Conformità HIPAA per le Organizzazioni: Guida Completa

L'Health Insurance Portability and Accountability Act del 1996 (HIPAA) stabilisce i requisiti legali per la protezione delle informazioni sanitarie personali. L'HIPAA riguarda le organizzazioni che usano archiviazione e trasmissione elettronica delle cartelle cliniche degli individui. I tipi di organizzazioni che devono conformarsi all'HIPAA includono fornitori di assistenza sanitaria, fornitori di assicurazioni, piani sanitari, centri di smistamento sanitario e i partner commerciali di queste organizzazioni. Anche alcuni datori di lavoro devono conformarsi ai requisiti HIPAA.

Sicurezza e Accesso alle Informazioni del Paziente

HIPAA richiede accesso basato sui ruoli alle informazioni protette del paziente.
Ospedali e altri fornitori sanitari devono proteggere la privacy delle "informazioni sanitarie identificabili individualmente", sia su carta, comunicate verbalmente o in forma elettronica. Le organizzazioni devono avere politiche in atto per definire l'accesso basato sui ruoli alle informazioni sanitarie personali per scopi di trattamento, pagamento o operazioni. Solo i membri dello staff con necessità di conoscere informazioni specifiche possono accedere alle cartelle cliniche elettroniche dei pazienti.

Attività di Interesse e Beneficio Pubblico

HIPAA permette la divulgazione di informazioni sanitarie protette per dispositivi medici richiamati.
Le organizzazioni devono familiarizzare con le priorità nazionali designate che permettono il rilascio di informazioni sanitarie protette senza il consenso del paziente o del suo rappresentante. L'HIPAA identifica 12 "scopi di interesse pubblico", ciascuno con limitazioni e condizioni intese a bilanciare l'interesse pubblico con la privacy personale. Alcune delle divulgazioni ammesse enumerate come scopi di interesse pubblico includono: richiami di dispositivi medici approvati FDA, protezione delle vittime di violenza domestica, abuso e negligenza, casi che coinvolgono presunta attività criminale e risposte a ordini del tribunale.

Datori di Lavoro

Datori di lavoro con infermiere in sede devono conformarsi ai requisiti HIPAA.
I datori di lavoro possono ricevere informazioni sanitarie protette su un infortunio sul lavoro di un dipendente. Se un datore di lavoro fornisce un'infermiera sanitaria in sede, offre un programma di benessere per i dipendenti o ha un piano assicurativo autoassicurato, il datore di lavoro deve fornire le stesse protezioni di privacy e sicurezza per le cartelle sanitarie personali come per le cartelle in ospedali e studi medici.

Formazione Continua

Le organizzazioni devono fornire formazione HIPAA per i dipendenti appropriati.
I datori di lavoro soggetti a HIPAA devono formare i nuovi assunti e fornire formazione sugli aggiornamenti HIPAA quando implementati. I datori di lavoro devono anche fornire formazione nel caso di eventuali violazioni HIPAA.

Organizzazioni che Offrono Conti di Spesa Flessibili

Datori di lavoro che offrono Conti di Spesa Flessibili devono avere amministratori di piano conformi a HIPAA.
Se un datore di lavoro offre un Conto di Spesa Flessibile (FSA), che permette ai dipendenti di accantonare dollari pre-tasse per spese mediche out-of-pocket, il datore di lavoro deve assicurarsi che l'amministratore dell'FSA soddisfi le linee guida di conformità HIPAA. I datori di lavoro potrebbero anche aver bisogno di un accordo "business associate" conforme a HIPAA con l'amministratore dell'FSA.

Procedura Scritta per Indagine Reclami

Una procedura scritta facilita una revisione approfondita di un reclamo HIPAA.
Le organizzazioni dovrebbero avere un piano scritto per indagare i reclami HIPAA. Le regole HIPAA non impongono una procedura scritta; tuttavia, le organizzazioni possono usare i loro piani scritti come parte della loro documentazione sulle azioni intraprese per indagare, rimediare e risolvere i reclami. La documentazione investigativa può anche prevenire la ricorrenza di processi problematici. L'HIPAA può concedere 30 giorni alle organizzazioni per correggere una violazione HIPAA non intenzionale.

Sanzioni

Una violazione intenzionale HIPAA può risultare in una multa.
Le organizzazioni che non si conformano ai mandati HIPAA per proteggere la privacy e la sicurezza delle informazioni sanitarie protette possono affrontare multe da $100 a $50.000 o più per violazione. L'Office for Civil Rights deve notificare all'organizzazione la mancata conformità ai requisiti HIPAA, e l'organizzazione riceverà opportunità di fornire prove che potrebbero ridurre la penalità.