Conformità HIPAA: protezione informazioni salute pazienti

Avviso pratiche privacy (Notice of Privacy Practices)

Obbligatorio prima di usare dati. Firma paziente per conferma lettura/comprensione. Contiene: come info protette, come gestire proprie info (accesso, notifiche utilizzi, limitare accesso), correzione errori, comunicazioni riservate, reclami per violazioni. Assicuratori: avviso periodico, firma non richiesta.

Standard "Minimum Necessary"

Solo info strettamente necessarie per cura/pratiche aziendali possono essere divulgate a dipendenti/associati. Regole chiare in policy aziendali, enforce via access control informatici.

Autorizzazione usi aggiuntivi

Ricerca, marketing, fundraising → serve autorizzazione supplementare firmata. Dichiarazione su dati usati e tutele privacy.

Privacy psicoterapia

Note psicoterapia: protezione rafforzata. Accesso/uso richiede autorizzazione supplementare firmata (salvo esenzioni HIPAA).

Eccezioni privacy

Divulgazione senza consenso per: public health, health oversight, public safety, national security. Indagini abuso/neglect/violenza domestica, procedimenti giudiziari. Info deceduti non protette.

Garanzie (Assurances)

Business associate che trattano dati da provider: non serve firma paziente per funzioni business, ma contratto di garanzia che tutti i dipendenti seguano HIPAA.

Privacy Officer

Ogni ente sanitario deve designare privacy officer (stabilire/enforcare standard). Avviso deve includere contatti per domande/reclami.

HIPAA vs leggi statali

HIPAA = floor standard nazionale. Leggi statali più restrittive prevalgono.

Sanzioni violazioni HIPAA

Negligenza accidentale: tipicamente $100. Violazioni volontarie per guadagno personale/danno pazienti: fino $250.000 + 10 anni carcere.