De meeneem- en verantwoordingsplicht voor zorgverzekeringen is in 1996 vastgesteld. Deze wordt gehandhaafd door het Office of Civil Rights van de regering van de Verenigde Staten. Het is een reeks federale richtlijnen die zijn opgesteld om werknemers in staat te stellen hun medische verzekering mee te nemen als ze een werkgever verlaten, mensen toegang geven tot een medische verzekering ondanks reeds bestaande voorwaarden (onder bepaalde voorwaarden), en privacystandaarden vast te stellen voor de gezondheid van een patiënt informatie.
- De HIPAA-privacyregel beschermt de privacy van individueel identificeerbare gezondheidsinformatie.
- De HIPAA-beveiligingsregel stelt nationale normen voor de beveiliging van elektronische gezondheidsinformatie.
Het is wettelijk verplicht om HIPAA-educatie en -training te bieden aan personen die werkzaam zijn in de gezondheidszorg om verantwoordelijkheid te nemen voor de privacy en veiligheid van beschermde gezondheidsinformatie. Gedekte entiteiten moeten alle personeelsleden trainen op HIPAA-beleid en -procedures.
1HIPAA Privacyregel
De normen voor de privacy van individueel identificeerbare gezondheidsinformatie (de privacyregel) was bedoeld om specifiek de bescherming van iemands persoonlijke gezondheidsinformatie aan te pakken. Het is belangrijk voor de vitaliteit van uw medische kantoor om de HIPAA-conformiteit te behouden.
Wie valt onder de privacyregel?
- Gezondheidsplannen
- Zorgaanbieders
- Zorgclearinghuizen
Een gedekte entiteit, zoals gedefinieerd in HIPAA, kan een ziekteverzekeringsplan zijn, een zorgverrekeningscentrum of een zorgaanbieder die beschermde gezondheidsinformatie elektronisch verzendt en die organisaties, instellingen of personen kan zijn. .
Artsen en andere beroepsbeoefenaren in de gezondheidszorg die met patiënten werken en hun vertrouwelijke medische dossiers moeten zich houden aan het beleid, de procedures en de wetten die zijn ontworpen om de privacy en vertrouwelijkheid van de patiënt te beschermen. Alle zorgaanbieders hebben de verantwoordelijkheid om hun personeel getraind en op de hoogte te houden met betrekking tot HIPAA-conformiteit. Of opzettelijke of onopzettelijke, ongeoorloofde openbaarmaking van PHI wordt beschouwd als een overtreding van HIPAA.
- Zakelijke partners
Een zakenpartner, zoals gedefinieerd door HIPAA, is een persoon of entiteit die zaken doet met betrekking tot het gebruik of de openbaarmaking van beschermde gezondheidsinformatie namens een onder dekking staande entiteit en is geen werknemer van de betreffende entiteit.
Welke informatie is beschermd?
PHI of beschermde gezondheidsinformatie verwijst naar elke individueel identificeerbare informatie die is opgenomen in het medische dossier van een patiënt en die wordt doorgegeven of in welke vorm dan ook wordt bijgehouden.
Gebruik en onthulling
Een gedekte entiteit mag beschermde gezondheidsinformatie (PHI) zonder toestemming onder bepaalde voorwaarden gebruiken of vrijgeven.
- Naar de persoon
- Behandelingen voor behandeling, betaling en gezondheidszorg
- Gebruik en onthullingen met mogelijkheid tot overeenstemming of voor
- Incidenteel gebruik en openbaarmaking.
- Publiek belang- en voordeelactiviteiten
- Beperkte dataset ten behoeve van onderzoek, volksgezondheid of gezondheidszorg
Privacybeleid Kennisgeving
Zorgverleners zijn verplicht om hun patiënten een kennisgeving van privacypraktijken te verstrekken. Deze kennisgeving, zoals vereist door de HIPAA-privacyregel, geeft patiënten het recht op informatie over hun privacyrechten in verband met hun beschermde gezondheidsinformatie (PHI).
