Terveydenhuollon suojaaminen: HIPAA-vaatimustenmukaisuusratkaisut

Tahot, joiden on noudatettava HIPAA:ta, määritellään “suojatuiksi yksiköiksi” ja “liikekumppaneiksi”. Niihin kuuluvat terveyssuunnitelmat, terveydenhuollon selvityskeskukset ja terveydenhuollon tarjoajat, jotka välittävät terveystietoja sähköisesti. Liikekumppanit ovat henkilöitä tai yksiköitä, jotka suorittavat tiettyjä tehtäviä tai toimintoja, joihin liittyy suojattujen terveystietojen käyttöä tai paljastamista suojatun tahon puolesta tai jotka tarjoavat palveluja suojatulle taholle.

HIPAA suojaa kaikkia “yksilöllisesti tunnistettavia terveystietoja”, joita suojattu taho tai sen liikekumppani säilyttää tai välittää, missä tahansa muodossa tai millä tahansa tavalla, olipa kyseessä sähköinen, paperinen tai suullinen tieto. Ne ovat suojattuja terveystietoja (Protected Health Information, PHI). Esimerkkejä ovat nimet, syntymäajat, sairauskertomukset, apteekin reseptit jne.

HIPAA:n pääkomponentit ovat tietosuojasääntö, joka suojaa yksilöllisesti tunnistettavien terveystietojen yksityisyyttä; turvallisuussääntö, joka asettaa standardit sähköisesti suojattujen terveystietojen turvallisuudelle, ja rikkomusilmoitussääntö, joka vaatii suojattuja yksiköitä ja liikekumppaneita ilmoittamaan suojattujen henkilökohtaisten terveystietojen rikkomuksesta.

Organisaatio voi noudattaa HIPAA-vaatimuksia ottamalla käyttöön käytäntöjä ja menettelytapoja, jotka täyttävät HIPAA:n tietosuoja-, tietoturva- ja rikkomusilmoitussääntöjen vaatimukset. Tähän sisältyy riskinarviointien tekeminen, työntekijöiden kouluttaminen, potilastietojen turvaaminen ja toimenpiteiden määrittäminen rikkomustapauksissa.

HIPAA-määräysten noudattamatta jättämisestä voi seurata sakkoja, jotka vaihtelevat 100 dollarista 50 000 dollariin rikkomusta kohden. Sakko voi olla enintään 1,5 miljoonaa dollaria vuodessa jokaisesta rikkomuksesta. Tarkat summat riippuvat rikkomuksen luonteesta ja laiminlyönnistä.

HIPAA antaa potilaille tietyt oikeudet terveystietoihinsa, mukaan lukien oikeudet tarkastella tietoja, saada kopio terveystiedoista ja pyytää niihin korjauksia. HIPAA-vaatimustenmukaisuus on joukko käytäntöjä ja menettelytapoja, jotka terveydenhuoltosi ottaa käyttöön, jotta potilaat voivat käyttää näitä oikeuksia.

HIPAA-rikkomus on tietosuojasäännön mukainen kielletty käyttö tai paljastaminen, joka vaarantaa suojattujen terveystietojen turvallisuuden tai yksityisyyden. Asiaankuuluvien tahojen on ilmoitettava rikkomuksesta asianomaisille henkilöille, HHS:n sihteerille ja tietyissä olosuhteissa tiedotusvälineille.

HIPAA edellyttää, että kaikki sopimuksen piiriin kuuluvien tahojen työntekijät ja liikekumppanit saavat koulutuksen organisaation tietosuoja- ja turvallisuuskäytännöistä ja -menettelyistä, mikäli se on tarpeen ja asianmukaista heidän tehtäviensä suorittamiseksi. Vaikka erityistä aikaväliä ei ole määrätty, koulutus on suositeltavaa järjestää vuosittain tai aina, kun määräyksiin tai liiketoimintakäytäntöihin tulee merkittäviä muutoksia.

Kyllä, yksittäiset henkilöt voivat tehdä valituksen Yhdysvaltain terveys- ja ihmisoikeusvirastolle (US Department of Health and Human Services Office for Civil Rights, OCR), jos he uskovat, että heidän terveystietojaan on käytetty tai paljastettu tavalla, joka ei ole HIPAA:n mukainen, tai jos he uskovat, että heiltä on evätty pääsy terveystietoihinsa.