HIPAA를 위반하면 어떻게 될까요

HIPAA 위반은 시정 조치, 직원 징계, 규제 당국의 집행으로 이어질 수 있습니다. 보호되지 않은 환자 정보의 위반(breach)은 통지 의무를 발생시킬 수도 있습니다. 결과는 발생한 일, 관련된 정보, 조사 결과에 따라 달라집니다.

의사나 간호사의 경우 직장 내 결과로는 재교육, 접근 제한 또는 징계 조치가 있을 수 있습니다. 조직은 조사, 합의 계약(resolution agreement) 또는 민사 제재금을 받을 수 있습니다. 형사상 위반 가능성이 있는 사안은 법무부에 회부될 수 있습니다. OCR이 HIPAA를 집행하는 방식.

잘못 전송된 fax는 사실관계가 왜 중요한지 보여 줍니다. 오래된 연락처를 선택한 탓에 담당 의사에게 보내려던 기록이 관련 없는 업체에 전달될 수 있습니다. 가장 먼저 해야 할 일은 무엇이 전송되었는지 확인하고, 추가 유출을 막고, 사고를 평가하는 데 필요한 정보를 보존하는 것입니다.

HIPAA 위반 시 어떤 결과가 따를 수 있나요?

같은 사고에 대해 여러 가지 대응이 이어질 수 있습니다.

고용주는 직원의 행동과 절차 준수 여부를 검토합니다. 개인정보 보호팀은 해당 유출과 통지 의무를 평가합니다. 규제 당국은 조직의 규정 준수 여부를 조사할 수 있습니다.

HHS 민권국(OCR)은 자발적 준수, 시정 조치 또는 합의 계약(resolution agreement)을 통해 사건을 해결할 수 있습니다. 민사 제재금이 부과될 수도 있습니다. 조사 결과 위반이 없었던 것으로 확인될 수도 있습니다.

따라서 다른 사건의 대대적인 벌금 보도가 특정 사고의 결과를 예측해 주지는 않습니다. 조사를 통해 관련된 행위와 의무를 확인해야 합니다.

의료기관의 경우, 처리해야 할 업무는 최초의 유출에서 끝나지 않을 수 있습니다. 영향을 받은 기록 검토, 수신자 연락, 결정 사항 문서화, 직원 재교육, 오류를 일으킨 프로세스 변경 등이 이어질 수 있습니다.

의사나 간호사가 HIPAA를 위반하면 어떻게 되나요?

직함에 따라 처벌이 정해져 있는 것은 아닙니다.

업무상 이유 없이 기록을 열람한 간호사와, 사무실에서 기록을 잘못된 수신처로 보낸 의사는 사실관계가 서로 다릅니다. 조사에서는 당사자의 행동, 책임, 지침, 그리고 문제를 알게 된 후의 대응을 살펴봐야 합니다.

직장 내 결과는 조사 결과와 적용되는 정책에 따라 달라집니다. 상담, 서면 경고, 재교육, 접근 제한 또는 더 중한 징계가 포함될 수 있습니다.

특정 사례에서는 면허와 관련된 결과가 발생할 수 있습니다. HHS는 전 남편의 기록에 부적절하게 접근한 전문간호사(nurse practitioner)의 사례를 소개합니다. 해당 의료 시스템은 그 간호사의 접근 권한을 박탈하고, 면허 당국에 해당 행위를 보고했으며, 개인정보 보호 개선 교육을 받도록 요구했습니다. 이것이 사고에 연루된 모든 전문가가 자동으로 면허를 잃는다는 뜻은 아닙니다. HHS 사례 예시.

직원은 오류가 의심되면 즉시 보고하고 정확하게 설명해야 합니다. 조직은 사고를 차단하고 자신의 의무를 판단하기 위해 이러한 세부 정보가 필요합니다.

잘못된 번호로 보낸 fax는 민감한 기록을 노출할 수 있습니다

HHS가 공개한 한 사례에서, 한 의사의 진료실이 새 의료 제공자에게 보내야 할 환자의 HIV 상태가 담긴 기록을 환자의 고용주에게 fax로 보냈습니다.

책임이 있는 직원은 서면 경고를 받았습니다. 해당 의료기관은 fax 표지를 수정하고 직원들에게 fax 전송 절차에 대해 상담을 제공했습니다. 의사와 해당 직원은 환자에게 사과도 했습니다.

오류는 수신처를 선택하는 단계에서 발생했습니다. fax 서비스가 정상적으로 작동해 문서를 성공적으로 전송하더라도, 정보는 여전히 승인되지 않은 수신자에게 도달할 수 있습니다.

