ہیلتھ انشورنس پورٹیبلٹی اینڈ اکاؤنٹیبلیٹی ایکٹ، جسے عام طور پر HIPAA ضوابط کہا جاتا ہے، ایک وفاقی قانون ہے جو مریض کی حساس صحت کی معلومات کی رازداری اور حفاظت پر توجہ دیتا ہے۔
یہ قانون 1996 میں منظور ہوا، اور امریکہ کے محکمہ صحت و انسانی خدمات (HHS) نے HIPAA پرائیویسی رول جاری کیا، جبکہ HIPAA سیکیورٹی رول پرائیویسی رول کے تحت شامل معلومات کے ایک ذیلی حصے کی حفاظت کرتا ہے۔
HIPAA کا مقصد کیا ہے؟
HIPAA ضوابط کے دو اہم مقاصد ہیں: پہلا، ان لوگوں کے لیے صحت انشورنس کی باقاعدہ کوریج فراہم کرنا جو موسمی بے روزگاری کا شکار ہوتے ہیں، جس سے صحت کی دیکھ بھال کی لاگت کم ہوتی ہے؛ دوسرا، صحت انشورنس اور صحت کی دیکھ بھال کی فراہمی میں بدعنوانی، دھوکہ دہی اور فضلہ کو روکنا۔ یہ دونوں مقاصد طویل مدتی دیکھ بھال کی خدمات اور صحت انشورنس تک رسائی کو بہتر بنانے کے بڑے ہدف کی خدمت کرتے ہیں۔
HIPAA ضوابط سے منسلک اسٹیک ہولڈرز
- صحت کی دیکھ بھال فراہم کرنے والے: کوئی بھی صحت کی دیکھ بھال فراہم کرنے والا، چاہے اس کی تخصص یا شعبہ کچھ بھی ہو، جو مریض کی صحت کی معلومات اور دیگر لین دین جیسے دعوے، فوائد کی اہلیت کی تحقیقات، ریفرل اجازت نامے کی درخواستیں وغیرہ شیئر کرنے کے لیے مواصلاتی ٹیکنالوجی کا استعمال کرتا ہے۔
-
صحت کے منصوبے: تنظیمیں یا کارپوریشنز جو صحت انشورنس فراہم کرتی ہیں یا اہل افراد کے طبی اخراجات کو کور کرتی ہیں۔ صحت کے منصوبوں میں عمومی صحت کی دیکھ بھال، دانتوں کی دیکھ بھال، بصارت کی دیکھ بھال وغیرہ شامل ہیں۔ ان میں عوامی اور نجی شعبے کی ادارے جیسے Medicare، Medicaid وغیرہ شامل ہو سکتے ہیں۔
-
کاروباری شراکت دار: وہ فرد یا ادارہ جو مریض کی صحت کی معلومات کو استعمال یا افشاء کرتا ہے تاکہ خدمات فراہم کی جا سکیں، جن میں دعووں کی پراسیسنگ، ڈیٹا تجزیہ، استعمال کا جائزہ، اور بلنگ شامل ہیں۔
یہ ضوابط محفوظ شدہ صحت کی معلومات (PHI) کے لیے قانونی بنیاد قائم کرنے کے لیے نافذ کیے گئے۔ محکمہ صحت و انسانی خدمات (HHS) اس قانون کی تعمیل کو قانونی طور پر منظم کرتا ہے، جبکہ دفتر برائے شہری حقوق (OCR) تعمیل کو نافذ کرتا ہے اور HIPAA کی خلاف ورزیوں کی تحقیقات کا ذمہ دار ہے۔
محفوظ شدہ صحت کی معلومات کیا ہے؟
محفوظ شدہ صحت کی معلومات سے مراد وہ کوئی بھی معلومات یا ڈیٹا ہے جس میں آپ کی ذاتی شناختی معلومات (PII) اور آپ کی صحت کی معلومات شامل ہوں۔
یہ ایک فرد کی شناختی معلومات جیسے نام، پتہ، رابطہ کی تفصیلات کے ساتھ ساتھ صحت کی معلومات جیسے طبی ریکارڈز یا انشورنس کی معلومات کا مجموعہ ہے۔
اسی طرح، ePHI جو HIPAA سیکیورٹی رول کے تحت آتا ہے، الیکٹرانک محفوظ شدہ صحت کی معلومات ہے، اور یہ اس وقت لاگو ہوتا ہے جب صحت کی معلومات کو الیکٹرانک طور پر شیئر، ذخیرہ یا رسائی دی جاتی ہے۔
