Cele praw prywatności HIPAA
Prawa prywatności HIPAA zostały po raz pierwszy uchwalone w 2002 r. w celu ochrony poufności informacji o opiece zdrowotnej pacjentów bez utrudniania przepływu informacji, które były wymagane do zapewnienia leczenia. Przepisy dotyczące prywatności HIPAA kontrolują, kto może mieć dostęp do chronionych informacji zdrowotnych (PHI), warunki, w jakich mogą być one wykorzystywane, i komu mogą być ujawnione.
Przepisy dotyczące prywatności HIPAA mają zastosowanie nie tylko do podmiotów świadczących usługi opieki zdrowotnej i organizacji, dla których pracują. Przepisy dotyczą każdego podmiotu, który może mieć dostęp do informacji o pacjencie, które – gdyby dostały się w niepowołane ręce – mogłyby stanowić ryzyko szkody dla finansów lub reputacji pacjenta. Dlatego ubezpieczyciele zdrowotni, izby rozliczeniowe opieki zdrowotnej i pracodawcy, którzy zapewniają wewnętrzne plany zdrowotne również muszą przestrzegać przepisów HIPAA dotyczących prywatności.
Informacje chronione przez przepisy HIPAA dotyczące prywatności
Informacje chronione przez przepisy HIPAA dotyczące prywatności są znane jako „Individually Identifiable Health Information”. Są to wszelkie informacje, które mogą ujawnić tożsamość pacjenta w odniesieniu do:
- przeszłego, obecnego lub przyszłego stanu fizycznego lub psychicznego pacjenta,
- świadczenia opieki zdrowotnej i usług opieki zdrowotnej na rzecz pacjenta, lub
- przeszłej, obecnej lub przyszłej zapłaty za świadczenie opieki zdrowotnej na rzecz pacjenta.
Ponieważ chronione dane zawierają informacje o płatnościach, indywidualnie identyfikowalne informacje zdrowotne obejmują nie tylko dane takie jak nazwiska, daty urodzenia, numery ubezpieczenia społecznego i numery telefonów, ale także numery rejestracyjne samochodów, informacje o kartach kredytowych, a nawet przykłady pisma pacjenta.
Ważne jest, aby podmioty objęte ochroną zwróciły uwagę, że przepisy HIPAA o ochronie prywatności dotyczą nie tylko danych zapisanych w formie pisemnej. Zdjęcia i filmy zawierające jakiekolwiek indywidualnie identyfikowalne informacje zdrowotne są również chronione przez przepisy HIPAA o ochronie prywatności.
Jeśli, na przykład, pracownik służby zdrowia zrobił zdjęcie rany pacjenta – a tożsamość pacjenta można ustalić na podstawie jakiejkolwiek wyróżniającej go cechy – poufność i ujawnienie zdjęcia podlegałoby warunkom określonym w przepisach HIPAA o ochronie prywatności.
PHI: Kto, kiedy i jak?
Przepisy HIPAA dotyczące prywatności PHI odnoszą się do każdego podmiotu objętego ochroną oraz każdego dostawcy usług strony trzeciej (lub „Współpracownika biznesowego”), z którym podmiot objęty ochroną prowadzi interesy. Są to jedyne strony, które powinny mieć dostęp do PHI, chyba że pacjent wyrazi zgodę na ich ujawnienie w celach badawczych, marketingowych lub związanych ze zbieraniem funduszy.
Ujawnienie PHI dla celów leczenia, płatności lub działań w zakresie opieki zdrowotnej musi być ograniczone do podmiotu objętego obowiązkiem ubezpieczenia lub współpracownika biznesowego – chyba że ujawnienie jest wymagane przez prawo, leży w najlepiej pojętym interesie publicznym lub w najlepiej pojętym interesie pacjenta (na przykład, jeśli pacjent jest ofiarą wykorzystywania dzieci, zaniedbywania lub przemocy domowej).
Nieautoryzowane ujawnienie PHI
Każdy podmiot objęty obowiązkiem jest wdrożyć zabezpieczenia, aby zapobiec nieautoryzowanemu ujawnieniu PHI. Zabezpieczenia te będą się różnić w zależności od wielkości podmiotu objętego ochroną i charakteru opieki zdrowotnej, którą świadczy, ale kary za niezabezpieczenie integralności PHI mogą być bardzo wysokie. Organizacje opieki zdrowotnej, które celowo lub przez zaniedbanie nie przestrzegają przepisów HIPAA dotyczących prywatności, mogą zostać ukarane grzywną w wysokości do 50 000 USD za wykroczenie dziennie.
