Como a conformidade com HIPAA afeta o compartilhamento de dados?

A Lei de Portabilidade e Responsabilidade do Seguro de Saúde(HIPAA) de 1996 estabeleceu padrões nacionais nos EUA para como as informações pessoais de saúde são tratadas e compartilhadas. De acordo com a HIPAA, você tem certos direitos quando se trata de suas informações pessoais de saúde; você tem o direito a uma cópia de suas informações de saúde, o direito de corrigir quaisquer erros ou fazer alterações em suas informações, o direito de restringir certos usos de suas informações e o direito de saber quem além de você viu suas informações. Lembre-se, não é só você e seu médico que podem ver (e viram) o que está nesse arquivo. Um gerente de conta que usa um computador para verificar eletronicamente sua elegibilidade de seguro, por exemplo, tem acesso às suas informações de saúde, mas de acordo com as regras da HIPAA, as informações de saúde que são pessoalmente identificáveis ​​- nós

As partes com acesso legítimo aos seus registros médicos são chamadas de entidades cobertas e devem cumprir as regras da HIPAA; entidades abrangidas incluem prestadores de cuidados de saúde (médicos, enfermeiros, dentistas, hospitais , clínicas, farmácias, etc.) câmaras de compensação e parceiros de negócios terceirizados (que incluem partes como processadores de sinistros, empresas de cobrança ou especialistas em TI) [fonte: HRSA ].

A conformidade com a HIPAA significa que as entidades cobertas têm certas responsabilidades quando se trata de manter seus dados privados e seguros.

De acordo com a Regra de Privacidade HIPAA, que se tornou aplicável em 2003 sob o Escritório de Direitos Civis dos EUA, (algumas de) suas informações de saúde identificáveis ​​devem ser protegidas de serem compartilhadas ou acessadas sem sua permissão. Seus dados de saúde identificáveis, chamados de Informações de Saúde Protegidas (PHI), incluem qualquer coisa que seu médico ou outro profissional de saúde coloque em seu prontuário, bem como quaisquer conversas que seu provedor tenha com outros médicos, enfermeiros e outros profissionais médicos. Também inclui qualquer informação de cobrança, bem como qualquer informação identificável que seu plano de saúde tenha sobre você em seus sistemas de computador [fonte: HHS ].

De acordo com a Regra de Segurança HIPAA, a forma como suas informações pessoais são armazenadas, compartilhadas e acessadas eletronicamente é protegida. As transações eletrônicas elegíveis incluem: informações sobre sinistros e encontros, avisos de pagamento e remessa, status de sinistros, elegibilidade, status de inscrição, referências e autorizações, coordenação de benefícios e pagamento de prêmios [fonte: Centers for Medicare & Medicaid Services ]. As entidades cobertas são legalmente obrigadas a seguir as regras das transações cobertas pela HIPAA. Eles e aqueles com quem contratam para fazer negócios são obrigados a assinar um contrato legal concordando em proteger suas informações antes de compartilhar ou acessar seus dados - seja uma transação online, acessando seus registros em um tabletou outra transação administrativa eletrônica. As entidades cobertas e seus parceiros de negócios também são responsáveis ​​por ter não apenas salvaguardas administrativas, como políticas documentadas e treinamento de funcionários para proteger dados eletrônicos de saúde, mas também salvaguardas técnicas e físicas, como backup de dados, criptografia de dados e sistemas de segurança. Eles também são responsáveis ​​por divulgar por que há a necessidade de acessar suas informações de saúde e qual é a finalidade pretendida - sempre.

Fora das entidades cobertas, a lei HIPAA não se aplica. Isso significa que seu empregador não precisa se preocupar em manter seus dados de saúde privados, nem provedores de compensação de trabalhadores, provedores de seguro de vida, distritos escolares, agências estaduais (como serviços de proteção infantil), agências policiais e outros escritórios municipais. O gerente de conta que usa um computador para verificar eletronicamente sua elegibilidade de seguro está envolvido em uma ação protegida pela HIPAA e deve cumprir as regras de confidencialidade da HIPPA -- mas a HIPAA só se aplica quando a transação for eletrônica; se o gerente de conta usou o telefone para confirmar verbalmente sua elegibilidade ao seguro, as regras HIPAA não se aplicariam à troca de PHI.

