Naruszenia HIPAA, o których może nie myślałeś i jak im zapobiec

chociaż wiadomości są pełne głośnych przypadków naruszenia HIPAA i ocen wielomilionowych grzywien, mniejsze praktyki nie są odporne. Często ulegają tym samym rodzajom błędów i złej oceny, które wpływają na większych dostawców. Na szczęście, postępując zgodnie z kilkoma rozsądnymi wytycznymi, nawet mniejsze praktyki mogą zabezpieczyć się przed niewłaściwym ujawnieniem chronionych informacji zdrowotnych (PHI), które prowadzi do naruszenia HIPAA.,

chociaż postęp technologiczny zmienił praktykę lekarską, postęp technologiczny wymusił również nowe metody ochrony informacji o pacjentach. Experian donosi, że ponad 27% naruszeń danych, w tym kradzieży tożsamości medycznej, było związanych z medycyną lub opieką zdrowotną w 2017., Ponadto pracownicy są zaangażowani w 71% wszystkich incydentów cyberbezpieczeństwa w służbie zdrowia—bardziej niż w jakiejkolwiek innej branży-więc Twoi pracownicy mogą być największym ryzykiem naruszenia danych HIPAA. Podobnie, mniejsze praktyki mogą mieć mniej środków szkoleniowych i protokołów w zakresie bezpieczeństwa cybernetycznego, a więc mogą być idealnym celem dla cyberataków. Poprawa ochrony danych elektronicznych ma zasadnicze znaczenie dla ochrony prywatności pacjentów, ale poniższe przypadki pokazują, że nie powinno to być jedynym celem.,

głośne przypadki powinny służyć jako ostrzeżenie dla mniejszych praktyk

Możesz wierzyć, że głośne przypadki to świat z dala od twojej praktyki medycznej. Konta informacyjne o podejrzanych lub potwierdzonych naruszeniach HIPAA ujawniają jednak, że podobne naruszenia poufności mogą wystąpić w małych miastach i małych praktykach, chociaż mogą nie trafić na nagłówki wiadomości krajowych. Rozważ następujące przykłady.,

przykład #1: to, co dzieje się w praktyce, powinno pozostać w praktyce

Celebryci przyzwyczajają się do bycia śledzonymi przez media i ujawnianymi informacjami osobistymi, co jest coraz bardziej prawdziwe z możliwością zdjęć i wideo na wyciągnięcie ręki. Gdy wiadomości są udostępniane, które zawierają informacje medyczne i osobowe, mogą jednak wystąpić naruszenia HIPAA.w 2015 roku Adam Schefter, dziennikarz i analityk ESPN, udostępnił w mediach społecznościowych zdjęcia dokumentacji medycznej profesjonalnego piłkarza Jasona Pierre-Paula., Pierre-Paul miał amputowany palec w wyniku wypadku z fajerwerkami. Jak twierdził jeden z news outlet, krótko po tweecie ESPN, „listy” HIPAA „zaczęły się modyfikować”, a opinia publiczna zaczęła podnosić pytania o naruszenie prywatności Pierre-Paula. Ponieważ Pan Schefter nie jest podmiotem objętym ustawą HIPAA, nie podlega sankcjom HIPAA. Jednakże, jeśli zostanie to ustalone, podmiot objęty ubezpieczeniem, współpracownicy biznesowi i osoby odpowiedzialne za wyciek informacji mogą zostać pociągnięci do odpowiedzialności za wszelkie naruszenia przepisów HIPAA.,

czy zwykły człowiek może być przedmiotem „newsów” publicznego dzielenia się informacjami podobnymi do tych, których doświadczają Celebryci? Rozważ ten przypadek pracownika EMS w wiejskim Tennessee, który odpowiedział na telefon w niezwykłym miejscu, a następnie skomentował o tym na swojej stronie Facebook:

w czerwcu 2017 roku, miejscowy mężczyzna miał atak serca podczas pracy w kurniku, a kurnik był przedmiotem posta pracownika EMS., Pomimo, że post nie wymienia nazwiska pacjenta, jego żona wyjaśniła, że w małym miasteczku „wszyscy wiedzą, gdzie zmarł mój mąż”, a ona postrzegała post jako naruszenie prywatności męża w tragicznym momencie.

