Cosa succede se qualcuno viola HIPAA

Una violazione dell'HIPAA può portare ad azioni correttive, provvedimenti disciplinari nei confronti dei dipendenti e sanzioni da parte delle autorità di controllo. Anche una violazione che coinvolge informazioni non protette dei pazienti può far scattare obblighi di notifica. L'esito dipende da ciò che è accaduto, dalle informazioni coinvolte e dai risultati dell'indagine.

Per un medico o un infermiere, le conseguenze sul posto di lavoro possono includere una nuova formazione, restrizioni di accesso o provvedimenti disciplinari. Un'organizzazione può dover affrontare un'indagine, un accordo di risoluzione o sanzioni civili. Le possibili violazioni penali possono essere segnalate al Dipartimento di Giustizia. Come l'OCR applica l'HIPAA.

Un fax inviato al destinatario sbagliato mostra perché i fatti contano. Le cartelle destinate a un medico curante potrebbero arrivare a un'azienda estranea perché qualcuno ha selezionato un contatto obsoleto. Le priorità immediate sono stabilire che cosa è stato trasmesso, limitare ulteriori divulgazioni e conservare le informazioni necessarie per valutare l'incidente.

Quali conseguenze possono derivare da una violazione dell'HIPAA?

Lo stesso incidente può avere più conseguenze.

Il datore di lavoro esamina la condotta del personale e verifica se le procedure sono state rispettate. Il team privacy valuta la divulgazione e gli obblighi di notifica. Un'autorità di controllo può indagare sulla conformità dell'organizzazione.

L'Office for Civil Rights dell'HHS, o OCR, può risolvere i casi tramite conformità volontaria, azioni correttive o un accordo di risoluzione. Sono possibili anche sanzioni pecuniarie civili. Un'indagine può anche stabilire che non vi è stata alcuna violazione.

Una multa finita sui giornali in un altro caso non permette quindi di prevedere l'esito di un incidente specifico. L'indagine deve accertare la condotta e gli obblighi coinvolti.

Per lo studio, il lavoro può andare oltre la divulgazione iniziale: esaminare le cartelle coinvolte, contattare i destinatari, documentare le decisioni, formare di nuovo il personale e modificare il processo che ha permesso l'errore.

Che cosa succede se un medico o un infermiere viola l'HIPAA?

Il titolo professionale non determina una sanzione fissa.

Un infermiere che apre una cartella senza un motivo legato al lavoro e un medico il cui studio invia cartelle alla destinazione sbagliata presentano fatti diversi. L'indagine dovrebbe esaminare le azioni della persona, le sue responsabilità, le istruzioni ricevute e la reazione una volta venuta a conoscenza del problema.

Le conseguenze sul posto di lavoro dipendono dai risultati dell'indagine e dalle politiche applicabili. Possono comprendere un colloquio, un richiamo scritto, una nuova formazione, restrizioni di accesso o provvedimenti disciplinari più gravi.

In casi specifici sono possibili conseguenze relative all'abilitazione professionale. L'HHS descrive il caso di un'infermiera professionista che ha consultato impropriamente le cartelle del suo ex marito: il sistema sanitario ha revocato il suo accesso, ha segnalato la condotta all'autorità competente per le abilitazioni e ha richiesto una formazione correttiva sulla privacy. Ciò non implica la perdita automatica dell'abilitazione per ogni professionista coinvolto in un incidente. Esempi di casi HHS.

Il personale dovrebbe segnalare tempestivamente i sospetti errori e fornire un resoconto accurato. L'organizzazione ha bisogno di questi dettagli per contenere l'incidente e stabilire i propri obblighi.

Un fax inviato a un numero sbagliato può esporre cartelle sensibili

In un caso pubblicato dall'HHS, lo studio di un medico ha inviato via fax cartelle contenenti lo stato HIV di un paziente al datore di lavoro del paziente invece che al nuovo operatore sanitario.

Il dipendente responsabile ha ricevuto un richiamo scritto. Lo studio ha rivisto il frontespizio dei fax e ha formato il personale sulle procedure di invio. Il medico e il dipendente hanno inoltre presentato le proprie scuse al paziente.

