De gezondheidszorg is een van de meest gereguleerde sectoren als het gaat om de bescherming van privégegevens. Patiënten en werknemers zijn gaan verwachten dat artsen en andere bedrijven in de gezondheidszorg adequate maatregelen hebben getroffen om hun persoonsgegevens te beschermen. Werkgevers kunnen ook onderworpen zijn aan privacyregels die vallen onder de Health Insurance Portability and Accountability Act (HIPAA) als zij worden beschouwd als een gedekte entiteit of zakenpartner, of door het beheer van een groepsgezondheidsplan. Werkgevers moeten alle toepasselijke HIPAA-regels begrijpen – met name tijdens noodsituaties op het gebied van de volksgezondheid, zoals de COVID-19-pandemie (coronavirus) – en de juiste hulpmiddelen en protocollen instellen om de gezondheidsinformatie van hun werknemers te beschermen.
Waar staat HIPAA voor?
HIPAA staat voor de regelgeving die is vastgesteld door de Health Insurance Portability and Accountability Act van 1996. Volgens het U.S. Department of Health and Human Services (HHS) maakt de HIPAA het mogelijk dat informatie wordt uitgewisseld om ervoor te zorgen dat mensen toegang krijgen tot gezondheidszorg van hoge kwaliteit, terwijl hun recht op privacy wordt beschermd. Elke aanbieder of onderneming die toegang heeft tot beschermde gezondheidsinformatie moet maatregelen treffen om aan de HIPAA te voldoen.
Wat zijn enkele misvattingen over HIPAA?
Er bestaan enkele mythen over de HIPAA-regels voor werkgevers. De HHS stelt op haar site dat HIPAA niet:
- Verhindert een werkgever niet om een doktersverklaring te vragen voor een afwezigheid, hoewel deze praktijk andere risico’s voor werkgevers kan creëren.
- Betekent niet dat u informatie kunt opvragen die nodig is voor het beheer van uitkeringsprogramma’s, zoals dekking van ziektekosten, werknemerscompensatieclaims of ziekteverlof, hoewel werkgevers andere risicofactoren rond dit soort verzoeken in overweging moeten nemen.
- Over alle uitkeringsinformatie van werknemers. Bijvoorbeeld, levensverzekeringen voor werknemers, arbeidsongeschiktheids- en werknemerscompensatie, en welzijnsprogramma’s vallen over het algemeen niet onder deze wetgeving.
- Bescherming van gegevens die worden bijgehouden in arbeidsdossiers, alleen medische of gezondheidsplangegevens van werknemers die deelnemen als lid van het gezondheidsplan van het bedrijf.
Het doel van HIPAA op de werkplek
HIPAA-voorschriften worden op de werkplek gebruikt om de gezondheid en medische dossiers van werknemers die deelnemen aan een door de werkgever gesponsord gezondheidsplan te beschermen. De wetten regelen hoe individuele beschermde gezondheidsinformatie die door een gezondheidsplan wordt bijgehouden, kan worden gedeeld met werkgevers.
Welke organisaties worden beïnvloed door HIPAA?
Er zijn twee soorten organisaties die onder de HIPAA vallen: gedekte entiteiten en zakenpartners. Door de werkgever gesponsorde gezondheidsplannen worden beschouwd als gedekte entiteiten. De uitwisseling van informatie tussen werkgevers en ziektekostenverzekeraars kan dus onderworpen zijn aan extra waarborgen in vergelijking met andere ziektekostenverzekeraars.
Dekte entiteiten
Dit betreft organisaties in de gezondheidszorg, met inbegrip van maar niet beperkt tot zorgaanbieders, ziekenhuizen, door de werkgever gesponsorde ziektekostenverzekeraars en apotheken.
Business associates
Dit is een categorie die verwijst naar elke persoon of elk bedrijf die diensten verleent aan of samenwerkt met gedekte entiteiten of andere business associates. Als u diensten verleent namens een gedekte entiteit of businesspartner waarbij beschermde gezondheidsinformatie (PHI) wordt gebruikt of bekendgemaakt, en u valt in categorieën zoals dienstverleners (bijvoorbeeld accountants), consultants of technische ondersteuning (zoals cloud-opslag), bevat uw contract met businesspartners waarschijnlijk bepalingen die betrekking hebben op HIPAA.
