Salute e malattia
L'Health Insurance Portability and Accountability Act (HIPAA) fornisce protezione federale per la privacy delle informazioni personali relative alla salute. Il programma HIPAA ricade sotto il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti. L'atto permette il rilascio di informazioni in alcune circostanze come al fornitore di assicurazione di una persona e ad altri fornitori sanitari. HIPAA ha una speciale regola di sicurezza che stabilisce gli standard per salvaguardare le informazioni mediche memorizzate elettronicamente.
Le informazioni sanitarie personali elettroniche (e-PHI) sono protette dalla "Security Rule". Le informazioni e-PHI non possono essere fornite a persone non autorizzate a vederle o rivelare qualsiasi informazione dai referti mentre simultaneamente rendono i referti disponibili alle persone autorizzate a rivederli. La Security Rule protegge anche contro la modifica o distruzione dei dati con mezzi non autorizzati.
Come questa regola è implementata non è regolamentato. Piccole cliniche possono avere un modo diverso di tenere i referti rispetto a un ospedale che ha filiali in tutto il paese.
Misure di sicurezza sono richieste per limitare l'accesso ai referti da personale non autorizzato. Questo è chiamato "Facility Access and Control".
L'"entità coperta" (covered entity), che è il luogo che ha i referti come uno studio medico, deve usare politiche e procedure per il "corretto uso e accesso a workstation e media elettronici", secondo HIPAA. Questo si applica anche all'invio di referti, rimozione file, distruzione file e persino riutilizzo di media elettronici come un CD riscrivibile.
Politiche devono essere create e usate per hardware e software per creare registri di chi ha accesso alle informazioni. Una procedura deve essere in atto per rivedere chi ha accesso ai referti. Sistemi devono essere in atto per proteggere i referti dall'essere cambiati o distrutti. Ad esempio, un sistema di backup può essere usato per proteggere i dati elettronici. La protezione deve anche essere fornita durante l'invio dei dati elettronicamente. Questo è tipicamente un sistema di sicurezza information technology.
L'entità coperta deve affrontare qualsiasi violazione come se una persona non autorizzata ottenga accesso a referti privati. "Passi ragionevoli" devono essere presi per risolvere la situazione, secondo HIPAA. È considerata una violazione se l'entità coperta non ha salvaguardie come il controllo accessi in atto.
Politiche e procedure devono essere in atto per mantenere i registri. Attualmente, la regola HIPAA è di mantenere i registri di policy e procedure così come qualsiasi azione scritta richiesta per sei anni dalla data di creazione o "ultima data efficace". L'entità coperta deve anche condurre revisioni dei suoi registri e implementare nuove linee guida se necessario. La Security Rule non stabilisce regole di conservazione per i referti medici.
Settore sanitario (generale)