Salute e malattia
L'Health Insurance Portability and Accountability Act (HIPAA) è una legge federale che garantisce la privacy delle informazioni sanitarie personali in formato elettronico. HIPAA si applica non solo ai fornitori di assistenza sanitaria, ma anche alle entità che elaborano o archiviano tali informazioni, inclusi i servizi di risposta che inoltrano dati sanitari ai fornitori.
HIPAA scoraggia l'accesso non necessario alle informazioni sanitarie personali archiviate elettronicamente. I regolamenti richiedono inoltre informazioni dettagliate sull'accesso dei dipendenti ai dati dei pazienti. Ad esempio, i call center devono verificare chi ha accesso a tali informazioni. Il registro di controllo deve riportare data e ora dell'accesso, nonché il nome o il numero del dipendente.
I dipendenti dovrebbero limitare le informazioni sui pazienti quando usano l'email. HIPAA richiede la crittografia delle email contenenti dati dei pazienti trasmesse via Internet. Software specifici permettono di recuperare email crittografate tramite password sicura.
In caso di accesso, uso o divulgazione non autorizzati di informazioni sui pazienti, HIPAA impone la notifica. Se una violazione coinvolge 500 o più partecipanti a un piano sanitario, il datore di lavoro deve informare i media e l'HHS (Department of Health and Human Services) e notificare gli individui interessati entro 60 giorni. La notifica deve includere: (1) data e modalità della violazione, (2) natura dei dati divulgati, (3) come i pazienti possono prevenire danni, (4) descrizione dell'indagine e azioni per prevenire ulteriori divulgazioni, (5) contatti per ulteriori domande.
HIPAA specifica requisiti precisi per notificare gli individui colpiti da uso o divulgazione non autorizzata. Le aziende devono inviare la notifica tramite posta prioritaria all'ultimo indirizzo noto. Se l'individuo è deceduto, la notifica va inviata al prossimo congiunto. Se non si riesce a localizzare l'indirizzo, è richiesta un'altra forma di notifica. Se tale forma alternativa serve per 10 o più pazienti, l'entità deve pubblicare un avviso sul proprio sito web o informare un'organizzazione di stampa.
L'Office for Civil Rights del Department of Health & Human Services fa rispettare HIPAA e indaga sulle violazioni. I regolamenti stabiliscono sanzioni civili e penali per la divulgazione di informazioni sui pazienti: sanzioni civili di 100 dollari per ogni violazione, con un massimo di 25.000 dollari per anno solare per tutte le violazioni. Le sanzioni civili non si applicano se la violazione è dovuta a "causa ragionevole e non a negligenza volontaria" (Riferimento 2).
Settore sanitario (generale)