قانون قابلية التأمين الصحي والمساءلة المعروف باسم لوائح HIPAA هو قانون اتحادي يركز على حماية الخصوصية وحماية المعلومات الصحية الحساسة للمرضى.
تم إقراره في عام 1996، حيث أصدرت وزارة الصحة والخدمات الإنسانية الأمريكية (HHS) قاعدة خصوصية HIPAA، في حين تحمي قاعدة أمان HIPAA مجموعة فرعية من المعلومات التي تغطيها قاعدة الخصوصية.
ما هو هدف HIPAA؟
للوائح HIPAA هدفان رئيسيان، الأول توفير تغطية تأمين صحي منتظمة للأشخاص الذين يعانون من البطالة الدورية مما يقلل من تكلفة الرعاية الصحية، والثاني يهدف إلى مكافحة أعمال الإساءة والاحتيال والهدر في التأمين الصحي وتقديم الرعاية الصحية. كلا الهدفين يخدمان الهدف الأكبر وهو تحسين الوصول إلى خدمات الرعاية طويلة الأمد والتأمين الصحي.
الأطراف المعنية بلوائح HIPAA
- مقدمو خدمات الرعاية الصحية: أي مقدم خدمة صحية، بغض النظر عن التخصص أو مجال الرعاية الصحية، يستخدم تكنولوجيا الاتصالات لمشاركة معلومات صحة المرضى والمعاملات الأخرى بما في ذلك المطالبات، استفسارات أهلية الفوائد، طلبات تفويض الإحالة، وغيرها.
-
خطط الرعاية الصحية: منظمات أو شركات تقدم تأمينًا صحيًا أو تغطي تكلفة الرعاية الطبية للأفراد المؤهلين. تشمل خطط الرعاية الصحية الرعاية العامة، رعاية الأسنان، رعاية النظر، وغيرها. وقد تشمل هذه الكيانات القطاعين العام والخاص مثل Medicare وMedicaid.
-
الشركاء التجاريون: فرد أو كيان يستخدم أو يكشف معلومات صحة المريض لأداء أو تقديم خدمات تشمل معالجة المطالبات، تحليل البيانات، مراجعة الاستخدام، والفوترة.
تم وضع هذه اللوائح لتأسيس الأساس القانوني للمعلومات الصحية المحمية (PHI). وزارة الصحة والخدمات الإنسانية (HHS) هي الجهة المسؤولة عن تنظيم الامتثال، في حين أن مكتب الحقوق المدنية (OCR) ينفذ الامتثال وهو المسؤول أيضًا عن التحقيق في انتهاكات HIPAA.
ما هي المعلومات الصحية المحمية؟
يمكن تعريف المعلومات الصحية المحمية بأنها أي شيء أو قطعة من المعلومات تحتوي على معلوماتك الشخصية القابلة للتعريف (PII) ومعلوماتك الصحية.
إنها مزيج من معلومات تعريف الفرد مثل الاسم، العنوان، تفاصيل الاتصال بالإضافة إلى المعلومات الصحية مثل السجلات الطبية أو معلومات التأمين.
وبالمثل، ePHI التي تقع تحت قاعدة أمان HIPAA تعني (المعلومات الصحية المحمية الإلكترونية)، وتنطبق عندما يتم مشاركة أو تخزين أو الوصول إلى المعلومات الصحية إلكترونيًا.
لماذا تعتبر لوائح HIPAA مهمة؟
على الرغم من أهمية HIPAA لأسباب متعددة، فإن هدفها الأساسي هو ضمان خصوصية وسرية المعلومات الحساسة لأي فرد.
كما توفر للمرضى حق الوصول إلى بيانات الرعاية الصحية الخاصة بهم مع ضمان أمانها وسلامتها. من خلال هذه اللوائح، الهدف هو تقليل النشاط الاحتيالي مع تحسين أنظمة البيانات في الوقت ذاته.
بالنسبة للمنظمات ومقدمي خدمات الرعاية الصحية، تعمل HIPAA كإطار يحمي الوصول إلى المعلومات الصحية، من خلال تحديد من يمكنه الاطلاع أو المشاركة أو من يُمنع من الوصول أو المشاركة في هذه المعلومات الحساسة.
يجب أن تمتلك المنظمة التي تتعامل مع PHI أو المقاولون الفرعيون وأي شركاء تجاريين ذوي صلة تدابير أمان مادية سليمة لتكون ملتزمة بالكامل.
تهدف هذه اللوائح إلى حماية الأفراد وتوفير وصول مباشر إلى سجلاتهم الطبية الشخصية مع تسليط الضوء على قواعد وتدابير مختلفة لأي فرد أو منظمة تنشئ أو تخزن أو تنقل أو تستخدم المعلومات الصحية.
ستكون المنظمات والكيانات الصحية من خلال هذه اللوائح مسؤولة ومُلزمة بإدارة المعلومات الصحية بما يتوافق تمامًا مع لوائح قانون HIPAA.
