Il Health Insurance Portability and Accountability Act, comunemente noto come Normative HIPAA, è una legge federale che si concentra sulla salvaguardia della privacy e sulla protezione delle informazioni sanitarie sensibili dei pazienti.
Approvata nel 1996, il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS) ha emanato la HIPAA Privacy Rule mentre la HIPAA Security Rule protegge un sottoinsieme di informazioni coperte dalla Privacy Rule.
Qual è lo scopo di HIPAA?
Le normative HIPAA hanno due scopi principali: il primo è fornire una copertura assicurativa sanitaria regolare per le persone che si trovano in situazioni di disoccupazione ciclica, riducendo così il costo dell’assistenza sanitaria; il secondo mira a contrastare atti di abuso, frode e spreco nell’assicurazione sanitaria e nell’erogazione delle cure. Entrambi questi scopi servono l’obiettivo più ampio di migliorare l’accesso ai servizi di assistenza a lungo termine e all’assicurazione sanitaria.
Parti interessate associate alle normative HIPAA
- Fornitori di servizi sanitari: Qualsiasi fornitore di servizi sanitari, indipendentemente dalla specializzazione o dal campo sanitario, che utilizza tecnologie di comunicazione per condividere informazioni sanitarie dei pazienti e altre transazioni, inclusi reclami, richieste di verifica dell’idoneità ai benefici, richieste di autorizzazione per i rinvii, ecc.
-
Piani sanitari: Organizzazioni o società che forniscono assicurazione sanitaria o coprono i costi delle cure mediche per individui idonei. I piani sanitari includono assistenza sanitaria generale, odontoiatrica, cura della vista, ecc. Possono includere enti del settore pubblico e privato come Medicare, Medicaid, ecc.
-
Associati commerciali: Individui o entità che utilizzano o divulgano informazioni sanitarie di un paziente per eseguire o fornire servizi che includono l’elaborazione dei reclami, l’analisi dei dati, la revisione dell’utilizzo e la fatturazione.
Queste normative sono state messe in pratica per stabilire la base legale per le informazioni sanitarie protette (PHI). Il Dipartimento della Salute e dei Servizi Umani (HHS) è l’ente responsabile che regola la conformità, mentre l’Ufficio per i Diritti Civili (OCR) applica la conformità ed è anche responsabile per l’indagine sulle violazioni HIPAA.
Cosa sono le Informazioni Sanitarie Protette?
Le Informazioni Sanitarie Protette possono essere definite come qualsiasi cosa o qualsiasi informazione che contiene i tuoi Dati Identificativi Personali (PII) e le tue informazioni sanitarie.
È la combinazione delle informazioni identificative di un individuo, cioè nome, indirizzo, dettagli di contatto, nonché informazioni sanitarie come cartelle cliniche o informazioni assicurative.
Analogamente, l’ePHI, che rientra nella HIPAA Security Rule, sta per (informazioni sanitarie protette elettroniche) ed è applicabile quando le informazioni sanitarie vengono condivise, archiviate o accessibili elettronicamente.
Perché le normative HIPAA sono importanti?
Sebbene HIPAA sia importante per vari motivi, il suo obiettivo chiave è garantire la privacy e la riservatezza di ogni informazione sensibile di ogni individuo.
Fornisce inoltre ai pazienti l’accesso ai propri dati sanitari garantendone la sicurezza e la protezione. Attraverso queste normative si mira a ridurre le attività fraudolente migliorando contemporaneamente i sistemi di dati.
Per le organizzazioni e i fornitori di servizi sanitari, HIPAA serve come quadro che tutela l’accesso alle informazioni sanitarie, specificando chi può visualizzare, condividere o chi è limitato nell’accesso o nella condivisione di tali informazioni sensibili.
L’organizzazione che gestisce PHI o i subappaltatori e qualsiasi altro associato commerciale correlato devono avere misure di sicurezza fisica in atto per essere pienamente conformi.
Queste normative mirano a proteggere gli individui e a fornire loro accesso diretto ai propri record medici personali, evidenziando diverse regole e misure per qualsiasi individuo o organizzazione che crea, archivia, trasmette o utilizza informazioni sanitarie.
Le organizzazioni e le entità sanitarie, attraverso queste normative, saranno responsabili e dovranno gestire le informazioni sanitarie in piena conformità con le normative della legge HIPAA.