Geldt de HIPAA voor alle werkgevers?
Door de complexiteit van de HIPAA-regelgeving doen werkgevers er verstandig aan ervan uit te gaan dat als zij gezondheidsinformatie over werknemers bezitten, zij tijd zullen moeten besteden aan de naleving ervan. De HIPAA legt een reeks vereisten op, maar de bepalingen die voor alle betrokken entiteiten relevant zijn, hebben betrekking op de beveiliging en privacy van gezondheidsgerelateerde informatie. Door de toepasselijke HIPAA-regels voor werkgevers te begrijpen, is het mogelijk om uw potentiële risico’s te identificeren en een plan op te stellen om uw blootstelling te beperken.
HIPAA-compliant worden
Hoewel de HIPAA in de eerste plaats bedoeld is om de overdraagbaarheid en continuïteit van ziekteverzekeringsplannen te verbeteren, moeten werkgevers toch vertrouwd raken met de wet en de potentiële gebieden die hen kunnen beïnvloeden. HIPAA-naleving voor werkgevers kan vaak resulteren in een betere gegevensbeveiliging en gestandaardiseerde processen die ten goede komen aan de procedures van een werkgever voor het beheer van de uitkeringen.
Wat zijn enkele veel voorkomende HIPAA-overtredingen?
Gerapporteerde incidenten worden over het algemeen gecategoriseerd in de volgende typen:
- Hacking/IT-incidenten: Onjuiste toegang tot gegevens als gevolg van een inbraak van buitenaf in de vorm van malware of andere systeeminbraken.
- Diefstal/verlies: Bijvoorbeeld wanneer apparaten waarop beschermde gezondheidsinformatie is opgeslagen per ongeluk verloren gaan of worden gestolen.
- Ongeoorloofde toegang/openbaarmaking: De openbaarmaking van de privégegevens van een persoon aan een entiteit zonder de juiste toestemming om dergelijke informatie te ontvangen.
- Onjuiste verwijdering: Wanneer beschermde gezondheidsinformatie wordt verwijderd zonder de implementatie van redelijke waarborgen, zoals het versnipperen van papieren documenten.
HIPAA-regels voor werkgevers
Er zijn vijf regels om goed op te letten in de HIPAA-wet, en werkgevers moeten ze zorgvuldig overwegen als het gaat om naleving.
Regel over privacy en persoonlijke gezondheidsinformatie
HIPAA definieert PHI breed. Het omvat echter demografische en contactinformatie, zoals naam en adres; en een sofinummer dat betrekking heeft op de vroegere, huidige of toekomstige gezondheidstoestand van een persoon. Het heeft ook betrekking op betalingen voor de verstrekking van gezondheidszorg. Voorts bepaalt de HIPAA specifiek met wie beschermde gezondheidsinformatie mag worden gedeeld. In de eerste plaats mogen de betrokken entiteiten en zakenpartners PHI alleen delen met de persoon in kwestie; voor behandeling, facturering en gezondheidszorgactiviteiten; met overledenen in geval van overlijden; met een aangewezen persoonlijke vertegenwoordiger; of in antwoord op een gerechtelijk bevel. De HIPAA-voorschriften vereisen dat de betrokken entiteiten kennisgeving doen van de praktijken inzake de bescherming van de persoonlijke levenssfeer en van de wijze waarop de PHI kan worden gebruikt of gedeeld. De wet is zeer specifiek wat betreft de rechten van patiënten, wat moet worden vermeld en wanneer informatie moet worden verstrekt.
Elektronische beveiligingsregel
Deze regel schrijft voor dat fysieke, technische en administratieve beveiligingsmaatregelen moeten worden genomen om de gezondheidsinformatie van individuen te beschermen. De verantwoordelijkheid om beschermde gezondheidsinformatie in elektronische vorm te beveiligen, wordt gelegd bij de betrokken entiteiten en hun zakenpartners. Van organisaties wordt verwacht dat zij de nodige stappen ondernemen om de privacy te waarborgen, bescherming te bieden tegen bedreigingen, de naleving door werknemers te garanderen en bescherming te bieden tegen verboden elektronisch gebruik of openbaarmaking. Naleving wordt door de regelgevers zeer serieus genomen, met handhavings- en sancties die kunnen oplopen tot 50.000 dollar per overtreding en de mogelijkheid van handhavingsacties in flagrante gevallen.
