Wat gebeurt er als iemand HIPAA schendt

Een HIPAA-overtreding kan leiden tot corrigerende maatregelen, disciplinaire maatregelen tegen medewerkers en handhaving door toezichthouders. Een inbreuk op onbeveiligde patiëntgegevens kan bovendien meldplichten met zich meebrengen. De uitkomst hangt af van wat er is gebeurd, de betrokken gegevens en de bevindingen van het onderzoek.

Voor een arts of verpleegkundige kunnen de gevolgen op de werkvloer bestaan uit bijscholing, beperking van toegang of disciplinaire maatregelen. Een organisatie kan te maken krijgen met een onderzoek, een schikkingsovereenkomst of civiele boetes. Mogelijke strafbare overtredingen kunnen worden doorverwezen naar het ministerie van Justitie (Department of Justice). Hoe OCR HIPAA handhaaft.

Een verkeerd verzonden fax laat zien waarom de feiten ertoe doen. Dossiers die bedoeld waren voor een behandelend arts kunnen bij een niet-gerelateerd bedrijf terechtkomen doordat iemand een verouderd contact heeft gekozen. De eerste prioriteiten zijn vaststellen wat er is verzonden, verdere bekendmaking beperken en de informatie bewaren die nodig is om het incident te beoordelen.

Welke gevolgen kan een HIPAA-overtreding hebben?

Op hetzelfde incident kunnen meerdere reacties volgen.

De werkgever onderzoekt het gedrag van medewerkers en of de procedures zijn gevolgd. Het privacyteam beoordeelt de bekendmaking en de meldplichten. Een toezichthouder kan onderzoek doen naar de naleving door de organisatie.

Het HHS Office for Civil Rights (OCR) kan zaken afhandelen via vrijwillige naleving, corrigerende maatregelen of een schikkingsovereenkomst. Ook civiele geldboetes zijn mogelijk. Uit een onderzoek kan blijken dat er geen overtreding heeft plaatsgevonden.

Een krantenkop over een boete in een andere zaak voorspelt daarom niet de uitkomst van een specifiek incident. Het onderzoek moet het gedrag en de betrokken verplichtingen vaststellen.

Voor de praktijk kan het werk verder reiken dan de oorspronkelijke bekendmaking: getroffen dossiers nalopen, ontvangers benaderen, beslissingen documenteren, medewerkers bijscholen en het proces aanpassen dat de fout mogelijk maakte.

Wat gebeurt er als een arts of verpleegkundige HIPAA overtreedt?

Een functietitel bepaalt geen vaste sanctie.

Een verpleegkundige die een dossier opent zonder werkgerelateerde reden en een arts wiens praktijk dossiers naar de verkeerde bestemming stuurt, betreffen verschillende feiten. Het onderzoek moet de handelingen, verantwoordelijkheden en instructies van de persoon onderzoeken, evenals de reactie zodra het probleem bekend werd.

De gevolgen op de werkvloer hangen af van de bevindingen en het toepasselijke beleid. Ze kunnen bestaan uit een gesprek, een schriftelijke waarschuwing, bijscholing, beperking van toegang of zwaardere disciplinaire maatregelen.

Gevolgen voor de beroepsbevoegdheid zijn in bepaalde gevallen mogelijk. HHS beschrijft een verpleegkundig specialist die op onrechtmatige wijze de dossiers van haar ex-man heeft ingezien: het zorgsysteem heeft haar toegang beëindigd, het gedrag gemeld bij de instantie die de bevoegdheid verleent en herstellende privacytraining verplicht gesteld. Dit betekent niet dat elke betrokken professional automatisch zijn of haar bevoegdheid verliest bij een incident. Voorbeeldzaken van HHS.

Medewerkers moeten vermoedelijke fouten onmiddellijk melden en een nauwkeurig verslag geven. De organisatie heeft deze gegevens nodig om het incident in te perken en haar verplichtingen vast te stellen.

