Conformità HIPAA sul Luogo di Lavoro: Guida Completa

HIPAA è un acronimo ampiamente usato per Health Insurance Portability and Accountability Act. Fu promulgato dal Congresso degli Stati Uniti nel 1996. Pur permettendo agli assicuratori di accedere a certi registri medici dei pazienti, la funzione principale di HIPAA è proteggere la privacy delle informazioni sanitarie personali (PHI - Protected Health Information). HIPAA dà anche al paziente il diritto di rivedere e correggere errori nei propri registri medici e ha molte applicazioni sul luogo di lavoro.

Divulgazione PHI ai Datori di Lavoro

• Secondo Health Law Advocates, un datore di lavoro ha diritto al PHI di un dipendente solo in pochi casi. L'informazione deve essere usata per ottenere offerte di premi da assicuratori sanitari, modifica del piano sanitario del datore di lavoro, o per determinare se un individuo partecipa attivamente a un piano sanitario.
• Secondo HIPAA, un dipendente dovrebbe rilasciare volontariamente qualsiasi altro PHI al datore di lavoro. Altre leggi, come il Family Medical Leave Act, potrebbero autorizzare un datore di lavoro a richiedere la divulgazione di certi PHI. Queste leggi non vanno confuse con i requisiti HIPAA.

Divulgazione PHI da Parte dei Datori di Lavoro

• In generale, HIPAA impedisce solo a certe entità di rilasciare PHI. Queste entità includono: fornitori di assistenza sanitaria, clearing house sanitari e piani sanitari. Altre entità e individui non sono preclusi dal rilasciare PHI sotto HIPAA. Tuttavia, la legge statale potrebbe stabilire diversamente.
• I datori di lavoro a volte amministrano i propri piani sanitari. In questi casi, i dipendenti aziendali devono accedere ai registri dei pazienti per gestire il piano. Secondo Health Law Advocates, solo i dipendenti direttamente coinvolti nell'amministrazione del piano sanitario possono accedere al PHI altrui. L'accesso al PHI deve essere limitato tramite misure ragionevoli: password, cassetti chiusi a chiave, ecc.

Sanzioni

• Individui che violano HIPAA inconsapevolmente sono soggetti a multa di 100 dollari per violazione e fino a 50.000 dollari per violazioni ripetute. Possono anche essere incarcerati fino a un anno. Chi viola HIPAA intenzionalmente è soggetto a sanzioni più severe. Chi viola per "guadagno commerciale" o "danno malizioso" può essere multato fino a 250.000 dollari e ricevere fino a 10 anni di carcere.
• Secondo l'American Medical Association e The Privacy Rights Clearinghouse, le parti private non possono citare in giudizio per violazione dei diritti HIPAA. Tuttavia, possono presentare reclami. Possono anche essere idonei a citare sotto leggi statali più severe.