Prawdopodobnie myślisz, że twoja dokumentacja medyczna jest tajemnicą między tobą a twoim lekarzem. To uspokajająca myśl. Ale w dużej mierze jest to błędne.
Twoje dane zdrowotne, informacje o ubezpieczeniu i informacje finansowe są widoczne dla różnych organizacji, o które prawdopodobnie nigdy nie pytałeś. Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych z 1996 r. (HIPAA) stworzyła krajowe ramy dla tego rozporządzenia. Nie wstrzymał dostępu do danych, a jedynie starał się je kontrolować.
Zgodnie z ustawą HIPAA przysługują Ci pewne prawa. Możesz poprosić o kopie swojej dokumentacji medycznej. Możesz poprosić o poprawki. Możesz ograniczyć wykorzystanie niektórych danych. Możesz zobaczyć, kto jeszcze uzyskał dostęp do Twoich informacji. Możliwość zobaczenia informacji nie oznacza jednak możliwości zablokowania tego dostępu. Dostęp do Twoich danych ma menadżer konta, który sprawdza na komputerze Twoje uprawnienia do ubezpieczenia. On nie jest twoim lekarzem. Ale on jest w systemie.
Kto tak naprawdę widzi Twoje dane dotyczące zdrowia?
W prawie stosuje się specjalny termin określający strony posiadające legalny dostęp: podmioty objęte.
To nie tylko lekarze. Należą do nich:
– Świadczeniodawcy usług medycznych (szpitale, przychodnie, apteki, dentyści)
– Ubezpieczeniowe plany medyczne (firmy ubezpieczeniowe, HMO, Medicare, Medicaid)
– Centra przetwarzania medycznego (izby rozliczeniowe)
– Zewnętrzni partnerzy biznesowi (firmy rozliczeniowe, podmioty przetwarzające roszczenia ubezpieczeniowe, specjaliści IT)
Podmioty te są zobowiązane do przestrzegania przepisów HIPAA. Oznacza to, że mają prawny obowiązek zapewnienia prywatności i bezpieczeństwa Twoich danych. W przypadku ich naruszenia grożą kary pieniężne. Biuro Praw Obywatelskich Departamentu Zdrowia i Opieki Społecznej Stanów Zjednoczonych utrzymuje „ścianę wstydu” z powodu naruszeń prywatności, które w jednym zdarzeniu dotknęły ponad 500 osób. Dzięki ustawie HITECH możesz samodzielnie zweryfikować te naruszenia za pomocą narzędzia do wykrywania naruszeń. Lista ta budzi poważne obawy.
Zasada prywatności i chronione informacje zdrowotne
Zasada prywatności HIPAA, obowiązująca od 2003 roku, nakłada obowiązek ochrony Twoich chronionych informacji zdrowotnych (PHI).
PHI to szerokie pojęcie. Obejmuje wszystko, co lekarz zapisuje w Twojej dokumentacji medycznej. Obejmuje rozmowy pomiędzy pracownikami służby zdrowia. Zawiera informacje rozliczeniowe. Obejmuje wszelkie informacje umożliwiające identyfikację, które Twój plan opieki zdrowotnej przechowuje na swoich komputerach.
Zasada jest prosta: udostępnianie lub dostęp bez pozwolenia jest zabronione. Ale koncepcja „zezwolenia” jest złożona. Dałeś ją podpisując wstępne formularze zgody. A może tego nie zrobili. Drobny druk często oznacza zgodę na rutynowe transakcje.
Zasada bezpieczeństwa i transakcje elektroniczne
Podczas gdy Zasada Prywatności opisuje co jest chronione, Zasada Bezpieczeństwa opisuje w jaki sposób jest ona chroniona elektronicznie.
Dotyczy to regulowanych transakcji elektronicznych. Należą do nich:
– Informacje o sprawach ubezpieczeniowych i wizytach
– Informacje o płatnościach i zwrotach pieniędzy
– Sprawdzanie statusu roszczeń ubezpieczeniowych
– Kwalifikowalność i status rejestracji
– Kierunki i uprawnienia
– Koordynacja świadczeń
Podmioty objęte ochroną muszą zawrzeć umowy ze swoimi partnerami biznesowymi przed udostępnieniem danych. Niezależnie od tego, czy jest to transakcja internetowa, czy lekarz sprawdzający dokumentację na tablecie, umowa musi zapewniać ochronę.