Violações de Informações de Saúde - O 'Muro da Vergonha'

O Escritório de Direitos Civis do Departamento de Saúde e Serviços Humanos dos EUA mantém um "muro da vergonha" para violações de informações de saúde que expõem ou afetam os dados protegidos de mais de 500 pessoas (por incidente) - e por causa da Lei HITECH (Health Information Technology for Economic and Clinical Health) sob HIPAA, você pode consultar esta lista de violações relatadas em sua Ferramenta de violação .

Em algumas circunstâncias, a HIPAA permite que algumas de suas informações de saúde protegidas sejam compartilhadas sem sua permissão. Sua PHI pode ser compartilhada sem sua autorização em uma situação de emergência – incluindo tratamento médico de emergência, mas também em caso de bioterrorismo ou qualquer ameaça à saúde pública. As exceções à HIPAA também incluem instâncias como vigilância de saúde pública (como coleta de informações para relatórios locais de gripe), investigações (como um centro médico de emergência relatando um ferimento por arma de fogo) e pesquisa - mesmo em algumas situações de saúde, como intervenções [fonte : CDC]. Essas informações são coletadas no que é chamado de "conjunto de dados limitado" (LDS); conjuntos de dados limitados incluem informações pessoais limitadas sobre você: sua idade (em anos, meses, dias ou horas), datas relevantes (incluindo sua data de nascimento e data de falecimento, e também datas de admissão e alta, se aplicável) e seus dados básicos dados geográficos (CEP ou cidade e estado de residência).

A lista de informações que não são permitidas em um conjunto de dados limitado é muito maior. De acordo com as Regras de Privacidade da HIPAA, as seguintes 16 informações identificáveis ​​não podem ser incluídas em um SUD: nomes, números de CPF, endereços físicos (endereços de rua) e números de telefone (incluindo números de fax), endereços de e-mail, URLs e Números de endereço IP, identificadores de veículos (incluindo números de série e placas), bem como fotos de rosto inteiro (ou quaisquer imagens comparáveis) e identificadores biométricos (como suas impressões digitais). Além disso, nenhum número de conta, número de registro médico, número de beneficiário de plano de saúde, número de licença de certificado nem quaisquer identificadores de dispositivo (incluindo números de série) podem ser incluídos em um conjunto de dados limitado [fonte: Johns Hopkins Medicine ].

Despite these HIPAA rules in place regarding our medical records , 83 percent of Americans still have privacy and security-related concerns when it comes to their medical records, and nearly 70 percent don't want to have their health information digitized, period [source: Xerox]. So what happens when those fears are validated -- what happens when there's a breach?

If or when a PHI breach does happen, which is often the result of computer theft, according to the Breach Notification Rule, the affected patient (or patients) must be notified, and the incident reported to the Secretary of the U.S. Department of Health & Human Services (HHS). Similarly, if an individual wants to report a privacy violation, they can report the breach to either the covered entity (or business associate) responsible or to the HHS -- or both. Depending on the circumstance, HIPAA violations may result in civil penalties such as fines (called civil money penalties) or in criminal penalties that include not only fines but imprisonment.

Author's Note: How does HIPAA compliance affect data sharing?

Keeping your health information safe is like keeping your Social Security number safe: In the wrong hands it can lead to identity theft -- or when it comes down to curing what ails you, improper treatment because someone else has hijacked your file. So the next time you're visiting your doctor (or hospital or pharmacy), don't just set aside the HIPAA brochure given to you during your visit; that paper contains important information about how your medical records are kept safe.

Related Articles

More Great Links