번호가 맞더라도 직원이 다른 환자의 문서를 첨부하면 또 다른 위험이 생깁니다. 수신처 확인과 전송 문서 확인은 별개의 작업입니다.

승인 없이 기록을 fax로 보내는 것은 HIPAA 위반인가요?

반드시 그런 것은 아닙니다. HIPAA는 일반적으로 의료 제공자가 별도의 환자 승인 없이 치료 목적으로 정보를 공유하는 것을 허용합니다. 합리적인 보호 조치를 갖추면 fax를 사용할 수 있습니다. 특정 기록이나 상황에는 추가 요건이 적용될 수 있습니다. 치료 목적 커뮤니케이션에 대한 HHS 지침.

최소 필요 기준(minimum necessary standard)에도 예외가 있으며, 치료를 위해 의료 제공자에게 공개하거나 의료 제공자가 요청하는 경우가 이에 포함됩니다. HHS 최소 필요 기준 지침.

사고를 검토할 때는 승인 누락만으로 위반이라고 단정하기 전에 목적과 수신자를 먼저 확인하세요. 마찬가지로, 치료 담당 임상의에게 기록을 보낼 수 있는 권한이 있다고 해서 관련 없는 고용주나 의도하지 않은 다른 수신처로 보낼 권한까지 있는 것은 아닙니다.

fax 유출 가능성을 발견한 후 해야 할 일

어느 사무실에서 전화를 걸어, 귀 의료기관이 자신의 환자가 아닌 사람의 기록을 보냈다고 알려 왔다고 가정해 보세요.

전화를 건 사람의 정보를 기록하고 개인정보 보호 책임자 또는 지정된 사고 담당자에게 즉시 알리세요. 조직의 사고 보고 채널을 통해 사실을 공유하되, 환자 정보에 대한 접근은 대응을 담당하는 사람으로 제한하세요.

추가 유출 방지

대기 중이거나 진행 중인 전송이 남아 있는지, 남은 전송을 중지할 수 있는지 확인하세요. 작업을 취소할 수 있을 때 실수를 발견했다고 해서 수신자에게 한 페이지도 전달되지 않았다고 단정해서는 안 됩니다.

대기 중인 전송을 중지해도 이미 전달된 페이지를 회수할 수는 없습니다. 발신자 측 사본을 삭제해도 수신된 사본이 사라지지는 않습니다.

개인정보 보호팀은 의도하지 않은 수신자와의 연락을 총괄해야 하며, 여기에는 추가 사용이나 공개를 방지해 달라는 요청과 문서 처리 방법에 대한 안내가 포함됩니다. 수신자의 답변과 완료된 완화 조치를 기록하세요.

관련 증거 보존

원본 문서 묶음과 전송 세부 정보를 조사에 활용할 수 있도록 보관하세요.

유용한 정보는 다음과 같습니다.

• 입력한 수신 번호와 의도한 수신자.
• 발신 계정, 날짜 및 시간.
• 전송 상태와 페이지 수.
• 첨부된 문서.
• 문제가 발견된 시점과 보고한 사람.
• 다른 전송에도 영향이 있을 수 있는지 여부.

계정을 정리한다는 이유로 기록을 삭제하거나, 실제로 전송된 내용을 보존하지 않은 채 문서 묶음을 수정본으로 교체하지 마세요.

Fax.Plus 확인 보고서에는 상태, 날짜, 시간, 페이지 수 등 전송 세부 정보가 기록됩니다. 이를 통해 사건의 기술적 경과를 파악하는 데 도움이 될 수 있습니다. Fax.Plus 확인 보고서. 직원이 환자 정보에 Fax.Plus를 사용하기 전에 Fax.Plus 조직용 fax 전송을 위한 계정 요건을 갖추세요.

범위 파악

팀은 이번 건이 잘못된 수신 번호 하나로 인한 것인지, 다른 환자의 문서가 첨부된 것인지, 아니면 더 광범위한 문제인지 판단해야 합니다.

잘못된 번호가 저장된 연락처는 다른 기록에도 영향을 줄 수 있습니다. 여러 파일로 구성한 문서 묶음에는 두 명 이상의 환자 정보가 포함되어 있을 수 있습니다.

확인된 사실과 추측을 구분하세요. 수신자의 설명이 불완전하다면, 빈틈을 유리한 결론으로 채우지 말고 아직 알려지지 않은 부분을 그대로 기록하세요.

어떤 경우에 사고에 대한 위반 통지가 필요한가요?

