Entità Coperta (Covered Entity)

HIPAA non sottopone alle sue regole ogni organizzazione che tratta dati sanitari. Definisce tre categorie, e l'appartenenza a una di esse attiva l'insieme completo degli obblighi di privacy e sicurezza. La definizione è funzionale: un'organizzazione rientra nella categoria in base a ciò che fa con le informazioni sanitarie, non in base alla forma giuridica o alle dimensioni.

I fornitori rientrano solo se trasmettono informazioni sanitarie elettronicamente nell'ambito di transazioni standard, come fatture e verifiche di eleggibilità. Uno studio che fattura solo su carta non soddisfa la definizione.

Molte grandi organizzazioni svolgono sia funzioni coperte sia funzioni non coperte, come un'università con policlinico o un dettagliante con farmacie. HIPAA consente a tali organizzazioni di designarsi come entità ibride. In questo caso sono trattate come entità coperta solo le componenti che svolgono funzioni coperte, individuate per iscritto come componente sanitaria.

La designazione non è una via d'uscita. Una componente che fattura richieste elettronicamente resta dentro il perimetro, perché gli obblighi seguono i dati. Le funzioni svolte solo in qualità di datore di lavoro, come il libro paga, restano sempre fuori.

Le esclusioni contano quanto la definizione. I dati che escono dal mondo HIPAA possono ricadere sotto un altro regime giuridico, oppure sotto nessuno. I casi più frequenti sono:

• Datori di lavoro in quanto tali: Fascicoli del personale e paghe non sono PHI
• Assicuratori contro gli infortuni sul lavoro: Regolati dalla legge statale e, di norma, non piani sanitari
• Assicuratori vita, auto e invalidità: Coprono rischi finanziari, non le cure sanitarie
• La maggior parte delle cliniche scolastiche e universitarie: I loro registri ricadono di norma sotto la FERPA, non l'HIPAA
• Fornitori solo su carta: Nessun collegamento elettronico con le transazioni standard; oggi rari

L'entità coperta e il business associate sono i due ruoli centrali del modello di dati di HIPAA. La differenza sta nella direzione del servizio. L'entità coperta agisce nel rapporto sanitario in nome proprio: cura i pazienti, paga le richieste di rimborso o elabora transazioni standard. Il business associate è una persona o un'organizzazione esterna al personale dell'entità coperta che crea, riceve, conserva o trasmette PHI nello svolgimento di un servizio per essa, come fatturazione, trascrizione, hosting o contabilità.

Dalla legge HITECH i business associate rispondono direttamente ai regolatori per molti requisiti, ma l'entità coperta conserva doveri propri: garanzie scritte prima che i PHI passino a un fornitore, e notifica in caso di violazione presso il fornitore. Un'organizzazione può ricoprire entrambi i ruoli. Un ospedale che elabora le richieste di una clinica vicina ne è il business associate e resta entità coperta per i propri pazienti.

La Privacy Rule disciplina ciò che un'entità coperta può fare con i PHI e riconosce alle persone diritti sulle proprie informazioni. Doveri principali:

• Usi e divulgazioni consentiti: i PHI possono essere usati per cura, pagamento e attività sanitarie senza autorizzazione del paziente. Per la maggior parte degli altri scopi, come marketing, vendita di informazioni o gran parte della ricerca, serve un'autorizzazione scritta.
• Minimo necessario: ogni uso o divulgazione è limitato al minimo di PHI necessario allo scopo, con eccezioni strette, come i trasferimenti tra fornitori per la cura.
• Informativa sulle pratiche di privacy: un documento scritto che descrive come l'entità usa e divulga i PHI. È consegnato ai pazienti e disponibile su richiesta.
• Diritti delle persone: accesso ai propri record, rettifica, rendiconto delle divulgazioni, richieste di limitazione e comunicazioni riservate.
• Amministrazione: un responsabile della privacy designato, formazione e sanzioni per il personale, gestione dei reclami e tutele proporzionate al rischio.

La Security Rule si applica alle informazioni sanitarie protette elettroniche (ePHI) e richiede un programma documentato e basato sul rischio, non una checklist fissa. L'entità coperta deve eseguire analisi periodiche dei rischi e adottare tutele amministrative, fisiche e tecniche. Tra le misure tecniche rientrano il controllo degli accessi secondo la necessità di conoscere, l'identificazione univoca degli utenti, i controlli di audit, la protezione dell'integrità e la cifratura delle ePHI in transito e a riposo.

La Breach Notification Rule aggiunge un obbligo con scadenze. Ecco come funziona:

1. 1

   Presumere una violazione

   Un uso o una divulgazione non consentiti di PHI non protette si presumono soggetti a notifica.

2. 2

   Valutare i quattro fattori

   La presunzione resta valida, salvo che una valutazione documentata mostri una bassa probabilità di compromissione.

3. 3

   Notificare nei tempi

   Informare le persone e l'autorità di vigilanza senza ritardo ingiustificato, e al più tardi entro 60 giorni dalla scoperta.

Inizia verificando a quale delle tre categorie appartieni, perché tutti i doveri successivi dipendono da questa risposta. Poi elenca i fornitori che ricevono PHI e i requisiti di riservatezza che ciascuno deve soddisfare. Per una visione pratica della protezione dei dati dei pazienti, vedi protezione dei dati dei pazienti in sanità.