Que se passe-t-il en cas de violation de HIPAA ?

Une violation de HIPAA peut entraîner des mesures correctives, des sanctions disciplinaires à l'encontre des employés et des poursuites réglementaires. Une atteinte à des informations de patients non sécurisées peut aussi déclencher des obligations de notification. Le résultat dépend de ce qui s'est passé, des informations concernées et des conclusions de l'enquête.

Pour un médecin ou un infirmier, les conséquences sur le lieu de travail peuvent inclure une nouvelle formation, des restrictions d'accès ou des sanctions disciplinaires. Une organisation peut faire l'objet d'une enquête, d'un accord de résolution ou de sanctions civiles. Les violations pouvant relever du pénal peuvent être transmises au ministère de la Justice. Comment l'OCR fait appliquer HIPAA.

Un fax mal acheminé montre pourquoi les faits sont importants. Des dossiers destinés à un médecin traitant peuvent parvenir à une entreprise sans lien avec le patient parce que quelqu'un a sélectionné un contact obsolète. Les priorités immédiates sont d'établir ce qui a été transmis, de limiter toute nouvelle divulgation et de conserver les informations nécessaires pour évaluer l'incident.

Quelles conséquences peut entraîner une violation de HIPAA ?

Un même incident peut donner lieu à plusieurs réponses.

L'employeur examine le comportement du personnel et le respect des procédures. L'équipe chargée de la confidentialité évalue la divulgation et les obligations de notification. Une autorité de régulation peut enquêter sur la conformité de l'organisation.

L'Office for Civil Rights du HHS, ou OCR, peut régler les dossiers par une mise en conformité volontaire, des mesures correctives ou un accord de résolution. Des sanctions pécuniaires civiles sont également possibles. Une enquête peut aussi établir qu'aucune violation n'a eu lieu.

L'amende très médiatisée d'une autre affaire ne permet donc pas de prédire l'issue d'un incident particulier. L'enquête doit établir les faits et les obligations concernées.

Pour le cabinet, le travail peut aller au-delà de la divulgation initiale : examiner les dossiers concernés, contacter les destinataires, documenter les décisions, former à nouveau le personnel et modifier le processus qui a permis l'erreur.

Que se passe-t-il lorsqu'un médecin ou un infirmier enfreint HIPAA ?

Le titre professionnel ne détermine pas une sanction fixe.

Un infirmier qui consulte un dossier sans motif professionnel et un médecin dont le cabinet envoie des dossiers à la mauvaise destination présentent des situations différentes. L'enquête doit examiner les actions de la personne, ses responsabilités, les consignes reçues et sa réaction une fois le problème connu.

Les conséquences sur le lieu de travail dépendent des conclusions et des politiques applicables. Elles peuvent inclure un entretien, un avertissement écrit, une nouvelle formation, des restrictions d'accès ou des sanctions disciplinaires plus sévères.

Des conséquences liées à l'autorisation d'exercer sont possibles dans certains cas. Le HHS décrit le cas d'une infirmière praticienne qui avait consulté sans droit les dossiers de son ex-mari : l'établissement de santé lui a retiré ses accès, a signalé les faits à l'autorité de délivrance des licences et a exigé une formation corrective sur la confidentialité. Cela n'établit pas une perte automatique de la licence pour chaque professionnel impliqué dans un incident. Exemples de cas du HHS.

Le personnel doit signaler rapidement toute erreur présumée et en faire un compte rendu exact. L'organisation a besoin de ces détails pour maîtriser l'incident et déterminer ses obligations.

Un fax envoyé à un mauvais numéro peut exposer des dossiers sensibles

Dans un cas publié par le HHS, le cabinet d'un médecin a envoyé par fax des dossiers mentionnant le statut VIH d'un patient à l'employeur de cette personne, au lieu du nouveau professionnel de santé.

L'employé responsable a reçu un avertissement écrit. Le cabinet a révisé sa page de garde de fax et a sensibilisé le personnel aux procédures d'envoi par fax. Le médecin et l'employé ont également présenté leurs excuses au patient.