PHI의 허용되지 않는 사용 또는 공개는 해당하는 예외가 적용되거나, 정보가 유출되었을 가능성이 낮다는 점이 문서화된 평가로 입증되지 않는 한 위반으로 추정됩니다.

HHS는 네 가지 평가 요소를 제시합니다.

• 관련된 정보의 성격과 범위.
• 권한 없이 정보를 받았거나 사용한 사람.
• 정보가 실제로 취득되었거나 열람되었는지 여부.
• 위험이 어느 정도 완화되었는지.

조직은 통지 여부에 대한 결정을 문서화해야 합니다. 수신자의 확약은 평가에 참고할 수 있지만, 직원은 이를 판단의 전부로 간주해서는 안 됩니다.

개별 통지가 필요한 보호되지 않은 PHI의 위반 건에 대해 HHS는 부당한 지연 없이, 늦어도 발견 후 60일 이내에 통지할 것을 요구합니다. 이는 조사를 60일간 미뤄도 된다는 뜻이 아닙니다. 그 밖의 통지에는 각각의 요건이 있습니다. HHS 위반 통지 지침.

개인정보 보호팀은 영향을 받은 개인이 적절한 경로를 통해 정확한 정보를 받을 수 있도록 통지 절차를 총괄해야 합니다.

오류의 원인 바로잡기

공개로 이어진 결정 과정을 따라 문서를 거슬러 추적하세요.

번호를 검증된 출처에서 복사했나요? 저장된 연락처에 오래된 정보가 있었나요? 직원이 이름이 비슷한 환자를 구분할 수 있었나요? 이전 환자의 첨부 파일이 문서 묶음에 남아 있었나요?

조사 결과를 바탕으로 시정 조치를 마련해야 합니다. 연락처를 업데이트하면 잘못된 번호 문제는 해결되지만, 기록 취합 오류에는 다른 변경이 필요합니다. 교육에서는 실패한 구체적인 확인 절차를 직원에게 보여 주어야 합니다.

접근 권한에도 주의가 필요합니다. 수신 기록을 열람할 수 있는 사람, 공용 워크스테이션 사용, 수신 번호 할당 변경 권한을 검토하세요. 직원에게 전송 결과를 확인하고 예상치 못한 수신처를 상부에 보고할 책임을 명확히 부여하세요.

Fax.Plus에서 “성공” 상태는 수신 fax 단말이 정상 수신을 확인했다는 의미입니다. 이는 수신처가 승인된 곳이라는 점, 의도한 사람이 문서를 읽었다는 점, 또는 올바른 환자 차트에 도달했다는 점을 입증하지 않습니다. Fax.Plus 전송 상태.

PHI에 Fax.Plus를 사용하려면 Advanced Security Controls가 활성화된 Enterprise 요금제와 서명된 BAA가 필요합니다. 직원 절차에서도 수신자, 문서, 접근 권한을 다루어야 합니다. Fax.Plus HIPAA 요건.

조사 중에는 보관 업무를 담당하는 사람들과 증거 보존을 조율하세요. Fax.Plus 자동 삭제는 되돌릴 수 없습니다. 사고를 검토하고 있다고 해서 예약된 삭제가 일시 중지된다고 가정하지 마세요. Fax.Plus 보관 제어.

위반이 의심될 때 환자가 할 수 있는 일

본인의 기록이 잘못된 수신자에게 전달되었다고 생각되면 해당 의료 제공자의 개인정보 보호 담당 부서에 연락하여 알고 있는 내용을 설명하세요.

대략적인 날짜, 관련 기관, 문제를 알게 된 경위를 포함하세요. 관련 서신은 보관해 두세요. 어떤 정보가 영향을 받았는지, 해당 기관이 어떤 조치를 했는지, 추가 문의는 누구에게 해야 하는지 물어보세요.

OCR에 민원을 제출할 수도 있습니다. HHS는 일반적으로 해당 행위나 누락을 알게 된 날부터 180일 이내에 접수하도록 요구하며, 정당한 사유가 있으면 연장될 수 있습니다. 해당 기관을 명시하고 의심되는 행위를 설명하세요.

OCR은 조사를 위해 이름과 연락처를 요구합니다. 동의서에서 기밀 유지를 요청할 수 있지만, 이는 익명으로 접수하는 것과는 다릅니다. HIPAA는 민원 제기에 대한 보복을 금지합니다. HHS 민원 절차.

요청된 제출 경로를 통해 뒷받침하는 증거를 제공하세요. 문제를 입증하기 위해 의료 기록을 공개적으로 게시하는 것은 정보가 추가로 노출될 수 있으므로 피하세요.