L’elaborazione efficiente delle richieste di assistenza sanitaria e la riduzione della burocrazia contribuiranno a migliorare i sistemi e le attività, con il potenziale di risparmiare miliardi di dollari di denaro pubblico e migliorare il servizio a fornitori, assicuratori e al pubblico in generale.
Misure da adottare in conformità con HIPAA
Requisiti amministrativi: Regole per garantire che i dati dei pazienti incorporati siano corretti e accessibili alle parti autorizzate e richiedono procedure formali sulla privacy in un documento scritto.
- Assegnare un dirigente designato per monitorare e supervisionare la sicurezza dei dati e la conformità HIPAA.
- Elenco dei dipendenti che hanno accesso ai dati dei pazienti.
- Familiarizzare e formare i dipendenti riguardo alla politica sulla privacy dell’organizzazione.
- Contratti formali da firmare per le parti esterne per conformarsi alle regole di sicurezza HIPAA quando accedono ai dati protetti dei pazienti.
- Mantenere un archivio di backup dei dati e un piano di mitigazione delle emergenze in caso di disastri naturali o causati dall’uomo che potrebbero causare la perdita di informazioni.
- Creare un team di supporto tecnico che identifichi e risolva problemi complessi dei sistemi IT.
Requisiti di sicurezza fisica: Regole per aiutare le organizzazioni a prevenire il furto fisico e la perdita di dispositivi contenenti informazioni sui pazienti.
- Posizionare i computer lontano dall’accesso del pubblico generale, con accesso limitato e scrivanie sicure.
- Limitare l’accesso ad aree sicure e documenti riservati aggiungendo un prerequisito di registrazione per autorità limitate o designate.
- Prestare attenzione durante l’aggiornamento o lo smaltimento di hardware e software per prevenire la perdita di informazioni.
Requisiti di sicurezza tecnica: Misure che proteggono reti e dispositivi da violazioni dei dati:
- Assegnare un dirigente designato per monitorare e supervisionare la sicurezza dei dati e la conformità HIPAA.
- Elenco dei dipendenti che hanno accesso ai dati dei pazienti.
- Familiarizzare e formare i dipendenti riguardo alla politica sulla privacy dell’organizzazione.
- Contratti formali da firmare per le parti esterne per conformarsi alle regole di sicurezza HIPAA quando accedono ai dati protetti dei pazienti.
- Mantenere un archivio di backup dei dati e un piano di mitigazione delle emergenze in caso di disastri naturali o causati dall’uomo che potrebbero causare la perdita di informazioni.
- Creare un team di supporto tecnico che identifichi e risolva problemi complessi dei sistemi IT.
Sanzioni per la violazione della HIPAA Privacy Rule
Secondo la HIPAA Privacy Rule, qualsiasi violazione dei dati sanitari o il mancato accesso dei pazienti alle loro PHI può comportare una multa da parte dell’OCR. Sebbene le sanzioni varino in base alla gravità dell’infrazione, le quattro categorie principali sono:
-
Violazione involontaria di HIPAA: $100 per violazione, con un massimo annuale di $25.000 per violazioni ripetute.
-
Violazione con causa ragionevole: $1.000 per violazione, con un massimo annuale di $100.000 per violazioni ripetute.
-
Negligenza volontaria corretta entro un periodo specifico: $10.000 per violazione, con un massimo annuale di $250.000 per violazioni ripetute.
-
Negligenza volontaria non corretta: fino a $50.000 per violazione, con un massimo annuale di $1,5 milioni per violazioni ripetute.
Sebbene non esista una certificazione ufficiale di conformità HIPAA, diverse società di formazione e corsi di apprendimento offrono credenziali di certificazione che indicano se un individuo ha una comprensione adeguata delle regole e normative specificate nell’atto.
Le aziende possono optare per programmi di formazione sulla conformità HIPAA, dove l’OCR, come parte interessata diretta, offre orientamenti attraverso programmi educativi sulla conformità alle regole di privacy e sicurezza.
I fornitori di assistenza sanitaria e le organizzazioni hanno la libertà di creare e progettare i propri programmi di formazione, che si concentrano sulle politiche attuali di privacy e sicurezza HIPAA dell’organizzazione, sui processi di gestione dei dispositivi mobili (MDM) e su altre linee guida applicabili.