Privacy paziente: perché staff medico non deve mai condividere info senza consenso
La HIPAA Privacy Rule (45 CFR §164.502) vieta a covered entities (fornitori, health plans, clearinghouses) e loro workforce di usare o divulgare informazioni sanitarie protette (PHI) senza autorizzazione paziente — con eccezioni limitate (trattamento, pagamento, operazioni, public health, law enforcement con mandato).
Cosa costituisce PHI
18 identificatori combinati con info sanitarie: nome, DOB, MRN, SSN, foto facciali, CAP, date, device ID, biometria, ecc.
Violazioni comuni
- Discutere pazienti in ascensori, mense, o social media.
- Condividere con famiglia/amici senza consenso (eccetto decision-makers surrogati).
- Accedere cartelle senza ruolo trattamento ("curiosità").
- Smaltimento improprio (carte non tritate, dispositivi non criptati).
Conseguenze
- Penali civili: $137–$68.928 per violazione (tiered by culpability); max $2M/anno per provvisione.
- Penali penali: Fino a $250K + 10 anni carcere (abuso consapevole).
- Professionali: Disciplina licenza, licenziamento, perdita privilegi ospedalieri.
- Reputazionali: Notifica breach, copertura media, cause legali.
Risposta corretta a richieste
"Non posso condividere quell'informazione senza autorizzazione scritta del paziente. Se sei il paziente o loro rappresentante legale, contatta il nostro dipartimento cartelle cliniche per procedure rilascio corrette."