L’assistenza sanitaria è una delle industrie più altamente regolamentate quando si tratta della protezione delle informazioni private. I pazienti e i dipendenti si aspettano che i medici e le altre aziende sanitarie abbiano misure adeguate per proteggere i loro dati personali. I datori di lavoro possono anche essere soggetti alle norme sulla privacy che rientrano nell’Health Insurance Portability and Accountability Act (HIPAA) se sono considerati un’entità coperta o un socio d’affari, o attraverso l’amministrazione di un piano sanitario di gruppo. I datori di lavoro devono capire tutte le regole HIPAA applicabili – in particolare durante le emergenze sanitarie pubbliche come la pandemia di COVID-19 (coronavirus) – e mettere in atto gli strumenti e i protocolli corretti per proteggere le informazioni sanitarie dei loro dipendenti.
Cosa significa HIPAA?
HIPAA è l’acronimo dei regolamenti stabiliti dall’Health Insurance Portability and Accountability Act del 1996. Secondo il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS), l’HIPAA permette la necessaria condivisione delle informazioni per garantire che gli individui ricevano l’accesso a cure sanitarie di alta qualità, proteggendo il loro diritto alla privacy. Qualsiasi fornitore o azienda con accesso alle informazioni sanitarie protette deve mettere in atto misure per rispettare l’HIPAA.
Quali sono alcune idee sbagliate sull’HIPAA?
Ci sono alcuni miti sulle regole HIPAA per i datori di lavoro. L’HHS mette in chiaro sul suo sito che l’HIPAA non:
- Impedisce al datore di lavoro di chiedere un certificato medico per un’assenza, anche se questa pratica può creare altre esposizioni per i datori di lavoro.
- Influenzare la vostra capacità di richiedere informazioni necessarie per amministrare i programmi di benefici, come la copertura sanitaria, le richieste di risarcimento dei lavoratori, o le assenze per malattia, anche se i datori di lavoro dovrebbero considerare altri fattori di rischio intorno a questi tipi di richieste.
- Coprire tutte le informazioni sui benefici dei dipendenti. Per esempio, l’assicurazione sulla vita dei dipendenti, l’invalidità e la compensazione dei lavoratori, e i programmi di benessere non sono generalmente coperti da questa legislazione.
- Coprire la protezione dei dati mantenuti nei registri di lavoro, solo le registrazioni mediche o del piano sanitario dei dipendenti che partecipano come membri del piano sanitario della società.
Lo scopo di HIPAA sul posto di lavoro
Le norme HIPAA sono utilizzate sul posto di lavoro per proteggere la salute e le cartelle cliniche dei dipendenti che partecipano a un piano sanitario sponsorizzato dal datore di lavoro. Le leggi regolano il modo in cui le informazioni sanitarie protette degli individui mantenute da un piano sanitario possono essere condivise con i datori di lavoro.
Quali organizzazioni sono colpite dall’HIPAA?
Ci sono due tipi di organizzazioni che sono soggette all’HIPAA: entità coperte e business associate. I piani sanitari sponsorizzati dai datori di lavoro sono considerati entità coperte. Pertanto, lo scambio di informazioni tra i datori di lavoro e i piani sanitari può essere soggetto a salvaguardie aggiuntive rispetto ad altri piani previdenziali.
Enti coperti
Si riferisce alle organizzazioni sanitarie, compresi, ma non limitati a, fornitori di assistenza sanitaria, ospedali, piani sanitari sponsorizzati dai datori di lavoro e farmacie.
Associati commerciali
Questa è una categoria che si riferisce a qualsiasi persona o azienda che fornisce servizi a o lavora con entità coperte o altri associati commerciali. Se si eseguono servizi per conto di un’entità coperta o di un associato d’affari che comporta l’uso o la divulgazione di informazioni sanitarie protette (PHI), e si rientra in categorie come i fornitori di servizi (ad esempio, i contabili), i consulenti o il supporto tecnico (come il cloud storage), il vostro contratto di associato d’affari probabilmente contiene disposizioni che riguardano l’HIPAA.
L’HIPAA si applica a tutti i datori di lavoro?
A causa della complessità delle norme HIPAA, i datori di lavoro sono saggi a presumere che se possiedono informazioni sanitarie sui dipendenti, dovranno dedicare del tempo a garantire la conformità. L’HIPAA impone una serie di requisiti, ma le disposizioni che sono rilevanti per tutte le entità soggette riguardano la sicurezza e la privacy delle informazioni relative alla salute. Comprendendo le regole HIPAA applicabili per i datori di lavoro, è possibile identificare i potenziali rischi e mettere in atto un piano per aiutare a mitigare la propria esposizione.
Diventare conformi all’HIPAA
Anche se l’intento principale dell’HIPAA è quello di migliorare la portabilità e la continuità dei piani di assicurazione sanitaria, i datori di lavoro dovrebbero comunque acquisire una familiarità con la legge e le potenziali aree che possono riguardarli. La conformità HIPAA per i datori di lavoro può spesso risultare in una maggiore sicurezza dei dati e in processi standardizzati che beneficiano delle procedure di amministrazione dei benefici del datore di lavoro.
Quali sono alcune violazioni HIPAA comuni?
Gli incidenti segnalati sono generalmente classificati secondo i seguenti tipi:
- Incidenti di hacking/IT: Accesso improprio ai dati risultante da un’intrusione esterna sotto forma di malware o altre intrusioni nel sistema.
- Furto/perdita: Per esempio, quando i dispositivi che contengono informazioni sanitarie protette vengono persi accidentalmente o rubati.
