Podmiot objęty przepisami HIPAA (covered entity)

HIPAA nie obejmuje swoimi zasadami każdej organizacji, która przetwarza dane zdrowotne. Wyróżnia trzy kategorie, a przynależność do jednej z nich uruchamia pełen zestaw obowiązków w zakresie prywatności i bezpieczeństwa. Kryterium jest funkcjonalne: liczy się to, co organizacja robi z informacjami o zdrowiu, a nie jej forma prawna czy wielkość.

Świadczeniodawcy podlegają przepisom tylko wtedy, gdy przekazują informacje zdrowotne elektronicznie w ramach standardowych transakcji, takich jak roszczenia czy zapytania o uprawnienia. Praktyka rozliczająca się wyłącznie na papierze nie spełnia definicji.

Wiele dużych organizacji prowadzi jednocześnie działalność objętą i nieobjętą przepisami, np. uniwersytet z klinicznym szpitalem albo sieć handlową z aptekami. HIPAA pozwala takiej organizacji określić się jako podmiot hybrydowy. Wtedy za podmiot objęty uznaje się tylko te komponenty, które wykonują funkcje objęte przepisami i są wskazane na piśmie jako komponent ochrony zdrowia.

Takie oznaczenie nie jest furtką. Komponent, który rozlicza roszczenia elektronicznie, pozostaje w granicy przepisów, bo obowiązki podążają za danymi. Funkcje wykonywane wyłącznie jako pracodawca, np. lista płac, zawsze pozostają poza nią.

Wyłączenia mają równie duże znaczenie jak definicja. Dane, które opuszczają świat HIPAA, mogą podlegać innemu reżimowi prawnemu albo żadnemu. Najczęściej wyłączane są:

• Pracodawca jako pracodawca: Akta osobowe i lista płac nie są PHI, nawet gdy wspominają zwolnienie
• Zakłady ubezpieczeń od wypadków przy pracy: Podlegają prawu stanowemu, zwykle nie są planami zdrowotnymi
• Ubezpieczyciele na życie, auto i od niezdolności: Pokrywają ryzyko finansowe, a nie koszty opieki
• Większość szkolnych i kampusowych przychodni: Dokumentacja zwykle podlega FERPA, a nie HIPAA
• Podmioty wyłącznie papierowe: Brak elektronicznych transakcji standardowych; dziś rzadkość

Podmiot objęty i podmiot współpracujący (business associate) to dwie główne role w modelu danych HIPAA. Różnica leży w kierunku usługi. Podmiot objęty działa w relacji zdrowotnej we własnym imieniu: leczy pacjentów, opłaca roszczenia lub przetwarza transakcje standardowe. Podmiot współpracujący działa na rzecz podmiotu objętego spoza jego personelu: tworzy, otrzymuje, przechowuje lub przekazuje PHI, świadcząc usługi rozliczeniowe, transkrypcyjne, hostingowe lub księgowe.

Od ustawy HITECH podmioty współpracujące odpowiadają bezpośrednio przed regulatorami za wiele wymogów, ale podmiot objęty zachowuje własne obowiązki: pisemne zapewnienia, zanim PHI trafi do dostawcy, oraz zawiadomienie po naruszeniu u dostawcy. Jedna organizacja może pełnić obie role naraz. Szpital rozliczający roszczenia sąsiedniej kliniki jest jej podmiotem współpracującym, a dla własnych pacjentów pozostaje podmiotem objętym.

Privacy Rule określa, co podmiot objęty może robić z PHI, i przyznaje osobom prawa do ich informacji. Najważniejsze obowiązki:

• Dopuszczalne wykorzystanie i ujawnianie: PHI można użyć do leczenia, płatności i działalności operacyjnej bez zgody pacjenta. Do większości innych celów, np. marketingu, sprzedaży informacji czy wielu badań, potrzebna jest pisemna zgoda.
• Minimum konieczne: każde wykorzystanie lub ujawnienie ogranicza się do najmniejszej potrzebnej ilości PHI, z wąskimi wyjątkami, np. przekazaniem między świadczeniodawcami w celu leczenia.
• Zawiadomienie o praktykach prywatności: pisemne zawiadomienie opisuje, jak podmiot wykorzystuje i ujawnia PHI. Jest wręczane pacjentom i dostępne na żądanie.
• Prawa osób: dostęp do dokumentacji, sprostowanie, rozliczenie ujawnień, wnioski o ograniczenie przetwarzania i poufna komunikacja.
• Administracja: wyznaczony inspektor prywatności, szkolenia i sankcje dla personelu, obsługa skarg oraz zabezpieczenia proporcjonalne do ryzyka.

Security Rule dotyczy elektronicznych chronionych informacji zdrowotnych (ePHI) i wymaga udokumentowanego programu opartego na ryzyku, a nie stałej listy kontrolnej. Podmiot objęty musi okresowo analizować ryzyko oraz wdrażać zabezpieczenia administracyjne, fizyczne i techniczne. Te ostatnie obejmują kontrolę dostępu według potrzeb, unikalną identyfikację użytkowników, kontrolę dzienników, ochronę integralności oraz szyfrowanie ePHI w transmisji i w spoczynku.

Breach Notification Rule dodaje obowiązek z terminami. Działa on w trzech krokach:

1. 1

   Domniemanie zgłoszenia

   Niedozwolone użycie lub ujawnienie niezabezpieczonych PHI uznaje się za podlegające zgłoszeniu.

2. 2

   Ocena czteroczynnikowa

   Domniemanie utrzymuje się, chyba że udokumentowana ocena wykaże niskie prawdopodobieństwo kompromitacji.

3. 3

   Zawiadomienie w terminie

   Poinformuj osoby i organ nadzoru bez nieuzasadnionej zwłoki, najpóźniej w ciągu 60 dni od wykrycia.

Zacznij od sprawdzenia, która z trzech kategorii do ciebie pasuje, bo od tej odpowiedzi zależą wszystkie kolejne obowiązki. Następnie zestaw dostawców, którzy otrzymują PHI, oraz wymogi poufności, jakie musi spełniać każdy z nich. Praktyczny przegląd ochrony danych pacjentów znajdziesz na stronie ochrona danych pacjentów w sektorze zdrowia.