HIPAA: protezione dei dati sanitari, diritti dei pazienti e conformità

Cos'è HIPAA

L'Health Insurance Portability and Accountability Act (HIPAA) è una normativa federale USA che tutela la riservatezza delle informazioni sanitarie personali (PHI - Protected Health Information), consentendo al contempo la condivisione necessaria per l'erogazione di cure di qualità. Vigilata da Office for Civil Rights (OCR) e HHS (Department of Health and Human Services).

Privacy Rule

Standard nazionali su uso e divulgazione delle informazioni sanitarie identificabili individualmente (IIHI). Definisce chi può accedervi e per quali scopi.

Informazioni protette

• Stato di salute passato, presente, futuro (fisico/mentale).
• Prestazioni sanitarie erogate.
• Pagamenti per prestazioni sanitarie (passati, presenti, futuri).
• Qualsiasi forma: cartacea, elettronica, orale.

Entità soggette (Covered Entities)

• Piani assicurativi sanitari (health plans).
• Fornitori di cure (provider: medici, ospedali, farmacie...).
• Clearinghouse sanitari (standardizzazione dati, es. fatturazione elettronica).

Business Associate

Entità esterne che trattano PHI per conto delle covered entities (es. fatturazione esterna, cloud storage, consulenti legali). Vincolate da Business Associate Agreement (BAA).

Diritti del paziente

• Accesso alle proprie cartelle cliniche.
• Richiesta di correzione/integrazione.
• Autorizzazione per usi/trasmissioni non routine.
• Ricevere notifica di violazioni (breach notification).
• Presentare reclamo all'OCR.

Security Rule (breve cenno)

Standard per la protezione delle e-PHI (PHI elettroniche): salvaguardie amministrative, fisiche, tecniche (crittografia, controlli accesso, audit log, formazione personale).