Zgodnie z danymi Biura Praw Obywatelskich Departamentu Zdrowia i Zasobów Ludzkich (Department of Health and Human Resources´ Office for Civil Rights), najczęstszą przyczyną nieuprawnionego ujawnienia informacji PHI jest utrata lub kradzież osobistych urządzeń przenośnych i przenośnych urządzeń multimedialnych (laptopów, smartfonów i pamięci USB). Z tego powodu wiele organizacji opieki zdrowotnej zdecydowało się wdrożyć rozwiązania bezpiecznego przesyłania wiadomości jako odpowiednie zamienniki dla niezabezpieczonych kanałów komunikacji, takich jak SMS i e-mail.
Rozwiązania bezpiecznego przesyłania wiadomości szyfrują PHI w taki sposób, że są one nie do rozszyfrowania i nie nadają się do użytku w przypadku przechwycenia ich w trakcie tranzytu, a także posiadają mechanizmy bezpieczeństwa zapewniające, że PHI nie może być przypadkowo lub złośliwie wysłany poza prywatną sieć komunikacyjną podmiotu objętego ochroną lub skopiowany na pamięć USB. W przypadku zgubienia lub kradzieży osobistego urządzenia przenośnego istnieją kontrole administracyjne umożliwiające zdalne usunięcie wszelkich PHI otrzymanych przez to urządzenie i zablokowanie aplikacji używanej do bezpiecznego przesyłania wiadomości. Kontrole te działają również na komputerach stacjonarnych.
Korzyści z bezpiecznych rozwiązań w zakresie przesyłania wiadomości
Nie tylko bezpieczne rozwiązania w zakresie przesyłania wiadomości są zgodne z przepisami HIPAA dotyczącymi prywatności, ale również z administracyjnymi, fizycznymi i technicznymi wymogami HIPAA Security Rule. Oznacza to, że istnieją mechanizmy monitorujące bezpieczne wiadomości i zapewniające 100% rozliczalność wiadomości, co z kolei zmniejsza liczbę „phone tag” – ilość czasu traconego przez pracowników służby zdrowia oczekujących na potwierdzenie, że wiadomość została odebrana lub na odpowiedź.
Niedawny artykuł w CNN Money donosi, że „phone tag” kosztuje amerykańską służbę zdrowia ponad 7 miliardów dolarów rocznie i że wdrożenie rozwiązań bezpiecznego przesyłania wiadomości mogłoby przyspieszyć procesy opieki zdrowotnej, takie jak przyjęcia do szpitala i wypisy pacjentów. Odrębne badania wykazały również, że bezpieczne przesyłanie wiadomości przyspiesza komunikację, sprzyja współpracy, a gdy jest zintegrowane z EHR, zmniejsza liczbę incydentów związanych z bezpieczeństwem pacjentów i błędów w stosowaniu leków.
Dzięki bezpiecznemu przesyłaniu wiadomości informacje chronione przepisami HIPAA dotyczącymi prywatności pozostają zabezpieczone, dostęp do PHI uzyskują tylko upoważnieni użytkownicy, a podmioty świadczące usługi opieki zdrowotnej mogą komunikować się z taką samą szybkością i wygodą, jak w przypadku wiadomości SMS lub e-mail, ale bez ryzyka nieuprawnionego ujawnienia PHI. Bezpieczne przesyłanie wiadomości spełnia warunki ustaw o ochronie prywatności HIPAA dotyczących tego, kto może mieć dostęp do PHI, warunków, na jakich można je wykorzystywać, i komu można je ujawniać.
Dalsze informacje o ustawach o ochronie prywatności HIPAA
Jeśli chcesz dowiedzieć się więcej o ustawach o ochronie prywatności HIPAA, możesz znaleźć dodatkowe informacje tutaj.
Jeśli chcesz dowiedzieć się więcej o ustawach o ochronie prywatności HIPAA, możesz znaleźć dodatkowe informacje tutaj.