Καλυπτόμενος Φορέας (Covered Entity)

Το HIPAA δεν εφαρμόζεται σε κάθε οργανισμό που χειρίζεται δεδομένα υγείας. Ορίζει τρεις κατηγορίες, και η υπαγωγή σε μία από αυτές ενεργοποιεί το πλήρες σύνολο υποχρεώσεων απορρήτου και ασφάλειας. Ο ορισμός είναι λειτουργικός: ένας οργανισμός εντάσσεται λόγω του τι κάνει με τις πληροφορίες υγείας, όχι λόγω της νομικής μορφής ή του μεγέθους του.

Οι πάροχοι μετρούν μόνο αν μεταδίδουν πληροφορίες υγείας ηλεκτρονικά, σε τυποποιημένες συναλλαγές όπως απαιτήσεις πληρωμής και ερωτήματα επιλεξιμότητας. Ιατρείο που τιμολογεί αποκλειστικά σε χαρτί δεν πληροί τον ορισμό.

Πολλοί μεγάλοι οργανισμοί ασκούν καλυπτόμενες και μη καλυπτόμενες δραστηριότητες, όπως ένα πανεπιστήμιο με διδακτικό νοσοκομείο ή μια αλυσίδα λιανικής με φαρμακεία. Το HIPAA επιτρέπει να δηλωθούν ως υβριδικός φορέας. Τότε ως καλυπτόμενος φορέας αντιμετωπίζονται μόνο τα τμήματα που ασκούν καλυπτόμενες λειτουργίες και έχουν καταγραφεί γραπτώς ως τμήμα υγειονομικής περίθαλψης.

Η δήλωση δεν είναι διέξοδος. Τμήμα που τιμολογεί απαιτήσεις ηλεκτρονικά παραμένει εντός των ορίων, επειδή οι υποχρεώσεις ακολουθούν τα δεδομένα. Οι λειτουργίες που ασκούνται αποκλειστικά ως εργοδότης, όπως η μισθοδοσία, μένουν πάντα εκτός.

Οι εξαιρέσεις έχουν την ίδια σημασία με τον ορισμό. Δεδομένα που φεύγουν από τον κόσμο του HIPAA μπορεί να υπαχθούν σε άλλο νομικό καθεστώς ή σε κανένα. Συνήθως εξαιρούνται:

• Εργοδότες ως εργοδότες: Φάκελοι προσωπικού και μισθοδοσία δεν είναι PHI, ακόμη και με αναρρωτική άδεια
• Ασφαλιστές επαγγελματικών ατυχημάτων: Διέπονται από πολιτειακή νομοθεσία και συνήθως δεν είναι φορείς υγείας
• Ασφαλιστές ζωής, αυτοκινήτου και αναπηρίας: Καλύπτουν οικονομικό κίνδυνο, όχι περίθαλψη
• Τα περισσότερα ιατρεία σχολείων και πανεπιστημίων: Τα αρχεία τους διέπονται συνήθως από τη FERPA, όχι το HIPAA
• Πάροχοι μόνο με χαρτί: Χωρίς ηλεκτρονική σύνδεση με τυποποιημένες συναλλαγές, σπάνιοι σήμερα

Ο καλυπτόμενος φορέας και ο business associate είναι οι δύο κεντρικοί ρόλοι του μοντέλου δεδομένων του HIPAA. Η διαφορά βρίσκεται στην κατεύθυνση της υπηρεσίας. Ο καλυπτόμενος φορέας δρα στη σχέση υγείας με το όνομά του: θεραπεύει ασθενείς, πληρώνει απαιτήσεις ή επεξεργάζεται τυποποιημένες συναλλαγές. Ο business associate είναι πρόσωπο ή οργανισμός εκτός του προσωπικού του καλυπτόμενου φορέα, που δημιουργεί, λαμβάνει, διατηρεί ή μεταδίδει PHI παρέχοντας σε αυτόν υπηρεσία, όπως τιμολόγηση, μεταγραφή, φιλοξενία ή λογιστική.

Από τον νόμο HITECH, οι business associates απαντούν απευθείας στις ρυθμιστικές αρχές για πολλές απαιτήσεις. Ο καλυπτόμενος φορέας διατηρεί όμως δικές του υποχρεώσεις: γραπτές διαβεβαιώσεις πριν στείλει PHI σε προμηθευτή και ειδοποίηση μετά από παραβίαση στην πλευρά του προμηθευτή. Ένας οργανισμός μπορεί να έχει και τους δύο ρόλους. Νοσοκομείο που επεξεργάζεται απαιτήσεις γειτονικής κλινικής είναι ο business associate της κλινικής, και παραμένει καλυπτόμενος φορέας για τους δικούς του ασθενείς.