Wymagane są środki ochronne. Zabezpieczenia administracyjne obejmują udokumentowane zasady i szkolenia pracowników. Techniczne środki ochrony wymagają szyfrowania danych i systemów bezpieczeństwa. Środki ochrony fizycznej obejmują tworzenie kopii zapasowych danych i fizyczne środki bezpieczeństwa.
Za każdym razem, gdy ktoś uzyskuje dostęp do informacji o Twoim zdrowiu, ma obowiązek ujawnić, dlaczego to robi. I musi wskazać zamierzony cel. Jest to wymagane przez prawo.
Gdzie kończy się HIPAA, a zaczyna rzeczywistość
Oto haczyk. Ustawa HIPAA ma zastosowanie wyłącznie do podmiotów objętych nią i ich partnerów biznesowych. Nie wszędzie ma to zastosowanie.
Twój pracodawca? Żadnych zobowiązań.
Dostawcy odszkodowań dla pracowników? Nie.
Firmy ubezpieczeniowe na życie? Nie.
Okręgi szkolne? Nie.
Agencje rządowe, takie jak służby ochrony dzieci? Nie.
Egzekwowanie prawa? Nie.
Urzędy miejskie? Nie.
Jeśli menedżer konta korzysta z komputera w celu weryfikacji Twojego ubezpieczenia, obowiązuje ustawa HIPAA. A jeśli użyje telefonu? Zasady nie wiążą w ten sam sposób ustnej wymiany PHI. Prawo jest powiązane z transakcjami elektronicznymi. To jest luka. Zamierzona luka.
Iluzja całkowitej prywatności
Masz prawa wynikające z ustawy HIPAA. Prawa te mają jednak charakter administracyjny. Dotyczą dostępu do danych i ich poprawiania. Nie dotyczą niewidzialności.
Twoje dane przechodzą przez złożoną sieć systemów. Centra przetwarzania przetwarzają roszczenia ubezpieczeniowe. Firmy rozliczeniowe zajmują się płatnościami. Specjaliści IT utrzymują serwery. Wszystkie są „podmiotami objętymi ochroną”. Wszyscy widzą Twoje PHI.
Ustawa HITECH dodała przejrzystości. Ściana przecieku jest publiczna. Jednak przejrzystość nie równa się bezpieczeństwu. Oznacza to po prostu, że wiesz, kiedy coś poszło nie tak.
W większości przypadków nic się nie dzieje. Twoje dane pozostają nienaruszone. Ale nigdy też nie są naprawdę Twoje. To jest wspólny zasób. Zobowiązanie. Produkt.
Następnym razem, gdy zobaczysz formularz z prośbą o zgodę, przeczytaj go. Nie wszystko. Tylko ta część, która dotyczy tego, kto ma prawo wglądu w Twoją historię medyczną. Nazwy mogą Cię zaskoczyć.
Gdy zasady dotyczące prywatności są złagodzone: sytuacje awaryjne i ograniczone zbiory danych
HIPAA nie jest całkowitym zakazem. W pewnych okolicznościach chronione informacje zdrowotne (PHI) mogą zostać udostępnione bez Twojej wyraźnej zgody. To nie jest backdoor do nieformalnej wymiany danych. Jest to zarezerwowane dla scenariuszy o wysokich stawkach. Rozważ nagły przypadek medyczny. Albo o bioterroryzmie. Lub jakiekolwiek zagrożenie dla zdrowia publicznego wymagające natychmiastowego działania.
Wyjątki obejmują również nadzór zdrowia publicznego. Raporty dotyczące lokalnej grypy opierają się na tym gromadzeniu danych. Badania też są ważne. Jeśli ośrodek pilnej opieki leczy ranę postrzałową, musi to zgłosić. Nawet niektóre interwencje medyczne pozwalają na wykorzystanie danych do celów badawczych.
Dane te trafiają do tak zwanego ograniczonego zbioru danych (LDS). LDS zawiera dane osobowe, ale są one znacznie ograniczone. Zobaczysz wiek. Mogą to być lata, miesiące, dni, a nawet godziny. Uwzględniono odpowiednie daty. Twoja data urodzenia. Data Twojej śmierci. Daty przyjęcia i wypisu, jeśli dotyczy. Zachowywane są także podstawowe dane geograficzne. Kody pocztowe. Miasto i stan zamieszkania.