L'erreur s'est produite au moment du choix de la destination. Un service de fax en parfait état de marche peut transmettre le document sans problème alors que les informations parviennent tout de même à un destinataire non autorisé.

Un numéro correct présente un autre risque si le personnel joint les documents d'un autre patient. Vérifier la destination et vérifier le contenu de l'envoi sont deux tâches distinctes.

Envoyer des dossiers par fax sans autorisation enfreint-il HIPAA ?

Pas nécessairement. HIPAA permet généralement aux professionnels de santé de partager des informations à des fins de traitement sans autorisation distincte du patient. Le fax peut être utilisé avec des mesures de protection raisonnables. Des exigences supplémentaires peuvent s'appliquer à certains dossiers ou à certaines circonstances. Recommandations du HHS sur les communications relatives au traitement.

La norme du minimum nécessaire comporte également des exceptions, notamment pour les divulgations à des professionnels de santé ou les demandes émanant de ceux-ci à des fins de traitement. Recommandations du HHS sur le minimum nécessaire.

Lors de l'examen d'un incident, établissez la finalité et le destinataire avant de conclure que l'absence d'autorisation prouve une violation. De même, l'autorisation d'envoyer des dossiers à un clinicien traitant ne permet pas de les envoyer à un employeur sans lien avec le patient ni à une autre destination non prévue.

Que faire après la découverte d'une possible divulgation par fax

Imaginons qu'un cabinet vous appelle pour signaler que votre cabinet lui a envoyé des dossiers concernant une personne qui n'est pas l'un de ses patients.

Notez les coordonnées de l'appelant et prévenez rapidement le responsable de la confidentialité ou le contact désigné pour les incidents. Transmettez les faits via le canal de signalement des incidents de l'organisation, en limitant l'accès aux informations des patients aux personnes chargées de traiter l'incident.

Limiter toute nouvelle divulgation

Vérifiez si un envoi est encore en file d'attente ou en cours, et s'il est possible de l'arrêter. Ne partez pas du principe que, si vous avez découvert l'erreur à temps pour annuler une tâche, aucune page n'est parvenue au destinataire.

Arrêter une transmission en attente ne permet pas de récupérer les pages déjà remises. Supprimer la copie de l'expéditeur ne supprime pas la copie reçue.

L'équipe chargée de la confidentialité doit coordonner les échanges avec le destinataire involontaire, notamment les demandes visant à empêcher toute utilisation ou divulgation ultérieure et les consignes de traitement des documents. Consignez ce que dit le destinataire ainsi que toute mesure d'atténuation mise en œuvre.

Conserver les preuves pertinentes

Gardez le dossier source et les détails de la transmission à la disposition de l'enquête.

Voici les informations utiles :

• Le numéro de destination saisi et le destinataire prévu.
• Le compte expéditeur, la date et l'heure.
• Le statut de la transmission et le nombre de pages.
• Les documents joints.
• Le moment où le problème a été découvert et la personne qui l'a signalé.
• La possibilité que d'autres transmissions soient concernées.

N'effacez pas l'historique pour mettre de l'ordre dans le compte et ne remplacez pas le dossier par une version corrigée sans conserver ce qui a réellement été envoyé.

Les rapports de confirmation Fax.Plus documentent les détails de la transmission, notamment le statut, la date, l'heure et le nombre de pages. Ils peuvent aider à établir la chronologie technique des événements. Rapports de confirmation Fax.Plus. Vérifiez les prérequis de compte pour l'envoi de fax en organisation avec Fax.Plus avant que le personnel ne l'utilise pour des informations sur les patients.

Déterminer l'étendue de l'incident

L'équipe doit déterminer s'il s'agit d'un seul numéro de destination erroné, d'une pièce jointe concernant un autre patient ou d'un problème plus large.

Un contact enregistré contenant un mauvais numéro peut avoir un impact sur d'autres dossiers. Un dossier constitué à partir de plusieurs fichiers peut contenir des informations sur plusieurs patients.

Distinguez les faits vérifiés des hypothèses. Si le récit du destinataire est incomplet, documentez ce qui reste inconnu plutôt que de combler le vide par une conclusion favorable.

Dans quels cas un incident exige-t-il une notification de violation ?