De kennisgeving moet bepaalde informatie in gemakkelijk te begrijpen termen beschrijven:
- Hoe de provider zijn PHI gebruikt en vrijgeeft
- De rechten die patiënten hebben met betrekking tot hun eigen PHI
- Een verklaring waarin de patiënt wordt geïnformeerd over wetten die van de provider eisen dat hij de privacy van zijn PHI bewaart
- Met wie kunnen patiënten contact opnemen voor meer informatie over het privacybeleid van de provider
Handhaving en boetes voor niet-naleving
Burgerlijke geldboetes
- $ 100 per niet-naleving
- maximaal $ 25.000 per jaar voor meerdere schendingen van dezelfde vereiste
Strafrechtelijke sancties (voor het bewust verkrijgen of bekendmaken van PHI in strijd met HIPAA)
- $ 50.000 boete en gevangenisstraf van maximaal één jaar
- $ 100.000 boete en gevangenisstraf van maximaal vijf jaar (indien overtreding valse voorwendselen oplevert)
- 250.000 dollar boete en gevangenisstraf van maximaal tien jaar ( als schending de intentie inhoudt om PHI te verkopen, over te dragen of te gebruiken)
2HIPAA-beveiligingsregel
De beveiligingsnormen voor de bescherming van elektronische beschermde gezondheidsinformatie (de beveiligingsregel)
HIPAA-beveiliging verwijst naar het instellen van veiligheidsmaatregelen voor PHI in elk elektronisch formaat. Dit omvat alle informatie die elektronisch wordt gebruikt, opgeslagen of verzonden. Elke faciliteit die door HIPAA wordt gedefinieerd als een gedekte entiteit heeft de verantwoordelijkheid om de privacy en veiligheid van de informatie van haar patiënt te waarborgen en de vertrouwelijkheid van hun PHI te handhaven.
Wie valt onder de beveiligingsregel?
- Gezondheidsplannen
- Zorgaanbieders
- Zorgclearinghuizen
Een gedekte entiteit, zoals gedefinieerd in HIPAA, kan een ziekteverzekeringsplan zijn, een zorgverrekeningscentrum of een zorgaanbieder die beschermde gezondheidsinformatie elektronisch verzendt en die organisaties, instellingen of personen kan zijn. .
- Zakelijke partners
Een zakenpartner, zoals gedefinieerd door HIPAA, is een persoon of entiteit die zaken doet met betrekking tot het gebruik of de openbaarmaking van beschermde gezondheidsinformatie namens een onder dekking staande entiteit en is geen werknemer van de betreffende entiteit.
Welke informatie is beschermd?
Elektronische PHI of beschermde gezondheidsinformatie verwijst naar elke individueel identificeerbare informatie die is opgenomen in het medische dossier van een patiënt en die wordt doorgegeven of in welke vorm dan ook wordt bijgehouden. De beveiligingsregel sluit PHI uit dat mondeling of schriftelijk wordt doorgegeven.
Administratieve vereenvoudiging
De administratieve vereenvoudigingsbepalingen van HIPAA stellen nationale normen vast voor de beveiliging van elektronisch beschermde gezondheidsinformatie. Dit omvat de regels en standaarden voor transacties en codesets en identificaties voor werkgevers en leveranciers.
Transacties en codesetnormen
Standaardtransacties voor de elektronische gegevensuitwisseling (EDI) van gegevens over gezondheidszorg omvatten claims en ontmoetingsinformatie, betalings- en overboekingsadviezen, claimstatus, geschiktheid, inschrijving en uitschrijving, verwijzingen en autorisaties, coördinatie van uitkeringen en premies betaling.
Standaard codesets voor diagnose, procedure en medicatiecodes omvatten de HCPCS (ondersteunende diensten / procedures), CPT-4 (artsenprocedures), CDT (tandheelkundige terminologie), ICD-9 (diagnose en ziekenhuis klinische procedures), ICD-10 (Vanaf 1 oktober 2015) en NDC-codes (National Drug Codes)
Identificatienormen voor werkgevers en leveranciers
Standaard-ID’s zijn Het Employer Identification Number (EIN) en de National Provider Identifier (NPI). De EIN wordt gebruikt om werkgevers te identificeren bij de standaardtransacties. De nationale provideridentificatie of NPI is een 10-cijferig, uniek identificatienummer dat wordt gebruikt om de provider-identificatiegegevens, zoals een Unique Provider Identification Number (UPIN), te vervangen in standaard HIPAA-transacties. Zorgaanbieders zijn verplicht door HIPAA te reguleren om een NPI te verkrijgen.
De regels voor het handhaven van de HIPAA-beveiliging omvatten waarborgen voor drie belangrijke gebieden.
Administratieve veiligheidscontroles
- Ontwikkel een formeel proces voor beveiligingsbeheer, inclusief de ontwikkeling van beleid en procedures, interne audits, noodplannen en andere veiligheidsmaatregelen om ervoor te zorgen dat medisch kantoorpersoneel hieraan voldoet.