Ale lista rzeczy, które nie mogą znaleźć się w LDS, jest długa. Przepisy dotyczące prywatności wyraźnie zabraniają stosowania 16 rodzajów informacji umożliwiających identyfikację. Imiona wykluczone. Numery ubezpieczenia społecznego zostały usunięte. Fizyczne adresy pocztowe nie są akceptowane. Numery telefonu i faksu nie są uwzględniane. Adresy e-mail zostały usunięte. Adresy URL i IP zostały usunięte.
Identyfikatory pojazdów są również zabronione. Obejmuje to numery seryjne i numery tablic rejestracyjnych. Zabronione jest pełnowymiarowe fotografowanie twarzy. Porównywalne obrazy są również wykluczone. Nie można włączyć identyfikatorów biometrycznych, takich jak odciski palców.
Numery kont są zabronione. Numery dokumentacji medycznej nie są uwzględniane. Liczby beneficjentów planu zdrowotnego wyłączone. Numery certyfikatów i licencji zostały usunięte. Identyfikatory urządzeń, w tym numery seryjne, są surowo zabronione.
Naruszenie zaufania i konsekwencje naruszeń
Pomimo tych zabezpieczeń poziom zaufania jest niski. 83 procent Amerykanów nadal ma obawy dotyczące prywatności i bezpieczeństwa swojej dokumentacji medycznej. Prawie 70 procent nie chce w ogóle digitalizacji swoich informacji zdrowotnych.
Co więc się stanie, gdy te obawy się potwierdzą? Kiedy dochodzi do naruszenia?
Naruszenia BPHI są często wynikiem kradzieży komputera. Zasada powiadamiania o naruszeniu wchodzi w życie. Należy powiadomić pacjentów, których to dotyczy. Incydent jest zgłaszany Sekretarzowi Departamentu Zdrowia i Opieki Społecznej Stanów Zjednoczonych (HHS).
Jeśli podejrzewasz naruszenie poufności, możesz to zgłosić. Powiadom podmiot lub współpracownika biznesowego odpowiedzialnego za naruszenie. Lub powiadom HHS. Możesz zrobić jedno i drugie.
Naruszenia ustawy HIPAA mają poważne konsekwencje. Do kar cywilnych zaliczają się kary pieniężne. Nazywa się je cywilnymi karami pieniężnymi. Kary karne są surowsze. Należą do nich grzywny i kara pozbawienia wolności.
Zapewnienie zgodności z ustawą HIPAA
Zapewnienie zgodności wymaga czegoś więcej niż tylko dobrych intencji. Musisz dokładnie zrozumieć Zasady prywatności i bezpieczeństwa HIPAA. Należy opracować zasady i procedury. Egzekwują te zasady.
Szkolenie jest obowiązkowe. Pracownicy muszą zostać przeszkoleni w zakresie tych zasad. Muszą znać procedury. Szkolenie to zapewnia zgodność z Zasadami Prywatności i Bezpieczeństwa.
Co to jest zgodność z HIPAA? Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA) jest prawem obowiązującym w USA. Wymaga od podmiotów objętych obowiązku zachowania poufności i bezpieczeństwa PHI. Podmioty objęte obejmują plany zdrowotne. Centra wymiany medycznej (izby rozliczeniowe). Niektórzy świadczeniodawcy opieki zdrowotnej.
Często zadawane pytania
Jak zapewnić zgodność z ustawą HIPAA?
Jest wiele sposobów. Jednym ze sposobów jest dokładne zrozumienie zasad prywatności i bezpieczeństwa ustawy HIPAA. Innym sposobem jest opracowanie zasad i procedur zapewniających zgodność z Zasadami prywatności i bezpieczeństwa HIPAA. Wreszcie, niezbędne jest przeszkolenie pracowników w zakresie zasad i procedur mających na celu zapewnienie zgodności z Zasadami prywatności i bezpieczeństwa ustawy HIPAA.
Co to jest zgodność z HIPAA?
Ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA) to amerykańskie prawo, które wymaga od podmiotów objętych ochroną zachowania poufności i bezpieczeństwa chronionych informacji zdrowotnych (PHI). Podmioty objęte obejmują plany zdrowotne, giełdy opieki zdrowotnej i niektórych dostawców usług opieki zdrowotnej.