Een fax naar een verkeerd nummer kan gevoelige dossiers blootstellen

In een gepubliceerde zaak van HHS faxte de praktijk van een arts dossiers met de hiv-status van een patiënt naar de werkgever van de patiënt in plaats van naar de nieuwe zorgverlener.

De verantwoordelijke medewerker kreeg een schriftelijke waarschuwing. De praktijk herzag haar faxvoorblad en begeleidde medewerkers bij de faxprocedures. De arts en de medewerker boden de patiënt ook hun excuses aan.

De fout ontstond bij het kiezen van de bestemming. Een goed werkende faxdienst kan het pakket succesvol verzenden terwijl de informatie toch bij een onbevoegde ontvanger terechtkomt.

Een correct nummer vormt een ander risico als medewerkers de documenten van de verkeerde patiënt bijvoegen. De bestemming controleren en het pakket controleren zijn aparte taken.

Is het faxen van dossiers zonder toestemming een overtreding van HIPAA?

Niet noodzakelijk. HIPAA staat zorgverleners over het algemeen toe informatie te delen voor behandeling zonder aparte toestemming van de patiënt. Een fax kan worden gebruikt met redelijke beveiligingsmaatregelen. Voor bepaalde dossiers of omstandigheden kunnen aanvullende vereisten gelden. HHS-richtlijnen over communicatie voor behandeling.

Ook voor de norm van het minimaal noodzakelijke (minimum necessary) gelden uitzonderingen, waaronder bekendmakingen aan of verzoeken van zorgverleners voor behandeling. HHS-richtlijnen over het minimaal noodzakelijke.

Stel tijdens de beoordeling van een incident het doel en de ontvanger vast voordat u concludeert dat ontbrekende toestemming een overtreding bewijst. Evenzeer geldt dat toestemming om dossiers naar een behandelend arts te sturen, niet betekent dat ze naar een niet-gerelateerde werkgever of een andere onbedoelde bestemming mogen worden gestuurd.

Wat te doen na ontdekking van een mogelijke bekendmaking via fax

Stel dat een kantoor belt om te melden dat uw praktijk dossiers heeft verzonden van iemand die niet bij hen patiënt is.

Noteer de gegevens van de beller en breng de privacyfunctionaris of het aangewezen contactpunt voor incidenten onmiddellijk op de hoogte. Deel de feiten via het meldkanaal voor incidenten van de organisatie en beperk de toegang tot patiëntgegevens tot degenen die de afhandeling verzorgen.

Verdere bekendmaking beperken

Controleer of er nog iets in de wachtrij staat of in uitvoering is en of de resterende verzending kan worden gestopt. Ga er niet van uit dat er geen pagina's bij de ontvanger zijn aangekomen omdat u de fout op tijd hebt ontdekt om een taak te annuleren.

Het stoppen van een lopende verzending kan reeds afgeleverde pagina's niet terughalen. Het verwijderen van de kopie van de afzender verwijdert de ontvangen kopie niet.

Het privacyteam moet het contact met de onbedoelde ontvanger coördineren, onder meer verzoeken om verder gebruik of verdere bekendmaking te voorkomen en instructies voor het omgaan met de documenten. Leg vast wat de ontvanger zegt en welke mitigerende maatregelen zijn genomen.

Bewaar het relevante bewijsmateriaal

Houd het oorspronkelijke pakket en de verzendgegevens beschikbaar voor het onderzoek.

Nuttige informatie omvat:

• De ingevoerde bestemming en de beoogde ontvanger.
• Het verzendende account, de datum en het tijdstip.
• De verzendstatus en het aantal pagina's.
• De bijgevoegde documenten.
• Wanneer het probleem is ontdekt en wie het heeft gemeld.
• Of andere verzendingen mogelijk zijn getroffen.

Wis de geschiedenis niet om het account op te schonen en vervang het pakket niet door een gecorrigeerde versie zonder vast te leggen wat daadwerkelijk is verzonden.

