Violazioni HIPAA: Conseguenze per i Dipendenti e Implicazioni Legali

Cos'è HIPAA

HIPAA è una legge che permette a compagnie, medici, datori di lavoro e compagnie assicurative di scambiare informazioni sanitarie private per facilitare il pagamento delle cure mediche e permettere al settore sanitario di lavorare più efficientemente con le entità assicurative. Le implicazioni consentono a datori di lavoro (e loro dipendenti) di accedere a informazioni sanitarie; l'uso improprio di queste informazioni comporta sanzioni amministrative, civili e penali.

Intento

Uno degli intenti di HIPAA è stabilire standard per transazioni finanziarie e amministrative per permettere lo scambio elettronico efficiente di informazioni amministrative sanitarie. HIPAA incarica anche il Department of Health and Human Services di redigere regolamenti "riguardanti la privacy delle informazioni sanitarie individualmente identificabili".

Decisioni sul Lavoro

Ai datori di lavoro è espressamente vietato dai regolamenti HIPAA di usare le PHI (Protected Health Information, informazioni sanitarie protette) per prendere decisioni lavorative. HIPAA consente il rilascio di PHI solo per pagare un rimborso assicurativo, fornire trattamenti medicalmente indicati e in relazione a determinate "operazioni sanitarie", a meno che il dipendente non autorizzi espressamente divulgazioni per altri motivi.

Ritorsioni

Secondo le disposizioni HIPAA, i datori di lavoro non possono ritorsioni contro un ex dipendente che ha denunciato la violazione delle regole sul rilascio di PHI. I regolamenti, come scritti in HIPAA, vietano tali ritorsioni; tuttavia, la legge non stabilisce sanzioni specifiche per il datore di lavoro né un "diritto privato di azione". L'unico ricorso per l'ex dipendente è presentare un reclamo all'OCR (Office for Civil Rights) se ritiene che i suoi diritti alla privacy siano stati violati. Il reclamo deve essere presentato per iscritto "entro 180 giorni dalla data in cui il denunciante ha saputo o avrebbe dovuto sapere della violazione".

Sanzioni Penali

• Un dipendente che ottiene le PHI di un altro dipendente o le divulga può ricevere una multa fino a 50.000 dollari, reclusione fino a un anno, o entrambi.
• Se un dipendente viola HIPAA "consapevolmente", può essere incarcerato per cinque anni, multato fino a 100.000 dollari, o entrambi.
• Chi viola HIPAA "consapevolmente" con l'intento di vendere le PHI o usarle per vantaggio commerciale può essere incarcerato per 10 anni, multato fino a 250.000 dollari, o entrambi.

Sanzioni Civili

L'Office of Civil Rights può imporre una penalità fino a 100 dollari per ogni violazione su qualsiasi "persona" (dipendente) che violi HIPAA; la multa massima è 25.000 dollari per incidenti separati dello stesso requisito o violazione. Tuttavia, queste penalità non possono essere applicate se il dipendente responsabile non sapeva di violare HIPAA e non avrebbe potuto saperlo nonostante la dovuta diligenza, oppure se la mancata conformità avviene per motivi diversi dalla negligenza volontaria e se il fallimento è rettificato entro 30 giorni da quando il dipendente responsabile ha saputo (o avrebbe dovuto sapere) della mancata conformità.