Opieka zdrowotna jest jedną z najbardziej uregulowanych branż, jeśli chodzi o ochronę prywatnych informacji. Pacjenci i pracownicy oczekują, że lekarze i inne firmy zajmujące się opieką zdrowotną podejmą odpowiednie działania w celu ochrony ich danych osobowych. Pracodawcy mogą również podlegać przepisom o ochronie prywatności, które wchodzą w zakres Health Insurance Portability and Accountability Act (HIPAA), jeśli są uznawani za podmiot objęty ochroną, współpracownika biznesowego lub poprzez administrowanie grupowym planem zdrowotnym. Pracodawcy muszą rozumieć wszelkie obowiązujące przepisy HIPAA – szczególnie podczas sytuacji zagrożenia zdrowia publicznego, takich jak pandemia COVID-19 (koronawirus) – i wprowadzić odpowiednie narzędzia i protokoły w celu ochrony informacji zdrowotnych swoich pracowników.
Co oznacza skrót HIPAA?
HIPAA oznacza przepisy ustanowione przez Health Insurance Portability and Accountability Act z 1996 roku. Według amerykańskiego Departamentu Zdrowia i Usług Społecznych (HHS), HIPAA pozwala na niezbędną wymianę informacji w celu zapewnienia osobom dostępu do wysokiej jakości opieki zdrowotnej przy jednoczesnej ochronie ich prawa do prywatności. Każdy dostawca lub firma mająca dostęp do chronionych informacji zdrowotnych musi wprowadzić środki, które będą zgodne z HIPAA.
Jakie są niektóre błędne przekonania na temat HIPAA?
Istnieją pewne mity na temat zasad HIPAA dla pracodawców. HHS wyjaśnia na swojej stronie, że HIPAA nie:
- Uniemożliwia pracodawcy żądanie zaświadczenia lekarskiego o nieobecności, chociaż ta praktyka może stwarzać inne zagrożenia dla pracodawcy.
- Wpływa na możliwość żądania informacji potrzebnych do zarządzania programami świadczeń, takimi jak opieka zdrowotna, roszczenia o odszkodowanie dla pracowników lub zwolnienia lekarskie, chociaż pracodawcy powinni rozważyć inne czynniki ryzyka związane z tego typu żądaniami.
- Obejmuje wszystkie informacje o świadczeniach pracowniczych. Na przykład, pracownicze ubezpieczenia na życie, renty inwalidzkie, odszkodowania pracownicze i programy wellness nie są generalnie objęte tymi przepisami.
- Obejmują ochronę danych przechowywanych w rejestrach zatrudnienia, tylko rejestry medyczne lub zdrowotne pracowników uczestniczących w firmowym planie opieki zdrowotnej.
Cel HIPAA w miejscu pracy
Regulacje HIPAA są używane w miejscu pracy w celu ochrony zdrowia i dokumentacji medycznej pracowników uczestniczących w sponsorowanym przez pracodawcę planie opieki zdrowotnej. Przepisy te regulują sposób, w jaki chronione informacje o stanie zdrowia poszczególnych osób, przechowywane przez plan opieki zdrowotnej, mogą być udostępniane pracodawcom.
Które organizacje podlegają przepisom HIPAA?
Istnieją dwa rodzaje organizacji podlegających przepisom HIPAA: podmioty objęte przepisami i podmioty współpracujące. Plany zdrowotne finansowane przez pracodawców są uważane za podmioty objęte przepisami. W związku z tym, wymiana informacji pomiędzy pracodawcami a planami zdrowotnymi może podlegać dodatkowym zabezpieczeniom w porównaniu z innymi planami świadczeń.
Podmioty objęte
Odnosi się to do organizacji opieki zdrowotnej, w tym, ale nie tylko, do dostawców usług zdrowotnych, szpitali, planów zdrowotnych sponsorowanych przez pracodawców i aptek.
Podmioty powiązane
Jest to kategoria odnosząca się do każdej osoby lub firmy, która świadczy usługi lub współpracuje z podmiotami objętymi lub innymi podmiotami powiązanymi. Jeśli wykonujesz usługi w imieniu podmiotu objętego lub partnera biznesowego, które wiążą się z wykorzystaniem lub ujawnieniem chronionych informacji zdrowotnych (PHI), i należysz do kategorii takich jak dostawcy usług (na przykład księgowi), konsultanci lub wsparcie techniczne (np. przechowywanie danych w chmurze), Twoja umowa z partnerem biznesowym prawdopodobnie zawiera postanowienia odnoszące się do HIPAA.