L'errore si è verificato nella fase di selezione della destinazione. Un servizio fax funzionante potrebbe trasmettere correttamente il fascicolo, mentre le informazioni raggiungono comunque un destinatario non autorizzato.

Anche un numero corretto comporta un altro rischio se il personale allega i documenti del paziente sbagliato. Verificare la destinazione e verificare il fascicolo sono due attività distinte.

Inviare cartelle via fax senza autorizzazione viola l'HIPAA?

Non necessariamente. L'HIPAA in genere consente agli operatori sanitari di condividere informazioni a fini di cura senza un'autorizzazione separata del paziente. Il fax può essere usato con misure di sicurezza ragionevoli. Per particolari cartelle o circostanze possono applicarsi requisiti aggiuntivi. Linee guida HHS sulle comunicazioni per fini di cura.

Anche lo standard del minimo necessario prevede eccezioni, tra cui le divulgazioni a operatori sanitari o le richieste da parte loro a fini di cura. Linee guida HHS sul minimo necessario.

Durante la revisione di un incidente, stabilisci lo scopo e il destinatario prima di concludere che la mancanza di autorizzazione dimostri una violazione. Allo stesso modo, il permesso di inviare cartelle a un clinico curante non autorizza a inviarle a un datore di lavoro estraneo o a un'altra destinazione non prevista.

Cosa fare dopo aver scoperto una possibile divulgazione tramite fax

Supponi che uno studio telefoni per dire che il tuo studio ha inviato cartelle relative a una persona che non è un suo paziente.

Annota i dettagli di chi ha chiamato e avvisa tempestivamente il responsabile della privacy o il referente designato per gli incidenti. Condividi i fatti tramite il canale di segnalazione degli incidenti dell'organizzazione, limitando l'accesso alle informazioni dei pazienti a chi gestisce la risposta.

Limitare ulteriori divulgazioni

Verifica se qualcosa è ancora in coda o in corso e se la trasmissione rimanente può essere interrotta. Non dare per scontato che aver scoperto l'errore in tempo per annullare un'attività significhi che nessuna pagina sia arrivata al destinatario.

Interrompere una trasmissione in sospeso non permette di recuperare le pagine già consegnate. Eliminare la copia del mittente non rimuove la copia ricevuta.

Il team privacy dovrebbe coordinare i contatti con il destinatario non previsto, comprese le richieste di evitare ulteriori usi o divulgazioni e le istruzioni per la gestione dei documenti. Registra quanto dichiarato dal destinatario e le eventuali misure di mitigazione già adottate.

Conservare le prove rilevanti

Tieni a disposizione dell'indagine il fascicolo originale e i dettagli della trasmissione.

Tra le informazioni utili rientrano:

• La destinazione inserita e il destinatario previsto.
• L'account mittente, la data e l'ora.
• Lo stato della trasmissione e il numero di pagine.
• I documenti allegati.
• Quando è stato scoperto il problema e chi lo ha segnalato.
• Se altre trasmissioni potrebbero essere interessate.

Non cancellare la cronologia per riordinare l'account e non sostituire il fascicolo con una versione corretta senza conservare ciò che è stato effettivamente inviato.

I report di conferma di Fax.Plus documentano i dettagli della trasmissione, tra cui stato, data, ora e numero di pagine. Possono aiutare a stabilire la sequenza tecnica degli eventi. Report di conferma di Fax.Plus. Stabilisci i prerequisiti dell'account per l'invio fax organizzativo con Fax.Plus prima che il personale lo utilizzi per le informazioni dei pazienti.

Definire la portata

Il team deve stabilire se si sia trattato di una sola destinazione errata, dell'allegato di un paziente sbagliato o di un problema più ampio.

Un contatto salvato con il numero sbagliato potrebbe interessare altri documenti. Un fascicolo composto da più file potrebbe contenere informazioni relative a più di un paziente.

Distingui i fatti verificati dalle ipotesi. Se il resoconto del destinatario è incompleto, documenta ciò che resta sconosciuto anziché colmare la lacuna con una conclusione favorevole.

Quando un incidente richiede la notifica della violazione?

Un uso o una divulgazione non consentiti di PHI si presumono una violazione, a meno che un'eccezione applicabile o una valutazione documentata stabiliscano una bassa probabilità che le informazioni siano state compromesse.