Toute utilisation ou divulgation non autorisée de PHI est présumée constituer une violation, sauf si une exception applicable ou une évaluation documentée établit une faible probabilité que les informations aient été compromises.

Le HHS retient quatre facteurs d'évaluation :

• La nature et l'étendue des informations concernées.
• La personne qui les a reçues ou utilisées sans autorisation.
• Le fait qu'elles aient réellement été obtenues ou consultées.
• Le degré d'atténuation du risque.

L'organisation doit documenter sa décision concernant la notification. L'assurance donnée par un destinataire peut alimenter l'évaluation, mais le personnel ne doit pas la considérer comme la détermination complète.

En cas de violation de PHI non sécurisées nécessitant une notification individuelle, le HHS exige que celle-ci soit effectuée sans délai excessif et au plus tard 60 jours après la découverte. Cela ne signifie pas que l'enquête peut être reportée de 60 jours. D'autres notifications obéissent à leurs propres exigences. Recommandations du HHS sur la notification des violations.

L'équipe chargée de la confidentialité doit coordonner le processus de notification afin que les personnes concernées reçoivent des informations exactes par les canaux appropriés.

Corriger la cause de l'erreur

Remontez le parcours du document à travers les décisions qui ont conduit à la divulgation.

Le numéro a-t-il été copié à partir d'une source vérifiée ? Un contact enregistré contenait-il des informations obsolètes ? Le personnel pouvait-il distinguer des patients portant des noms similaires ? La pièce jointe d'un patient précédent est-elle restée dans le dossier ?

Les conclusions doivent guider la correction. Mettre à jour un contact règle un problème de mauvais numéro ; une erreur de constitution du dossier nécessite un autre changement. La formation doit montrer au personnel le contrôle précis qui a échoué.

Les accès méritent aussi une attention particulière. Vérifiez qui peut ouvrir les documents entrants, utiliser des postes de travail partagés et modifier l'attribution des numéros de réception. Définissez clairement les responsabilités du personnel pour vérifier les résultats des transmissions et signaler les destinations inattendues.

Avec Fax.Plus, un statut « Success » signifie que le terminal fax destinataire a accusé réception avec succès. Il ne prouve pas que la destination était autorisée, que la personne concernée a lu le dossier ni qu'il est parvenu au bon dossier patient. Statut de transmission Fax.Plus.

Pour les PHI, Fax.Plus exige le plan Enterprise avec Advanced Security Controls activé et un BAA signé. Les procédures du personnel doivent également couvrir les destinataires, les documents et les accès. Exigences HIPAA de Fax.Plus.

Pendant une enquête, coordonnez la conservation des preuves avec les personnes responsables de la rétention des données. La suppression automatique de Fax.Plus est irréversible. Ne partez pas du principe que la suppression programmée est suspendue parce qu'un incident est en cours d'examen. Contrôles de rétention de Fax.Plus.

Ce que les patients peuvent faire en cas de violation présumée

Si vous pensez que votre dossier a été envoyé au mauvais destinataire, contactez le service de protection de la vie privée du prestataire et décrivez ce que vous savez.

Indiquez la date approximative, l'organisation concernée et la manière dont vous avez découvert le problème. Conservez les échanges pertinents. Demandez quelles informations ont été touchées, ce que l'organisation a fait et qui contacter pour toute autre question.

Vous pouvez également déposer une plainte auprès de l'OCR. Le HHS exige en général que la plainte soit déposée dans les 180 jours suivant le moment où vous avez eu connaissance de l'acte ou de l'omission, avec des prolongations possibles pour motif valable. Identifiez l'entité concernée et décrivez la conduite présumée.

L'OCR a besoin de votre nom et de vos coordonnées pour mener son enquête. Vous pouvez demander la confidentialité sur le formulaire de consentement, mais cela diffère d'un dépôt de plainte anonyme. HIPAA interdit les représailles à la suite du dépôt d'une plainte. Procédure de plainte du HHS.

Fournissez les preuves à l'appui via le canal de transmission indiqué. Évitez de publier des dossiers médicaux pour démontrer le problème, car cela pourrait exposer davantage les informations.