Informazioni sanitarie protette (PHI): regole divulgazione HIPAA
PHI = Informazioni sanitarie individualmente identificabili detenute/trasmesse da entità coperte (provider, piani, clearinghouse) o business associate.
Divulgazioni permesse (nessuna autorizzazione richiesta)
- Trattamento: Condivisione con altri provider per coordinamento cure.
- Pagamento: Fatturazione assicuratori, elaborazione sinistri, verifica idoneità.
- Operazioni sanitarie: Miglioramento qualità, formazione, credenziali, conformità.
- Salute pubblica: Segnalazione malattie, statistiche vitali, eventi avversi FDA.
- Forze ordine: Ordini tribunale, mandati, identificazione sospetti/vittime (limitato).
- Abuso/negligenza: Segnalazione obbligatoria (minori, anziani, adulti vulnerabili).
- Medici legali, donazione organi, ricerca (IRB-esente), infortuni lavoro.
Divulgazioni che richiedono autorizzazione paziente
- La maggior parte usi non trattamento/pagamento/operazioni (marketing, ricerca, assicurazione vita, datori lavoro).
- Note psicoterapia (protezione speciale).
- Vendita PHI.
Diritti paziente
- Accesso e copia propri referti (30 giorni, una proroga 30 giorni).
- Richiedere emendamento.
- Resoconto divulgazioni (6 anni).
- Richiesta restrizione (non obbligatorio acconsentire, eccetto se pagamento totale privato).
- Comunicazioni riservate (indirizzo/telefono alternativo).
- Reclamo a OCR (HHS).
Standard minimo necessario
Entità coperte devono limitare PHI al minimo necessario per scopo intenzionato (eccetto trattamento, accesso paziente, HIPAA-obbligatorio).
Notifica violazione
- Violazione PHI non protetto → notificare individui, HHS, media (se >500 colpiti in stato/giurisdizione) entro 60 giorni.