L'HHS individua quattro fattori di valutazione:

• La natura e l'entità delle informazioni coinvolte.
• Chi le ha ricevute o utilizzate senza autorizzazione.
• Se siano state effettivamente acquisite o visualizzate.
• In quale misura il rischio è stato mitigato.

L'organizzazione deve documentare la propria decisione in merito alla notifica. La rassicurazione di un destinatario può contribuire alla valutazione, ma il personale non dovrebbe considerarla l'unico elemento della valutazione.

In caso di violazione di PHI non protette che richieda una notifica individuale, l'HHS richiede che la notifica avvenga senza ritardi ingiustificati ed entro 60 giorni dalla scoperta. Ciò non autorizza a rinviare l'indagine di 60 giorni. Le altre notifiche hanno requisiti propri. Linee guida dell'HHS sulla notifica delle violazioni.

Il team privacy dovrebbe coordinare il processo di notifica affinché le persone interessate ricevano informazioni accurate attraverso i canali appropriati.

Correggere la causa dell'errore

Ripercorri il documento a ritroso, attraverso le decisioni che hanno portato alla divulgazione.

Il numero è stato copiato da una fonte verificata? Un contatto salvato conteneva dati obsoleti? Il personale riusciva a distinguere pazienti con nomi simili? L'allegato di un paziente precedente è rimasto nel fascicolo?

Le risultanze dovrebbero orientare la correzione. Aggiornare un contatto risolve un problema di numero errato; un errore nella composizione dei documenti richiede una modifica diversa. La formazione dovrebbe mostrare al personale il controllo specifico che non ha funzionato.

Anche l'accesso merita attenzione. Verifica chi può aprire i documenti in arrivo, utilizzare postazioni condivise e modificare l'assegnazione dei numeri di ricezione. Attribuisci al personale responsabilità chiare per il controllo dei risultati di trasmissione e per la segnalazione di destinazioni inattese.

Con Fax.Plus, lo stato “Success” indica che l'endpoint fax ricevente ha confermato la corretta ricezione. Non stabilisce che la destinazione fosse autorizzata, che la persona prevista abbia letto il fascicolo o che questo sia arrivato alla cartella del paziente corretto. Stato di trasmissione di Fax.Plus.

Per le PHI, Fax.Plus richiede Enterprise con Advanced Security Controls attivati e un BAA firmato. Le procedure del personale devono inoltre riguardare destinatari, documenti e accessi. Requisiti HIPAA di Fax.Plus.

Durante un'indagine, coordina la conservazione delle prove con le persone che gestiscono la conservazione dei dati. L'eliminazione automatica di Fax.Plus è irreversibile. Non dare per scontato che l'eliminazione programmata venga sospesa perché è in corso la revisione di un incidente. Controlli di conservazione di Fax.Plus.

Cosa possono fare i pazienti in caso di sospetta violazione

Se ritieni che i tuoi documenti siano stati inviati al destinatario sbagliato, contatta l'ufficio privacy della struttura sanitaria e descrivi ciò che sai.

Indica la data approssimativa, l'organizzazione coinvolta e come hai scoperto il problema. Conserva la corrispondenza pertinente. Chiedi quali informazioni sono state coinvolte, che cosa ha fatto l'organizzazione e a chi rivolgerti per ulteriori domande.

Puoi anche presentare un reclamo all'OCR. L'HHS richiede in genere che il reclamo sia presentato entro 180 giorni da quando sei venuto a conoscenza dell'atto o dell'omissione, con possibili proroghe per giustificato motivo. Indica il soggetto coinvolto e descrivi la presunta condotta.

L'OCR richiede il tuo nome e i tuoi recapiti per condurre l'indagine. Puoi richiedere la riservatezza nel modulo di consenso, ma questo è diverso dal presentare un reclamo in forma anonima. L'HIPAA vieta le ritorsioni per aver presentato un reclamo. Procedura di reclamo dell'HHS.

Fornisci le prove a supporto tramite il canale di invio richiesto. Evita di pubblicare cartelle cliniche per dimostrare il problema, poiché ciò può esporre ulteriormente le informazioni.