Czy HIPAA dotyczy wszystkich pracodawców?
Ze względu na złożoność przepisów HIPAA, pracodawcy powinni założyć, że jeśli posiadają informacje zdrowotne o pracownikach, będą musieli poświęcić czas na zapewnienie zgodności. HIPAA nakłada szereg wymagań, ale przepisy, które są istotne dla wszystkich podmiotów, odnoszą się do bezpieczeństwa i prywatności informacji związanych ze zdrowiem. Rozumiejąc obowiązujące zasady HIPAA dla pracodawców, można zidentyfikować potencjalne ryzyko i wdrożyć plan, który pomoże ograniczyć ekspozycję na niebezpieczeństwo.
Zgodność z HIPAA
Pomimo, że głównym celem HIPAA jest poprawa przenośności i ciągłości planów ubezpieczeń zdrowotnych, pracodawcy powinni zapoznać się z tym prawem i potencjalnymi obszarami, które mogą mieć na nich wpływ. Zgodność z HIPAA dla pracodawców może często skutkować zwiększeniem bezpieczeństwa danych i standaryzacją procesów, które przynoszą korzyści w procedurach administracji świadczeń.
Jakie są częste naruszenia HIPAA?
Zgłoszone incydenty są ogólnie podzielone na następujące typy:
- Hacking/incydenty IT: Niewłaściwy dostęp do danych wynikający z włamania z zewnątrz w postaci złośliwego oprogramowania lub innych włamań do systemu.
- Kradzież/utrata: Na przykład, gdy urządzenia przechowujące chronione informacje zdrowotne zostaną przypadkowo zgubione lub skradzione.
- Nieupoważniony dostęp/ujawnienie: Ujawnienie prywatnych informacji osoby fizycznej podmiotowi bez odpowiedniej zgody na otrzymanie takich informacji.
- Niewłaściwe pozbycie się danych: Kiedy chronione informacje zdrowotne są usuwane bez wdrożenia rozsądnych zabezpieczeń, takich jak niszczenie dokumentów papierowych.
Zasady HIPAA dla pracodawców
W prawie HIPAA jest pięć zasad, na które należy zwrócić szczególną uwagę, a pracodawcy powinni je dokładnie rozważyć, jeśli chodzi o zgodność.
Zasada prywatności i osobistych informacji zdrowotnych
HIPAA szeroko definiuje PHI. Jednakże, zazwyczaj obejmuje ona informacje demograficzne i kontaktowe, takie jak nazwisko i adres oraz numer ubezpieczenia społecznego, które odnoszą się do przeszłego, obecnego lub przyszłego stanu zdrowia danej osoby. Dotyczą one również płatności dokonywanych za świadczenie opieki zdrowotnej. Ponadto, HIPAA wyraźnie określa, z kim można dzielić się chronionymi informacjami zdrowotnymi. Przede wszystkim, podmioty objęte obowiązkiem ubezpieczenia i podmioty stowarzyszone mogą udostępniać PHI tylko danej osobie; w celu leczenia, wystawiania rachunków i prowadzenia działalności w zakresie opieki zdrowotnej; zmarłym w przypadku śmierci; wyznaczonemu przedstawicielowi osobistemu; lub w odpowiedzi na nakaz sądowy. Przepisy HIPAA wymagają, aby podmioty objęte ochroną zapewniły powiadomienie dotyczące praktyk ochrony prywatności oraz sposobu, w jaki PHI może być wykorzystywane lub udostępniane. Prawo jest bardzo szczegółowe w odniesieniu do praw pacjenta, co musi być zawarte i kiedy informacja musi być przedstawiona.
Zasada bezpieczeństwa elektronicznego
Zasada ta wymaga wprowadzenia fizycznych, technicznych i administracyjnych zabezpieczeń w celu ochrony informacji zdrowotnych osób. Odpowiedzialność za zabezpieczenie chronionych informacji zdrowotnych w formie elektronicznej spoczywa na podmiotach objętych ochroną i ich partnerach biznesowych. Od organizacji oczekuje się podjęcia niezbędnych kroków w celu zapewnienia prywatności, ochrony przed zagrożeniami, zapewnienia zgodności z przepisami przez pracowników oraz ochrony przed niedozwolonym wykorzystaniem lub ujawnieniem informacji drogą elektroniczną. Zgodność jest traktowana bardzo poważnie przez organy regulacyjne, z egzekwowaniem i karami w wysokości do 50 000 USD za naruszenie i potencjalnymi działaniami wykonawczymi w bardzo poważnych przypadkach.