- Accesso non autorizzato/divulgazione: La divulgazione di informazioni private di un individuo a un ente senza l’adeguata approvazione a ricevere tali informazioni.
- Smaltimento improprio: Quando le informazioni sanitarie protette vengono smaltite senza l’implementazione di ragionevoli misure di sicurezza, come la triturazione dei documenti cartacei.
Regole HIPAA per i datori di lavoro
Ci sono cinque regole a cui prestare molta attenzione nella legge HIPAA, e i datori di lavoro dovrebbero considerarle attentamente quando si tratta di conformità.
Regola sulla privacy e le informazioni sanitarie personali
HIPAA definisce PHI ampiamente. Tuttavia, include tipicamente informazioni demografiche e di contatto, come nome e indirizzo, e un numero di previdenza sociale che si riferisce allo stato di salute passato, presente o futuro di un individuo. Si riferisce anche ai pagamenti effettuati per la fornitura di assistenza sanitaria. Inoltre, l’HIPAA definisce specificamente con chi possono essere condivise le informazioni sanitarie protette. In primo luogo, le entità coperte e i partner commerciali possono condividere PHI solo con la persona in questione; per il trattamento, la fatturazione e le operazioni sanitarie; ai deceduti in caso di morte; a un rappresentante personale designato; o in risposta a un ordine del tribunale. Le regole dell’HIPAA richiedono che le entità coperte forniscano un avviso riguardante le pratiche di privacy e come le PHI possono essere usate o condivise. La legge è molto specifica per quanto riguarda i diritti del paziente, cosa deve essere incluso e quando le informazioni devono essere presentate.
Regola di sicurezza elettronica
Questa regola richiede salvaguardie fisiche, tecniche e amministrative da mettere in atto per proteggere le informazioni sanitarie degli individui. La responsabilità è posta sulle entità coperte e sui loro soci d’affari per proteggere le informazioni sanitarie protette in forma elettronica. Ci si aspetta che le organizzazioni prendano le misure necessarie per assicurare la privacy, proteggere dalle minacce, assicurare la conformità dei dipendenti e proteggere da usi o divulgazioni elettroniche proibite. La conformità è presa molto seriamente dai regolatori, con l’applicazione e le sanzioni che vanno fino a 50.000 dollari per violazione e il potenziale di azione esecutiva in casi eclatanti.
Regola di notifica della violazione
In base a questa regola, le entità coperte e i collaboratori commerciali sono tenuti a segnalare qualsiasi violazione che comprometta le informazioni sanitarie protette di un individuo. In caso di violazione, una notifica adeguata deve essere fatta agli individui interessati, e copie delle notifiche devono essere presentate dall’entità coperta al segretario dell’HHS.
Regolamento di semplificazione amministrativa
Le disposizioni di semplificazione amministrativa standardizzano lo scambio elettronico di informazioni sanitarie. Sono stati stabiliti degli standard nazionali per le transazioni elettroniche, i set di codici e gli identificatori unici. I datori di lavoro devono usare il loro Employer Identification Number usato per il reporting fiscale come loro identificatore per tutte le transazioni HIPAA.
Regola Omnibus
Questa sentenza ha ampliato la responsabilità per i business associates e ha istituito maggiori sanzioni per la non conformità. Regole aggiuntive impediscono la condivisione di certe informazioni sul piano sanitario di un dipendente quando questi paga i servizi medici di tasca propria. Le aziende che possono essere definite come business associate dovranno capire come sono cambiate le loro responsabilità e fare le opportune modifiche alle loro politiche o procedure HIPAA.
L’HIPAA si applica ai datori di lavoro durante la pandemia COVID-19?
Mentre i requisiti HIPAA si applicano anche durante un’emergenza sanitaria pubblica, i datori di lavoro possono essere autorizzati a rivelare PHI a certi individui senza il permesso di un dipendente o paziente. Alla luce dell’attuale pandemia COVID-19, l’HHS ha delineato queste entità in un bollettino del febbraio 2020, e comprendono:
- Su indicazione delle autorità sanitarie pubbliche, agenzie governative straniere;
- Persone a rischio di contrarre o diffondere la malattia; e
- Familiari del paziente, parenti, amici, o altri coinvolti nella cura del paziente;
I datori di lavoro dovrebbero notare che altre regole statali o federali possono essere applicate.
Considerazioni HIPAA per i dipendenti
I dipendenti che hanno accesso a informazioni sanitarie protette devono essere istruiti sulle loro responsabilità e ricevere informazioni su come segnalare una sospetta violazione. Per ridurre il rischio di una violazione dell’HIPAA, la formazione per i dipendenti dovrebbe includere quanto segue:
- Non condividere mai la tua password.
- Non trasmettere mai informazioni sensibili via SMS.
- Controlla i badge identificativi o altre informazioni per coloro che richiedono informazioni sanitarie private.
- Non lasciare mai la tua area di lavoro senza bloccare il tuo schermo o proteggere i dati.
Conformità HIPAA per la tua azienda
La conformità HIPAA per i datori di lavoro è fondamentale, se sono un’entità coperta o un socio d’affari, offrono un piano sanitario di gruppo o operano durante un’emergenza sanitaria pubblica. Affrontare proattivamente l’HIPAA include benefici come una maggiore sicurezza dei dati e un flusso più efficiente di informazioni derivanti dall’uso di procedure standardizzate e identificatori di dati.
Se la tua azienda opera nello spazio sanitario o lavora contrattualmente con una società che lo fa, è importante che tu determini i tuoi obblighi HIPAA e l’esposizione al rischio. Un professionista delle risorse umane o un avvocato d’affari esperto può aiutarvi a mappare i rischi e a sviluppare e implementare un piano per rimanere conformi.