Conformità HIPAA: prevenire violazioni dati e proteggere privacy pazienti

L'aumento dell'uso della tecnologia nel settore sanitario aiuta fornitori, assicuratori e pazienti ad accedere rapidamente alle cartelle cliniche. Tuttavia, il trasferimento elettronico di informazioni sanitarie protette (PHI) può renderle vulnerabili a violazioni e abusi. Nel 1996, l'Health Insurance Portability and Accountability Act (HIPAA) fu approvato con due scopi. Primo, HIPAA stabilì standard nazionali per il trasferimento elettronico di PHI e secondo, la legge diede ai pazienti ulteriori tutele per proteggere la privacy del loro PHI.

Le entità coperte da HIPAA possono affrontare multe severe e gli individui possono essere condannati al carcere per violazioni HIPAA. Per evitare reclami e indagini HIPAA, le entità coperte possono adottare misure proattive per assicurare la conformità della loro organizzazione.

Istruzioni

1. Rivedere le politiche e procedure dell'organizzazione relative alla privacy del paziente. La Privacy Rule HIPAA delinea chi può accedere al PHI di un individuo e come può essere usato. Le organizzazioni devono designare un Privacy Officer che monitori la conformità alla Privacy Rule.
   Assicuratevi che ogni paziente riceva un avviso scritto sulle pratiche di privacy e affiggetelo in evidenza. Questo avviso deve dire ai pazienti come e quando il loro PHI può essere divulgato. Per qualsiasi uso fuori da quanto permesso da HIPAA, l'organizzazione deve ottenere l'autorizzazione scritta del paziente.
2. Rivedere le politiche e procedure relative alla sicurezza del PHI. La Security Rule HIPAA stabilisce i requisiti per la protezione amministrativa, fisica e tecnica del PHI. Per garantire conformità, HIPAA richiede che le organizzazioni designino un Security Officer. Questa persona dovrebbe guidare l'analisi dei sistemi di sicurezza, prendere misure per identificare e correggere possibili rischi e monitorare continuamente la conformità. L'accesso al PHI deve essere limitato solo ai dipendenti che ne hanno bisogno e deve essere sempre protetto da password.
3. Formare lo staff su HIPAA e le loro responsabilità legate alla legge. La California Medical Association raccomanda che lo staff riveda annualmente le politiche e procedure HIPAA dell'organizzazione. Una volta completata la revisione, i dipendenti dovrebbero firmare una dichiarazione riconoscendo di averle comprese. Rendere politiche e procedure facilmente accessibili così che lo staff possa tornarci a rivederle quando necessario.
4. Richiedere a tutti i business associate che trattano PHI di firmare un accordo per rispettare HIPAA. I business associate sono individui o aziende non considerati entità coperte ma che toccano PHI come parte del servizio che forniscono a un'entità coperta. Questo potrebbe includere un fornitore software, avvocato o commercialista.
5. Rispondere e conformarsi alle richieste dei pazienti per il loro PHI. I pazienti possono ricevere copie delle loro cartelle cliniche, ma non gli originali. I pazienti dovrebbero ricevere copie entro 30 giorni dalla richiesta. Se quel termine non può essere rispettato, il paziente deve essere notificato.