‏الجهة المشمولة (Covered Entity)

لا يُخضع HIPAA لقواعده كل منظمة تتعامل مع البيانات الصحية. فهو يحدد ثلاث فئات، والانتماء إلى إحداها يُفعّل مجموعة كاملة من التزامات الخصوصية والأمن. والتعريف وظيفي: تدخل المنظمة في الفئة بحسب ما تفعله بالمعلومات الصحية، لا بحسب شكلها القانوني أو حجمها.

لا يُعدّ مزودو الرعاية مشمولين إلا إذا نقلوا المعلومات الصحية إلكترونيًا ضمن معاملات قياسية، مثل المطالبات واستعلامات الأهلية. أما العيادة التي تُصدر فواتيرها على الورق وحده فلا تستوفي التعريف.

تؤدي منظمات كبيرة كثيرة وظائف مشمولة وأخرى غير مشمولة، مثل جامعة لديها مستشفى تعليمي، أو متجر تجزئة لديه صيدليات. يتيح HIPAA لمثل هذه المنظمة أن تعلن نفسها منظمة هجينة. عندها لا تُعامَل كجهة مشمولة إلا المكونات التي تؤدي وظائف مشمولة وتُحدَّد كتابةً بوصفها مكوّن الرعاية الصحية.

هذا التحديد ليس مخرجًا من الالتزامات. فالمكون الذي يصدر المطالبات إلكترونيًا يبقى داخل الحدود، لأن الالتزامات تتبع البيانات. أما الوظائف التي تُؤدى بصفة صاحب العمل وحدها، كالرواتب، فتبقى دائمًا خارج النطاق.

الاستثناءات لا تقل أهمية عن التعريف. فالبيانات التي تخرج من نطاق HIPAA قد تخضع لنظام قانوني آخر، أو لا تخضع لأي نظام. ومن أكثر الحالات شيوعًا:

• أصحاب العمل بصفتهم أصحاب عمل: ملفات الموظفين وكشوف الرواتب ليست PHI، حتى لو ذكرت إجازة مرضية
• شركات تأمين إصابات العمل: تحكمها قوانين الولايات، وغالبًا لا تُعد خططًا صحية
• شركات تأمين الحياة والسيارات والعجز: تغطي المخاطر المالية، لا تكاليف الرعاية الصحية
• معظم عيادات المدارس والحرم الجامعي: تخضع سجلاتها عادةً لقانون FERPA بدلًا من HIPAA
• المزودون الورقيون فقط: لا يرتبطون إلكترونيًا بالمعاملات القياسية، وهذا نادر اليوم

الجهة المشمولة والشريك التجاري هما الدوران المحوريان في نموذج بيانات HIPAA، والفرق بينهما في اتجاه الخدمة. تعمل الجهة المشمولة في العلاقة الصحية باسمها الخاص: تعالج المرضى، أو تسدد المطالبات، أو تعالج المعاملات القياسية. أما الشريك التجاري فهو شخص أو منظمة من خارج موظفي الجهة المشمولة، يُنشئ PHI أو يستلمها أو يحفظها أو ينقلها أثناء تقديم خدمة لها، كالفوترة أو النسخ أو الاستضافة أو المحاسبة.

منذ قانون HITECH يتحمل الشركاء التجاريون مسؤولية مباشرة أمام الجهات الرقابية عن كثير من المتطلبات، لكن الجهة المشمولة تحتفظ بالتزامات خاصة بها: ضمانات مكتوبة قبل أن تنتقل PHI إلى مورّد، وإشعار بعد وقوع خرق لدى المورّد. ويمكن لمنظمة واحدة أن تجمع الدورين. فالمستشفى الذي يعالج مطالبات عيادة مجاورة هو شريكها التجاري، ويبقى جهة مشمولة لمرضاه هو.

تحكم قاعدة الخصوصية ما يجوز للجهة المشمولة فعله بـ PHI، وتمنح الأفراد حقوقًا على معلوماتهم. وأهم الواجبات:

• الاستخدامات والإفصاحات المسموح بها: يجوز استخدام PHI للعلاج والدفع والعمليات الصحية دون تفويض من المريض. أما معظم الأغراض الأخرى، كالتسويق وبيع المعلومات وكثير من البحوث، فتتطلب تفويضًا كتابيًا.
• الحد الأدنى الضروري: يقتصر كل استخدام أو إفصاح على أقل قدر من PHI يلزم للغرض، مع استثناءات ضيقة مثل النقل بين المزودين لأغراض العلاج.
• إشعار ممارسات الخصوصية: إشعار مكتوب يصف كيفية استخدام الجهة لـ PHI وإفصاحها عنها، يُسلَّم للمرضى ويُتاح عند الطلب.
• حقوق الأفراد: الاطلاع على سجلاتهم وتصحيحها، وحصر الإفصاحات، وطلبات التقييد، والتواصل السري.
• الإدارة: مسؤول خصوصية معيّن، وتدريب الموظفين وتأديبهم، ومعالجة الشكاوى، وضوابط متناسبة مع المخاطر.

تسري قاعدة الأمن على معلومات الصحة المحمية الإلكترونية (ePHI)، وتتطلب برنامجًا موثقًا قائمًا على المخاطر وليس قائمة تحقق ثابتة. يجب على الجهة المشمولة إجراء تحليل دوري للمخاطر، وتطبيق ضوابط إدارية ومادية وتقنية. ومن الضوابط التقنية: ضبط الوصول حسب الحاجة إلى المعرفة، والتعريف الفريد للمستخدمين، وضوابط التدقيق، وحماية سلامة البيانات، وتشفير ePHI أثناء النقل وفي التخزين.

تضيف قاعدة الإخطار عن الاختراقات واجبًا مرتبطًا بمهل زمنية. وتتبع الخطوات التالية:

1. 1

   افتراض الاختراق

   يُفترض أن الاستخدام أو الإفصاح غير المصرح به عن PHI غير المؤمّنة يستوجب الإبلاغ.

2. 2

   تقييم العوامل الأربعة

   يبقى الافتراض قائمًا، إلا إذا أظهر تقييم موثق احتمالًا منخفضًا لتسرب البيانات.

3. 3

   الإخطار في الوقت المحدد

   إخطار الأفراد والجهة الرقابية دون تأخير غير مبرر، وفي موعد لا يتجاوز 60 يومًا من الاكتشاف.

ابدأ بالتحقق من الفئة التي تنطبق عليك من الفئات الثلاث، لأن كل الواجبات اللاحقة تعتمد على هذه الإجابة. ثم أحصِ الموردين الذين يتلقون PHI وضوابط السرية التي يجب أن يستوفيها كل منهم. وللاطلاع على صورة عملية لحماية بيانات المرضى، انظر إلى حماية بيانات المرضى في الرعاية الصحية.