Ο κανόνας απορρήτου (Privacy Rule) ρυθμίζει τι μπορεί να κάνει ένας καλυπτόμενος φορέας με το PHI και δίνει στα άτομα δικαιώματα επί των δικών τους πληροφοριών. Βασικά καθήκοντα:

• Επιτρεπόμενες χρήσεις και γνωστοποιήσεις: το PHI μπορεί να χρησιμοποιηθεί για θεραπεία, πληρωμή και λειτουργίες υγείας χωρίς άδεια του ασθενούς. Για τους περισσότερους άλλους σκοπούς, όπως το μάρκετινγκ, η πώληση πληροφοριών ή μεγάλο μέρος της έρευνας, απαιτείται γραπτή άδεια.
• Ελάχιστο αναγκαίο: κάθε χρήση ή γνωστοποίηση περιορίζεται στο ελάχιστο PHI που χρειάζεται, με στενές εξαιρέσεις, όπως οι μεταφορές μεταξύ παρόχων για θεραπεία.
• Ειδοποίηση πρακτικών απορρήτου: γραπτό έγγραφο που περιγράφει πώς ο φορέας χρησιμοποιεί και γνωστοποιεί το PHI. Δίνεται στους ασθενείς και διατίθεται κατόπιν αιτήματος.
• Δικαιώματα ατόμων: πρόσβαση στα αρχεία τους, διόρθωση, κατάλογος γνωστοποιήσεων, αιτήματα περιορισμού και εμπιστευτικές επικοινωνίες.
• Διοίκηση: ορισμένος υπεύθυνος απορρήτου, εκπαίδευση και κυρώσεις προσωπικού, διαχείριση παραπόνων και διασφαλίσεις ανάλογες με τον κίνδυνο.

Ο κανόνας ασφάλειας (Security Rule) αφορά τις ηλεκτρονικές προστατευμένες πληροφορίες υγείας (ePHI). Απαιτεί τεκμηριωμένο πρόγραμμα βασισμένο στον κίνδυνο, όχι σταθερή λίστα ελέγχου. Ο καλυπτόμενος φορέας πρέπει να διενεργεί περιοδική ανάλυση κινδύνου και να εφαρμόζει διοικητικές, φυσικές και τεχνικές διασφαλίσεις. Στις τεχνικές περιλαμβάνονται ο έλεγχος πρόσβασης βάσει ανάγκης γνώσης, η μοναδική ταυτοποίηση χρηστών, οι έλεγχοι καταγραφής, η προστασία της ακεραιότητας και η κρυπτογράφηση του ePHI κατά τη μεταφορά και στην αποθήκευση.

Ο κανόνας ειδοποίησης παραβιάσεων (Breach Notification Rule) προσθέτει υποχρέωση με προθεσμίες. Τα βήματα είναι τα εξής:

1. 1

   Τεκμήριο παραβίασης

   Η μη επιτρεπόμενη χρήση ή γνωστοποίηση μη ασφαλισμένου PHI θεωρείται υποχρεωτικά αναφερόμενη.

2. 2

   Αξιολόγηση τεσσάρων παραγόντων

   Το τεκμήριο ισχύει, εκτός αν τεκμηριωμένη αξιολόγηση δείξει χαμηλή πιθανότητα συμβιβασμού.

3. 3

   Ειδοποίηση εγκαίρως

   Ενημέρωση των ατόμων και της αρχής χωρίς αδικαιολόγητη καθυστέρηση, το αργότερο 60 ημέρες από την ανακάλυψη.

Ξεκινήστε ελέγχοντας σε ποια από τις τρεις κατηγορίες εντάσσεστε, γιατί όλες οι επόμενες υποχρεώσεις εξαρτώνται από αυτή την απάντηση. Στη συνέχεια, καταγράψτε τους προμηθευτές που λαμβάνουν PHI και τους ελέγχους εμπιστευτικότητας που πρέπει να πληροί ο καθένας. Για μια πρακτική εικόνα της προστασίας δεδομένων ασθενών, δείτε την προστασία δεδομένων ασθενών στην υγεία.