Reguła powiadamiania o naruszeniach
W ramach tej reguły, podmioty objęte obowiązkiem sprawozdawczym i partnerzy biznesowi są zobowiązani do zgłaszania wszelkich naruszeń, które narażają chronione informacje zdrowotne osoby fizycznej. W przypadku naruszenia, odpowiednie powiadomienie musi zostać przekazane osobom, których ono dotyczy, a kopie powiadomień muszą zostać złożone przez podmiot objęty obowiązkiem sprawozdawczym do sekretarza HHS.
Regulacje dotyczące uproszczeń administracyjnych
Przepisy dotyczące uproszczeń administracyjnych standaryzują elektroniczną wymianę informacji dotyczących opieki zdrowotnej. Krajowe standardy zostały ustalone dla transakcji elektronicznych, zestawów kodów i unikalnych identyfikatorów. Pracodawcy muszą używać swojego numeru identyfikacyjnego pracodawcy (Employer Identification Number) używanego do raportowania podatkowego jako identyfikatora dla wszystkich transakcji HIPAA.
Rozporządzenie Omnibus
Rozporządzenie to rozszerzyło odpowiedzialność współpracowników biznesowych i ustanowiło większe kary za nieprzestrzeganie przepisów. Dodatkowe zasady zapobiegają udostępnianiu pewnych informacji o planie zdrowotnym pracownika, gdy płaci on za usługi medyczne z własnej kieszeni. Firmy, które mogą być określane jako partnerzy biznesowi, będą musiały zrozumieć, jak zmieniła się ich odpowiedzialność i dokonać odpowiednich zmian w swoich politykach i procedurach HIPAA.
Czy HIPAA ma zastosowanie do pracodawców podczas pandemii COVID-19?
Podczas gdy wymagania HIPAA nadal mają zastosowanie nawet podczas sytuacji zagrożenia zdrowia publicznego, pracodawcy mogą być upoważnieni do ujawniania PHI określonym osobom bez zgody pracownika lub pacjenta. W świetle obecnej pandemii COVID-19, HHS w biuletynie z lutego 2020 r. przedstawił te podmioty, a są to:
- Na polecenie organów zdrowia publicznego, Zagraniczne agencje rządowe;
- Osoby zagrożone zarażeniem lub rozprzestrzenianiem się choroby; i
- Członkowie rodziny pacjenta, krewni, przyjaciele lub inne osoby zaangażowane w opiekę nad pacjentem;
Pracodawcy powinni pamiętać, że inne zasady stanowe lub federalne mogą mieć zastosowanie.
Uwagi dotyczące HIPAA dla pracowników
Pracownicy mający dostęp do chronionych informacji zdrowotnych powinni zostać przeszkoleni w zakresie swoich obowiązków i otrzymać informacje na temat sposobu zgłaszania podejrzenia naruszenia. Aby zmniejszyć ryzyko naruszenia przepisów HIPAA, szkolenia dla pracowników powinny obejmować następujące elementy:
- Nigdy nie udostępniaj swojego hasła.
- Nigdy nie przekazuj poufnych informacji za pośrednictwem wiadomości tekstowych.
- Sprawdzaj identyfikatory lub inne informacje w przypadku osób żądających prywatnych informacji zdrowotnych.
- Nigdy nie opuszczaj miejsca pracy bez zablokowania ekranu lub zabezpieczenia danych.
Zgodność z HIPAA dla Twojej firmy
Zgodność z HIPAA dla pracodawców ma krytyczne znaczenie, niezależnie od tego, czy są oni podmiotem objętym ochroną lub partnerem biznesowym, czy oferują grupowy plan zdrowotny, czy też działają w sytuacji zagrożenia zdrowia publicznego. Proaktywne podejście do HIPAA obejmuje korzyści takie jak zwiększone bezpieczeństwo danych i bardziej efektywny przepływ informacji wynikający z zastosowania standardowych procedur i identyfikatorów danych.
Jeśli Twoja firma działa w obszarze opieki zdrowotnej lub współpracuje z firmą, która to robi, ważne jest, abyś określił swoje obowiązki związane z HIPAA i ekspozycję na ryzyko. Doświadczony specjalista ds. kadr lub prawnik biznesowy może pomóc w określeniu ryzyka, jak również w opracowaniu i wdrożeniu planu zachowania zgodności z przepisami.