سيساهم المعالجة الفعالة لمطالبات الرعاية الصحية وتقليل الأعمال الورقية الزائدة في تحسين الأعمال والأنظمة، وله القدرة على توفير مليارات الدولارات من أموال دافعي الضرائب، وسيساهم في تحسين الخدمة للمزودين وشركات التأمين والجمهور بشكل عام.
التدابير الواجب اتخاذها وفقًا لـ HIPAA
المتطلبات الإدارية: قواعد لضمان أن بيانات المرضى المدمجة صحيحة ومتاحة للأطراف المصرح لها وتتطلب إجراءات خصوصية رسمية موثقة.
- تعيين مسؤول تنفيذي لمراقبة أمن البيانات والامتثال لـ HIPAA.
- قائمة بالموظفين الذين لديهم حق الوصول إلى بيانات المرضى.
- تعريف وتدريب الموظفين على سياسة الخصوصية الخاصة بالمنظمة.
- توقيع عقود رسمية مع الأطراف الخارجية للامتثال لقواعد أمان HIPAA عند الوصول إلى بيانات المرضى المحمية.
- الحفاظ على مستودع بيانات احتياطي وخطة طوارئ في حال وقوع كوارث طبيعية أو من صنع الإنسان قد تؤدي إلى فقدان المعلومات.
- إنشاء فريق دعم فني يحدد ويعالج المشكلات المعقدة في أنظمة تكنولوجيا المعلومات ويصلحها.
المتطلبات الأمنية المادية: قواعد تساعد المنظمات على منع السرقة المادية وفقدان الأجهزة التي تحتوي على معلومات المرضى.
- وضع أجهزة الكمبيوتر بعيدًا عن متناول الجمهور العام، مع وصول محدود ومكاتب آمنة.
- تقييد الوصول إلى المناطق الآمنة والوثائق السرية بإضافة شرط تسجيل دخول للسلطات المحددة أو المحدودة.
- توخي الحذر عند ترقية أو التخلص من أي أجهزة أو برامج لمنع فقدان المعلومات.
المتطلبات الأمنية التقنية: تدابير تحمي الشبكات والأجهزة من خروقات البيانات:
- تعيين مسؤول تنفيذي لمراقبة أمن البيانات والامتثال لـ HIPAA.
- قائمة بالموظفين الذين لديهم حق الوصول إلى بيانات المرضى.
- تعريف وتدريب الموظفين على سياسة الخصوصية الخاصة بالمنظمة.
- توقيع عقود رسمية مع الأطراف الخارجية للامتثال لقواعد أمان HIPAA عند الوصول إلى بيانات المرضى المحمية.
- الحفاظ على مستودع بيانات احتياطي وخطة طوارئ في حال وقوع كوارث طبيعية أو من صنع الإنسان قد تؤدي إلى فقدان المعلومات.
- إنشاء فريق دعم فني يحدد ويعالج المشكلات المعقدة في أنظمة تكنولوجيا المعلومات ويصلحها.
عقوبات قاعدة خصوصية HIPAA
بموجب قاعدة خصوصية HIPAA، أي خرق لبيانات الرعاية الصحية أو الفشل في توفير وصول المرضى إلى معلوماتهم الصحية المحمية قد يؤدي إلى غرامة من OCR. تختلف العقوبات حسب شدة المخالفة، والفئات الأربع الرئيسية هي:
-
انتهاك HIPAA دون علم يعادل 100 دولار لكل مخالفة، وبحد أقصى سنوي 25,000 دولار للمخالفات المتكررة.
-
في حال وجود سبب معقول للانتهاك، تكون الغرامة 1,000 دولار لكل مخالفة، وبحد أقصى سنوي 100,000 دولار للمخالفات المتكررة.
-
إذا تم تصحيح الانتهاك خلال فترة محددة بسبب الإهمال المتعمد لـ HIPAA، يمكن أن تصل الغرامة إلى 10,000 دولار لكل مخالفة، وبحد أقصى سنوي 250,000 دولار للمخالفات المتكررة.
-
الإهمال المتعمد لـ HIPAA وعدم تصحيح الانتهاك يمكن أن يؤدي إلى غرامة تصل إلى 50,000 دولار لكل مخالفة، وبحد أقصى سنوي 1.5 مليون دولار للمخالفات المتكررة.
على الرغم من عدم وجود شهادة امتثال رسمية لـ HIPAA، تقدم العديد من شركات التدريب والدورات التعليمية شهادات تشير إلى فهم الفرد للقواعد واللوائح المحددة في القانون.
يمكن للشركات والمؤسسات اختيار برامج تدريب امتثال HIPAA حيث يقدم OCR كجهة معنية مباشرة إرشادات من خلال برامج تعليمية حول الامتثال لقواعد الخصوصية والأمان.
لدى مقدمي الرعاية الصحية والمنظمات الحرية في إنشاء وتصميم برامج تدريب خاصة تركز على سياسات الخصوصية والأمان الحالية للمنظمة، وإدارة الأجهزة المحمولة (MDM)، وغيرها من الإرشادات المعمول بها.