przykład #2: Udostępnianie nie zawsze jest troską

publiczne udostępnianie interesujących lub godnych uwagi wydarzeń w praktyce medycznej może wydawać się nieszkodliwe w erze mediów społecznościowych i może przynieść korzyści inicjatywom marketingowym, public relations i community relations. Jednak udostępnianie zdjęć lub filmów pacjentów bez ich wyraźnej zgody jest naruszeniem HIPAA., Możesz i twój personel mieć dobry powód, aby udostępnić zdjęcie lub wiadomość o pacjencie—na przykład świętować kamień milowy w odzyskiwaniu zdrowia—ale wymagana jest wyraźna zgoda pacjenta lub opiekuna pacjenta.w 2016 I 2018 r.Biuro Praw Obywatelskich HHS (OCR) osiągnęło porozumienia z czterema szpitalami o łącznej wartości prawie 3,2 mln USD w celu uregulowania potencjalnych naruszeń związanych z ujawnieniem PHI, które miały miejsce podczas kręcenia serialu dokumentalnego ABC „Save My Life: Boston Trauma.,”Podczas gdy Healthcare Dive poinformował, że jeden szpital twierdzi, że uzyskał zgodę pacjenta, a kolejne dwa szpitale stwierdziły, że niektórzy pacjenci byli wdzięczni za szansę opowiedzenia swojej historii, możliwe, że lepsza dokumentacja zgody mogła zapobiec tak dużym rozliczeniom.

Low Profile Case

Pielęgniarki nagrywały noworodki „tańcząc” do muzyki i wykonywały nieprzyzwoite gesty na filmach., Zaangażowani pracownicy byli nie tylko winni naruszeń przepisów HIPAA i pozbawieni opieki nad pacjentami, ale również podlegali dyscyplinie wojskowej. Na drugim końcu spektrum wiekowego pracownicy domów opieki zostali również ukarani za naruszenia HIPAA za udostępnianie nagrań wideo starszych pacjentów za pośrednictwem mediów społecznościowych.

przykład #3: Wszystkie wiadomości nie zawsze nadają się do druku

od wiadomości o sławie po wiadomości o katastrofie w małym mieście, pracownicy placówek medycznych pozwolili, aby ich ciekawość zastąpiła obowiązek zachowania poufności informacji o pacjentach., Ujawnienie informacji o pacjencie osobom innym niż osoby zaangażowane w bezpośrednią opiekę lub osoby upoważnione do otrzymywania takich informacji jest nie tylko naruszeniem przepisów HIPAA, ale może również skutkować niezamierzonymi negatywnymi konsekwencjami.

High Profile Case

w 2008 roku pracownicy UCLA Medical Center niewłaściwie ujawnili informacje medyczne Brittany Spears związane z jej szpitalnym leczeniem psychiatrycznym. Wielu z 6 lekarzy i 13 pracowników, którzy uzyskali dostęp do PHI Spears, nie miało ważnego powodu, aby spojrzeć na jej informacje., Ich naruszenie HIPAA dostarczyło pożywki dla prasy i nie zapewniło pacjentów w całym kraju, że ich dane osobowe są bezpieczne.

w McAlester w Oklahomie, mieście liczącym nieco ponad 18 tysięcy osób, adopcyjni rodzice utopionego malucha byli zaskoczeni, gdy dowiedzieli się, że miejscowy szpital powiadomił biologiczną matkę chłopca, która odebrała jej prawa rodzicielskie. Rodzice dowiedzieli się również, że wielu pracowników szpitala-w tym pracownik stołówki-miało dostęp do karty medycznej chłopca., Niewłaściwe powiadomienie było nie tylko naruszeniem HIPAA, ale również skutkowało otrzymywaniem gróźb przez rodziców adopcyjnych.

