikt om uw verzekering te verifiëren, is HIPAA van toepassing. Als ze de telefoon gebruiken? De regels binden de verbale uitwisseling van PHI niet op dezelfde manier. De wet is gebonden aan elektronische transacties. Het is een kloof. Een opzettelijke.
De illusie van totale privacy
U beschikt over rechten onder HIPAA. Maar die rechten zijn van administratieve aard. Ze gaan over toegang en correctie. Ze gaan niet over onzichtbaarheid.
Uw gegevens bewegen zich door een complex web van systemen. Clearinghouses verwerken claims. Factureringsbedrijven verzorgen de betalingen. IT-specialisten onderhouden de servers. Het zijn allemaal ‘gedekte entiteiten’. Ze zien allemaal uw PHI.
De HITECH-wet zorgde voor transparantie. De bresmuur is openbaar. Maar transparantie staat niet gelijk aan veiligheid. Het betekent alleen dat je weet wanneer er iets mis is gegaan.
Meestal gaat er niets mis. Uw gegevens blijven intact. Maar het is ook nooit echt van jou. Het is een gedeeld bezit. Een verplichting. Een handelswaar.
De volgende keer dat u een formulier ziet waarin om toestemming wordt gevraagd, leest u dit. Niet alles. Alleen het gedeelte over wie jouw geschiedenis te zien krijgt. Je zult misschien verrast zijn door de namen.
Wanneer privacyregels buigen: noodgevallen en beperkte datasets
HIPAA is geen totaal slot. Onder specifieke omstandigheden kan uw beschermde gezondheidsinformatie (PHI) worden gedeeld zonder uw uitdrukkelijke toestemming. Dit is geen maas in de wet voor informeel delen. Het is gereserveerd voor scenario’s met hoge inzetten. Denk aan medische noodbehandeling. Of bioterrorisme. Of elke bedreiging voor de volksgezondheid die onmiddellijke actie vereist.
Uitzonderingen hebben ook betrekking op toezicht op de volksgezondheid. Lokale grieprapporten zijn afhankelijk van deze gegevensverzameling. Onderzoeken zijn ook belangrijk. Als een medisch noodcentrum een schotwond behandelt, melden ze dit. Zelfs sommige gezondheidszorginterventies maken onderzoeksgebruik mogelijk.
Deze gegevens komen terecht in een zogenaamde beperkte dataset of LDS. Een LDS bevat persoonlijke gegevens, maar deze zijn uitgekleed. Je zult de leeftijd zien. Het kunnen jaren, maanden, dagen of zelfs uren zijn. Relevante data zijn inbegrepen. Je geboortedatum. Uw overlijdensdatum. Opname- en ontslagdata indien van toepassing. De fundamentele geografische gegevens blijven ook behouden. Postcodes. Stad en staat van verblijf.
Maar de lijst van wat niet in een LDS kan voorkomen, is lang. De Privacyregels verbieden expliciet 16 soorten identificeerbare informatie. Namen zijn eruit. Burgerservicenummers zijn verdwenen. Fysieke straatadressen redden het niet. Telefoonnummers en faxnummers zijn uitgesloten. E-mailadressen worden verwijderd. URL’s en IP-adressen worden verwijderd.
Voertuigidentificatiemiddelen zijn ook verboden. Dat omvat serienummers en kentekenplaten. Foto’s van het volledige gezicht zijn verboden. Er zijn ook vergelijkbare afbeeldingen verschenen. Biometrische identificatiemiddelen zoals vingerafdrukken kunnen niet worden opgenomen.
Rekeningnummers zijn verboden terrein. Nummers uit medische dossiers zijn uitgesloten. De aantallen begunstigden van het gezondheidszorgplan zijn bekend. Certificaatlicentienummers zijn verdwenen. Apparaat-ID’s, inclusief serienummers, zijn ten strengste verboden.
De gevolgen van vertrouwenskloof en inbreuk
Ondanks deze waarborgen is het vertrouwen laag. 83 procent van de Amerikanen heeft nog steeds zorgen over de privacy en veiligheid van hun medische dossiers. Bijna 70 procent wil helemaal niet dat hun gezondheidsinformatie wordt gedigitaliseerd.
Dus wat gebeurt er als die angsten worden bevestigd? Wanneer vindt er een inbreuk plaats?
BPHI-inbreuken zijn vaak het gevolg van computerdiefstal. De regel voor melding van inbreuk treedt in werking. De getroffen patiënten moeten op de hoogte worden gesteld. Het incident wordt gemeld aan de secretaris van het Amerikaanse ministerie van Volksgezondheid en Human Services (HHS).
Als u een privacyschending vermoedt, kunt u dit melden. Rapporteer aan de verantwoordelijke entiteit of zakenpartner die onder de overeenkomst valt. Of meld je bij HHS. Je kunt beide doen.
HIPAA-overtredingen hebben gewicht. Civiele sancties omvatten boetes. Dit worden civiele geldstraffen genoemd. De strafrechtelijke sancties zijn strenger. Daartoe behoren boetes en gevangenisstraffen.
Zorgen voor naleving van de HIPAA
Om naleving te garanderen is meer nodig dan alleen goede bedoelingen. U moet de HIPAA-privacy- en beveiligingsregels duidelijk begrijpen. Er moeten beleid en procedures worden ontwikkeld. Deze zorgen ervoor dat de regels worden nageleefd.
Opleiding is niet onderhandelbaar. Medewerkers moeten worden opgeleid over het beleid. Ze moeten de procedures kennen. Deze training waarborgt de naleving van de Privacy- en Beveiligingsregels.
Wat is HIPAA-compliance eigenlijk? De Health Insurance Portability and Accountability Act (HIPAA) is een Amerikaanse wet. Het vereist dat gedekte entiteiten de privacy en veiligheid van PHI handhaven. Onder de gedekte entiteiten vallen onder meer gezondheidsplannen. Zorgcentrales. Bepaalde zorgverleners.
Veelgestelde vragen
Hoe zorgt u ervoor dat de HIPAA wordt nageleefd?
Er zijn een aantal manieren. Eén manier is om de HIPAA-privacy- en beveiligingsregels duidelijk te begrijpen. Een andere manier is het ontwikkelen van beleid en procedures die naleving van de HIPAA-privacy- en beveiligingsregels garanderen. Ten slotte is het belangrijk om medewerkers te trainen in het beleid en de procedures die zijn ontwikkeld om naleving van de HIPAA-privacy- en beveiligingsregels te garanderen.
Wat is HIPAA-naleving?
De Health Insurance Portability and Accountability Act (HIPAA) is een Amerikaanse wet die vereist dat gedekte entiteiten de privacy en veiligheid van beschermde gezondheidsinformatie (PHI) handhaven. Tot de gedekte entiteiten behoren zorgplannen, zorgcentrales en bepaalde zorgaanbieders.