HIPAA ضوابط کیوں اہم ہیں؟
اگرچہ HIPAA کئی وجوہات کی بنا پر اہم ہے، اس کا بنیادی مقصد ہر فرد کی حساس معلومات کی رازداری اور خفیہ پن کو یقینی بنانا ہے۔
یہ مریضوں کو ان کے متعلقہ صحت کی معلومات تک رسائی فراہم کرتا ہے اور اس کی حفاظت اور سلامتی کو بھی یقینی بناتا ہے۔ ان ضوابط کے ذریعے دھوکہ دہی کی سرگرمیوں کو کم کرنے اور ڈیٹا سسٹمز کو بہتر بنانے کا ہدف ہے۔
تنظیموں اور صحت کی دیکھ بھال فراہم کرنے والوں کے لیے، HIPAA ایک ایسا فریم ورک فراہم کرتا ہے جو صحت کی معلومات تک رسائی کی حفاظت کرتا ہے، یہ واضح کرتے ہوئے کہ کون اس حساس معلومات کو دیکھ سکتا ہے، شیئر کر سکتا ہے یا محدود ہے۔
PHI سے متعلق تنظیم یا سب کنٹریکٹرز اور دیگر کاروباری شراکت داروں کو مکمل تعمیل کے لیے جسمانی حفاظتی اقدامات کو برقرار رکھنا ضروری ہے۔
یہ ضوابط افراد کی حفاظت اور انہیں ان کے ذاتی طبی ریکارڈز تک براہ راست رسائی فراہم کرنے کے لیے بنائے گئے ہیں، اور کسی بھی فرد یا تنظیم کے لیے قواعد و ضوابط اور اقدامات کو اجاگر کرتے ہیں جو صحت کی معلومات تخلیق، ذخیرہ، منتقل یا استعمال کرتے ہیں۔
تنظیمیں اور صحت کی دیکھ بھال کے ادارے ان ضوابط کے تحت HIPAA قانون کی مکمل تعمیل کے ساتھ صحت کی معلومات کا انتظام کرنے کے پابند ہوں گے۔
صحت کی دیکھ بھال کے دعووں کی موثر پراسیسنگ اور غیر ضروری کاغذی کارروائی کو کم کرنا کاروبار اور نظام کو بہتر بنانے میں مدد دے گا، جس سے ٹیکس دہندگان کے اربوں ڈالر کی بچت ہو سکتی ہے اور فراہم کنندگان، بیمہ دہندگان اور عوام کو بہتر خدمات فراہم کی جا سکیں گی۔
HIPAA کے مطابق اٹھائے جانے والے اقدامات
انتظامی تقاضے: قواعد جو اس بات کو یقینی بناتے ہیں کہ شامل کردہ مریض کا ڈیٹا درست اور مجاز فریقوں کے لیے قابل رسائی ہو اور تحریری دستاویز میں رسمی رازداری کے طریقہ کار کی ضرورت ہوتی ہے۔
- ڈیٹا سیکیورٹی اور HIPAA تعمیل کی نگرانی کے لیے ایک مقررہ ایگزیکٹو کا تقرر۔
- ان ملازمین کی فہرست جنہیں مریض کے ڈیٹا تک رسائی حاصل ہے۔
- ملازمین کو متعلقہ تنظیم کی رازداری کی پالیسی سے واقف کروانا اور تربیت دینا۔
- بیرونی فریقوں کے لیے رسمی معاہدے جنہیں HIPAA سیکیورٹی رولز کی تعمیل کرنی ہو جب وہ محفوظ مریض کے ڈیٹا تک رسائی حاصل کریں۔
- بیک اپ ڈیٹا ذخیرہ اور قدرتی یا انسانی ساختہ آفات کی صورت میں ہنگامی منصوبہ بندی۔
- تکنیکی معاون عملہ تشکیل دینا جو پیچیدہ آئی ٹی نظام کے مسائل کی نشاندہی اور حل کرے۔
جسمانی حفاظتی تقاضے: قواعد جو تنظیموں کو مریض کی معلومات والے آلات کی چوری اور نقصان سے بچانے میں مدد دیتے ہیں۔