najlepsze praktyki w zakresie zachowania poufności informacji o pacjentach

wszechobecność smartfonów z funkcjami wideo i zdjęć—oraz sieci społecznościowych, w których można je udostępniać—sprawia, że konieczne jest regularne przypominanie personelowi o zasadach HIPAA dotyczących prywatności pacjentów. Regularne szkolenia podkreślające zasady prywatności HIPAA, które wspierają godność pacjentów, mogą utrzymać te wartości na czele Twojej praktyki.,

aby zapobiec niewłaściwemu upublicznianiu informacji zdrowotnych, rozważ te najlepsze praktyki:

• Zapewnij coroczne szkolenie klinicysty i personelu na temat zasad i protokołów bezpieczeństwa PHI.
• upewnij się, że lekarze i personel rozumieją swoje obowiązki i role w ochronie bezpieczeństwa PHI, różnych poziomach wrażliwości informacji oraz w jaki sposób PHI powinny być dostępne, przechowywane i przesyłane.
• wymagaj od personelu podpisywania umów o Zachowaniu Poufności, które zawierają potwierdzenie polityki w mediach społecznościowych Twojej praktyki.,
• konsekwentnie egzekwuj zasady bezpieczeństwa PHI wśród klinicystów, pracowników i administratorów.
  • HIPAA wymaga od wszystkich objętych ubezpieczeniem podmiotów posiadania obowiązujących Zasad i procedur sankcyjnych oraz podejmowania działań przeciwko członkom personelu, którzy ich nie przestrzegają.
• informowanie osób pracujących z PHI, że dostęp do PHI z przyczyn niezwiązanych z ich funkcjami stanowi naruszenie stanowego i federalnego prawa ochrony prywatności.
  • rozważ użycie wyskakującego okna, aby ostrzec użytkowników, że uzyskują dostęp do PHI i przypomnieć im, że może to podlegać audytowi lub przeglądowi.,
• ograniczają dostęp klinicysty i personelu do danych potrzebnych do wykonywania ich zadań.
• należy rozważyć ograniczenie korzystania ze smartfonów przez personel w obszarach pacjentów, z wyjątkiem przypadków, gdy jest to konieczne do opieki nad pacjentem lub operacji praktycznych, a następnie tylko za zgodą pacjenta.
• zawsze uzyskać wyraźną pisemną zgodę pacjenta lub opiekuna pacjenta przed udostępnieniem jakichkolwiek osobistych informacji zdrowotnych.,
• ustanowić standardowe zasady i formularze dokumentowania zgody pacjenta lub opiekuna na publiczne udostępnianie informacji o stanie zdrowia pacjenta.
• podczas nagrywania filmów w Twojej praktyce w celach nieklinicznych (np. marketingowych lub społecznościowych):
  • upewnij się, że masz podpisany formularz zgody od każdego poleconego pacjenta, wskazujący jego zgodę na udział.
  • przed opublikowaniem jakichkolwiek filmów lub zdjęć upewnij się, że w tle nie ma pacjentów, którzy nie wyrazili na piśmie zgody na udział.,

obowiązki wykraczające poza HIPAA

na długo przed uchwaleniem przepisów HIPAA lekarze składali przysięgę, że będą traktować pacjentów z godnością i szacunkiem. Jak wskazuje przegląd szpitalny Beckera w ich historii prywatności pacjentów, wczesne tłumaczenie przysięgi Hipokratesa brzmi:

„to, co mogę zobaczyć lub usłyszeć w trakcie leczenia, a nawet poza leczeniem, w odniesieniu do życia mężczyzn, które pod żadnym pozorem nie musi rozprzestrzeniać się za granicę, zachowam dla siebie, trzymając takie rzeczy haniebne, aby o nich mówić.,”

bardzo osobisty charakter relacji lekarz-pacjent wymaga etycznego i pełnego szacunku traktowania wszystkich informacji o pacjencie. Przestrzeganie najwyższych standardów etycznych pomoże chronić Ciebie i twoją praktykę przed potencjalnymi naruszeniami prawa HIPAA lub stanowego, pozwami cywilnymi, karami lub grzywnami wynikającymi z niewłaściwego obchodzenia się z informacjami o pacjencie.