Conformità HIPAA: protezione privacy pazienti e sicurezza dati

Storia

Il Congresso ha approvato l'HIPAA originale nel 1996. L'atto ha emendato un codice fiscale di un decennio prima che affrontava gli stessi problemi. Titolo I HIPAA: accesso all'assistenza sanitaria, portabilità e rinnovabilità polizze. Titolo II: prevenzione abusi/frodi, semplificazione amministrazione, riforme responsabilità medica. La regola sulla privacy HIPAA è entrata in vigore dicembre 2000, con modifiche agosto 2002.

Applicabilità

Gli standard si applicano a piani assicurativi sanitari, clearinghouse e tutti i fornitori sanitari che trasferiscono dati elettronici sui pazienti. Piani dentali, medici, visivi e farmaceutici sono piani sanitari. Dati protetti: informazioni che identificano o potrebbero identificare il paziente, condizione fisica/mentale attuale, passata o futura, informazioni di pagamento. La legge si applica anche a istituzioni finanziarie che processano pagamenti per servizi sanitari, inclusi pagamenti polizze, indipendentemente dal metodo. Eccezioni per datori che sponsorizzano un piano con meno di 50 partecipanti.

Transazioni coperte

Sono protette: informazioni su eleggibilità, iscrizione o cessazione assicurazione; richieste benefici e allegati; informazioni rimborso premi/pagamenti fornitori; referti infortunio iniziali; stato richieste; autorizzazioni referral. Oltre alle transazioni elettroniche, HIPAA richiede di proteggere i registri cartacei tenendoli in area sicura e limitando l'accesso al personale necessario.

Penali per violazioni

HIPAA prevede penali severe per mancata conformità. Da febbraio 2011: chi non rispetta può essere multato fino a 100 $ per incidente, max 25.000 $. Se la persona usa, ottiene o divulga consapevolmente informazioni protette: multa fino a 50.000 $, un anno carcere, o entrambi. Se violazione sotto false pretese: fino a 100.000 $ e/o 5 anni prigione. Reato per guadagno o danno doloso: multa fino a 250.000 $, 10 anni carcere, o entrambi, indipendentemente dall'intento di usare, trasferire o vendere l'informazione.

Divulgazione permessa

Le informazioni possono essere rilasciate con consenso del paziente. HIPAA permette anche il rilascio quando c'è un obbligo legale. Esempio: medici possono segnalare violenza domestica, negligenza, abusi; ospedale può dover segnalare prove che un paziente ha commesso un reato. Se un fornitore ha ragionevole sospetto che un paziente rappresenti una grave minaccia per il pubblico o un individuo, può divulgare l'informazione alla polizia o al bersaglio della minaccia.