- کمپیوٹرز کو عوام کی رسائی سے دور رکھنا، محدود رسائی اور محفوظ میزیں۔
- محدود یا مخصوص حکام کے لیے سائن ان کی شرط کے ذریعے محفوظ علاقوں اور خفیہ دستاویزات تک رسائی کو محدود کرنا۔
- کسی بھی ہارڈویئر یا سافٹ ویئر کو اپ گریڈ یا خارج کرتے وقت احتیاط برتنا تاکہ معلومات کا نقصان نہ ہو۔
تکنیکی حفاظتی تقاضے: اقدامات جو نیٹ ورکس اور آلات کو ڈیٹا کی خلاف ورزی سے بچاتے ہیں:
- ڈیٹا سیکیورٹی اور HIPAA تعمیل کی نگرانی کے لیے ایک مقررہ ایگزیکٹو کا تقرر۔
- ان ملازمین کی فہرست جنہیں مریض کے ڈیٹا تک رسائی حاصل ہے۔
- ملازمین کو متعلقہ تنظیم کی رازداری کی پالیسی سے واقف کروانا اور تربیت دینا۔
- بیرونی فریقوں کے لیے رسمی معاہدے جنہیں HIPAA سیکیورٹی رولز کی تعمیل کرنی ہو جب وہ محفوظ مریض کے ڈیٹا تک رسائی حاصل کریں۔
- بیک اپ ڈیٹا ذخیرہ اور قدرتی یا انسانی ساختہ آفات کی صورت میں ہنگامی منصوبہ بندی۔
- تکنیکی معاون عملہ تشکیل دینا جو پیچیدہ آئی ٹی نظام کے مسائل کی نشاندہی اور حل کرے۔
HIPAA پرائیویسی رول کی سزائیں
HIPAA پرائیویسی رول کے تحت کسی بھی صحت کی معلومات کی خلاف ورزی یا مریضوں کو ان کی PHI تک رسائی فراہم نہ کرنے پر OCR کی جانب سے جرمانہ عائد کیا جا سکتا ہے۔ جرمانے کی مقدار خلاف ورزی کی شدت پر منحصر ہوتی ہے، اور چار اہم اقسام درج ذیل ہیں:
-
غیر ارادی HIPAA کی خلاف ورزی پر ہر خلاف ورزی کے لیے $100 اور بار بار خلاف ورزیوں کے لیے سالانہ زیادہ سے زیادہ $25,000۔
-
اگر خلاف ورزی کی معقول وجہ پائی جائے تو ہر خلاف ورزی پر $1,000 اور بار بار خلاف ورزیوں کے لیے سالانہ زیادہ سے زیادہ $100,000۔
-
اگر خلاف ورزی کو مخصوص مدت میں درست کیا جائے اور یہ جان بوجھ کر نظر انداز کی گئی ہو تو ہر خلاف ورزی پر $10,000 اور بار بار خلاف ورزیوں کے لیے سالانہ زیادہ سے زیادہ $250,000۔
-
جان بوجھ کر HIPAA کی خلاف ورزی اور اسے درست نہ کرنے پر ہر خلاف ورزی پر $50,000 اور بار بار خلاف ورزیوں کے لیے سالانہ زیادہ سے زیادہ $1.5 ملین۔
اگرچہ کوئی سرکاری HIPAA تعمیل سرٹیفیکیشن نہیں ہے، کئی تربیتی کمپنیاں اور تعلیمی کورسز ایسے سرٹیفیکیٹ فراہم کرتے ہیں جو ظاہر کرتے ہیں کہ فرد کو اس قانون کے قواعد و ضوابط کی مناسب سمجھ ہے۔
کارپوریشنز اور کمپنیاں HIPAA تعمیل تربیتی پروگراموں کا انتخاب کر سکتی ہیں جہاں OCR بطور براہ راست اسٹیک ہولڈر پرائیویسی اور سیکیورٹی رولز کی تعمیل کے لیے تعلیمی رہنمائی فراہم کرتا ہے۔
صحت کی دیکھ بھال فراہم کرنے والے اور تنظیمیں اپنی تربیتی پروگرامز خود تیار کر سکتی ہیں جو تنظیم کی موجودہ HIPAA پرائیویسی اور سیکیورٹی پالیسیوں، موبائل ڈیوائس مینجمنٹ (MDM) عمل اور دیگر متعلقہ ہدایات پر مرکوز ہوں۔