Regel voor melding van inbreuken
Volgens deze regel moeten bevoegde entiteiten en zakenpartners elke inbreuk melden waarbij de beschermde gezondheidsinformatie van een individu in gevaar wordt gebracht. In het geval van een inbreuk moeten de betrokken personen naar behoren worden ingelicht en moet de betrokken entiteit kopieën van de meldingen indienen bij de secretaris van de HHS.
Verordening inzake administratieve vereenvoudiging
De bepalingen inzake administratieve vereenvoudiging standaardiseren de elektronische uitwisseling van informatie over de gezondheidszorg. Er zijn nationale normen vastgesteld voor elektronische transacties, codesets en unieke identificatiecodes. Werkgevers moeten hun werkgeversidentificatienummer, dat zij gebruiken voor belastingaangifte, gebruiken als hun identificatiecode voor alle HIPAA-transacties.
Omnibus rule
Deze regeling breidde de aansprakelijkheid voor business associates uit en stelde hogere boetes in voor niet-naleving. Aanvullende regels voorkomen dat bepaalde informatie wordt gedeeld over het gezondheidsplan van een werknemer wanneer deze uit eigen zak betaalt voor medische diensten. Bedrijven die als een businesspartner kunnen worden gedefinieerd, zullen moeten begrijpen hoe hun verantwoordelijkheden zijn veranderd en de nodige aanpassingen moeten aanbrengen in hun HIPAA-beleid of -procedures.
Is HIPAA van toepassing op werkgevers tijdens de COVID-19-pandemie?
Weliswaar zijn de HIPAA-vereisten nog steeds van toepassing, zelfs tijdens een noodsituatie op het gebied van de volksgezondheid, maar het is werkgevers mogelijk toegestaan om PHI aan bepaalde personen bekend te maken zonder de toestemming van een werknemer of patiënt. In het licht van de huidige COVID-19-pandemie heeft de HHS deze entiteiten geschetst in een bulletin van februari 2020, en zij omvatten:
- Op aanwijzing van volksgezondheidsautoriteiten, Buitenlandse overheidsinstanties;
- Personen die het risico lopen de ziekte op te lopen of te verspreiden; en
- De gezinsleden, familieleden, vrienden of anderen die betrokken zijn bij de zorg van de patiënt;
Werkgevers moeten er rekening mee houden dat andere staats- of federale regels van toepassing kunnen zijn.
HIPAA-overwegingen voor werknemers
Werknemers met toegang tot beschermde gezondheidsinformatie moeten worden voorgelicht over hun verantwoordelijkheden en moeten informatie krijgen over hoe ze een vermoedelijke inbreuk moeten melden. Om het risico op een HIPAA-overtreding te verkleinen, moet de training voor werknemers het volgende omvatten:
- Geef nooit uw wachtwoord.
- Geef nooit gevoelige informatie via sms.
- Controleer ID-badges of andere informatie voor degenen die om privégezondheidsinformatie vragen.
- Verlaat nooit uw werkplek zonder uw scherm te vergrendelen of gegevens te beveiligen.
HIPAA-naleving voor uw bedrijf
HIPAA-naleving voor werkgevers is van cruciaal belang, of ze nu een gedekte entiteit of businesspartner zijn, een groepsgezondheidsplan aanbieden, of actief zijn tijdens een noodsituatie op het gebied van de volksgezondheid. Een proactieve aanpak van de HIPAA biedt voordelen zoals een betere gegevensbeveiliging en een efficiëntere informatiestroom als gevolg van het gebruik van gestandaardiseerde procedures en gegevensidentificatoren.
Als uw bedrijf actief is in de gezondheidszorg of contractueel samenwerkt met een bedrijf dat dat doet, is het belangrijk dat u uw HIPAA-verplichtingen en risicoblootstelling bepaalt. Een ervaren HR-professional of bedrijfsjurist kan u helpen de risico’s in kaart te brengen en een plan te ontwikkelen en uit te voeren om aan de eisen te blijven voldoen.