Salute e malattia
L'Health Insurance Portability and Accountability Act, approvato nel 1996, è noto per le sue Privacy e Security Rule che proteggono la privacy delle informazioni sanitarie di un individuo e regolano chi ha accesso alle informazioni mediche confidenziali di un paziente. All'interno del Department of Health and Human Services, l'HIPAA è supervisionato dall'Office of Civil Rights, che gestisce l'indagine sui reclami e l'applicazione della legge.
Secondo HHS, la legge HIPAA agisce come salvaguardia delle informazioni mediche e sanitarie di un paziente in molte forme. Oltre a proteggere le cartelle cliniche, l'HIPAA protegge anche qualsiasi conversazione sulla salute di un paziente che i medici potrebbero avere con altri professionisti sanitari come infermieri, informazioni nelle mani di un assicuratore o del loro sistema informatico e record di fatturazione riguardo a qualsiasi trattamento ricevuto. La legge richiede che chiunque abbia accesso alle informazioni sanitarie di un paziente deve mettere in atto un sistema per garantire la sua protezione lungo tutti i collegamenti della catena di responsabilità.
Le entità coperte sono quelle organizzazioni e istituzioni che devono seguire i regolamenti HIPAA riguardo alla privacy delle informazioni sanitarie. Questi includono piani sanitari, come Medicare, Medicaid, HMO, compagnie di assicurazione sanitaria e piani sanitari aziendali; fornitori di assistenza sanitaria come medici, dentisti e farmacisti — essenzialmente qualsiasi attività che fattura elettronicamente un piano assicurativo sanitario; e centri di smistamento sanitario che trasferiscono cartelle cliniche da un formato all'altro, come un'azienda che scannerizza copie cartacee di record pazienti in forma digitale. Ci sono, secondo HHS, alcune organizzazioni non tenute a seguire i regolamenti sulla privacy HIPAA come datori di lavoro privati, distretti scolastici, assicuratori sulla vita e agenzie di law enforcement.
Sotto l'HIPAA, un paziente ha il diritto a una copia delle sue cartelle cliniche, ad aggiungere correzioni ai suoi record, a ricevere report sulla potenziale condivisione e uso dei record, e a dare il permesso per la condivisione dei record.
Se un paziente sospetta che un'entità coperta abbia violato la sua privacy o quella di un'altra persona, i reclami possono essere presentati all'OCR. Il dipartimento richiede che i reclami siano per iscritto — per posta, e-mail o fax; nominare l'organizzazione sospettata di violazione e descrivere la natura della presunta violazione; ed essere presentati entro 180 giorni dalla presunta violazione. Il periodo di segnalazione di 180 giorni può essere esteso se il denunciante può mostrare "giusta causa" per il ritardo, secondo HHS.
Una volta presentato un reclamo per violazione HIPAA, l'OCR inizia un'indagine notificando prima il denunciante e l'entità coperta nominata nel reclamo. L'OCR ascolta entrambe le parti, raccoglie prove e informazioni e decide a favore o contro il denunciante. Se l'entità coperta è ritenuta in violazione, l'OCR può intraprendere azioni correttive contro l'entità, che possono risultare in sanzioni civili da pagare al Tesoro degli Stati Uniti. Se l'OCR ritiene che le azioni dell'entità siano criminali, il caso può essere deferito al Dipartimento di Giustizia per ulteriori indagini.
Gestione sanitaria