- Geef de verantwoordelijkheid van beveiliging aan een aangewezen persoon om het gebruik van veiligheidsmaatregelen en het gedrag van het personeel te beheren en te controleren.
- Voer functies uit die ervoor zorgen dat het personeel de juiste training en juiste autorisatie heeft om toegang te krijgen tot PHI.
- Definieer de toegangsniveaus voor alle personeelsleden en hoe deze worden toegekend
- Vereist dat alle medewerkers van de medische staf, inclusief het management, een beveiligingsopleiding volgen en periodieke herinneringen en gebruikerseducatie ontvangen.
Fysieke veiligheidscontroles
- Bestand PHI op een veilige locatie en werkruimte voor werknemers (dit omvat het gebruik van vergrendelingen, sleutels en badges die deuren ontgrendelen) die de toegang tot onbevoegde personen en indringers beperken.
- Ontwikkel beleid voor het verifiëren van toegangsrechten, controle van apparatuur en het afhandelen van bezoekers. Ontwikkel en verstrek documentatie inclusief instructies over hoe uw medische kantoor kan helpen om PHI te beschermen (bijvoorbeeld om de computer uit te loggen voordat u deze onbeheerd achterlaat)
- Biedt bescherming tegen brand en andere gevaren
Technische veiligheidsmaatregelen
- Stel unieke gebruikersidentificatie in inclusief wachtwoorden en pincodes
- Adopteer een automatische uitlogcontrole
- Registreer en onderzoek systeemactiviteit voor auditdoeleinden
- Gebruik encryptiecontroles om verzonden gegevens via een netwerk te beschermen
Handhaving en boetes voor niet-naleving
Burgergeldsancties
- $ 100 per niet-naleving
- maximaal $ 25.000 per jaar voor meerdere schendingen van dezelfde vereiste
Strafrechtelijke sancties (voor het bewust verkrijgen of openbaren van PHI in strijd met HIPAA)
- $ 50.000 boete en gevangenisstraf van maximaal één jaar
- $ 100.000 boete en gevangenisstraf van maximaal vijf jaar (als overtreding valse voorwendselen met zich meebrengt)
- 250.000 dollar boete en hoger tot tien jaar gevangenisstraf (indien schending facturatie lves van plan om PHI te verkopen, over te dragen of te gebruiken)
3 Tips om te voorkomen dat HIPAA wordt geschonden
- Neem de noodzakelijke stappen om te voorkomen dat informatie via een routinegesprek wordt onthuld. Vermijd openbaarmaking van informatie door middel van routine gesprekken; bespreken van patiëntinformatie in wachtruimtes, gangen of liften; juiste verwijdering van PHI; en de toegang tot informatie is strikt beperkt tot werknemers van wie de baan die informatie vereist. Basisinformatie kan zo onbeduidend lijken dat het gemakkelijk in een routinegesprek kan worden vermeld, maar alleen moet worden gedeeld op basis van een behoefte om te weten.
- Voorkom overleg met patiënteninformatie in wachtruimtes, gangen of liften. Gevoelige informatie kan door bezoekers of andere patiënten worden afgeluisterd. Zorg er ook voor dat u patiëntendossiers bijhoudt van gebieden die toegankelijk zijn voor het publiek. Omdat de incheckbalies en verpleegstersposten open zijn, doe er alles aan om ervoor te zorgen dat computers altijd veilig zijn. Kaarthouders moeten worden gemonteerd en het voorpaneel moet worden bedekt volgens de HIPAA-normen.
- PHI mag nooit in de prullenbak worden gegooid. Elk document dat in de prullenbak wordt gegooid is open voor het publiek en is daarom een inbreuk op de informatie. Er zijn veel manieren om van PHI af te komen. Correcte verwijdering van papier PHI omvat branden of versnipperen. Elektronische PHI kan worden verwijderd door te wissen, te verwijderen, opnieuw te formatteren, te verbranden, te smelten of te versnipperen.
- Er zijn een aantal beschikbare technologieën ontworpen om patiëntgegevens te beveiligen. Wees selectief bij het kiezen van apparaten en software die gegevens beveiligen via een draadloze verbinding, inclusief firewalls, antivirus-, antispyware- en intrusion detection-technologie. Wees uiterst voorzichtig wanneer u gegevens via een externe verbinding gebruikt. IT-specialisten stellen voor om een tweefactorauthenticatiesysteem met beveiligingstokens en -wachtwoorden te gebruiken.