Fax.Plus-bevestigingsrapporten documenteren de verzendgegevens, waaronder status, datum, tijdstip en aantal pagina's. Ze kunnen helpen de technische gang van zaken vast te stellen. Fax.Plus-bevestigingsrapporten. Stel de accountvereisten voor organisatorisch faxen met Fax.Plus vast voordat medewerkers het voor patiëntgegevens gebruiken.

Bepaal de omvang

Het team moet vaststellen of het ging om één onjuiste bestemming, een bijlage van de verkeerde patiënt of een breder probleem.

Een opgeslagen contactpersoon met het verkeerde nummer kan gevolgen hebben voor andere dossiers. Een pakket dat uit meerdere bestanden is samengesteld, kan gegevens van meer dan één patiënt bevatten.

Maak onderscheid tussen geverifieerde feiten en aannames. Als het verslag van de ontvanger onvolledig is, documenteer dan wat onbekend blijft in plaats van de leemte op te vullen met een gunstige conclusie.

Wanneer vereist een incident een datalekmelding?

Een ongeoorloofd gebruik of een ongeoorloofde bekendmaking van PHI wordt aangemerkt als een inbreuk, tenzij een toepasselijke uitzondering of een gedocumenteerde beoordeling aantoont dat de kans dat de informatie in gevaar is gekomen laag is.

HHS onderscheidt vier beoordelingsfactoren:

• De aard en omvang van de betrokken informatie.
• Wie de informatie zonder toestemming heeft ontvangen of gebruikt.
• Of de informatie daadwerkelijk is verkregen of bekeken.
• In hoeverre het risico is beperkt.

De organisatie moet haar besluit over de melding documenteren. De toezegging van een ontvanger kan de beoordeling ondersteunen, maar medewerkers mogen die niet als de volledige afweging beschouwen.

Bij een inbreuk op onbeveiligde PHI waarvoor een individuele melding vereist is, eist HHS dat de melding zonder onredelijke vertraging plaatsvindt en uiterlijk 60 dagen na ontdekking. Dat is geen toestemming om het onderzoek 60 dagen uit te stellen. Voor andere meldingen gelden eigen vereisten. HHS-richtlijnen voor datalekmeldingen.

Het privacyteam moet het meldingsproces coördineren, zodat de getroffen personen via de juiste kanalen juiste informatie ontvangen.

Pak de oorzaak van de fout aan

Volg het document terug langs de beslissingen die tot de bekendmaking hebben geleid.

Is het nummer overgenomen uit een geverifieerde bron? Bevatte een opgeslagen contactpersoon verouderde gegevens? Konden medewerkers patiënten met vergelijkbare namen van elkaar onderscheiden? Is de bijlage van een eerdere patiënt in het dossier achtergebleven?

De bevindingen moeten richting geven aan de correctie. Het bijwerken van een contactpersoon verhelpt een probleem met een verkeerd nummer; een fout bij het samenstellen van dossiers vraagt om een andere aanpassing. Training moet medewerkers laten zien welke specifieke controle is mislukt.

Ook toegang verdient aandacht. Bekijk wie binnenkomende dossiers kan openen, gedeelde werkstations kan gebruiken en toewijzingen van ontvangstnummers kan wijzigen. Geef medewerkers duidelijke verantwoordelijkheden voor het controleren van verzendresultaten en het escaleren van onverwachte bestemmingen.

Bij Fax.Plus betekent de status „Geslaagd” dat het ontvangende faxeindpunt de succesvolle ontvangst heeft bevestigd. Het bewijst niet dat de bestemming bevoegd was, dat de beoogde persoon het dossier heeft gelezen of dat het bij het juiste patiëntendossier is terechtgekomen. Fax.Plus-verzendstatus.

Voor PHI vereist Fax.Plus Enterprise met ingeschakelde Advanced Security Controls en een ondertekende BAA. De procedures van medewerkers moeten ook ontvangers, documenten en toegang regelen. Fax.Plus HIPAA-vereisten.

Coördineer tijdens een onderzoek het veiligstellen van bewijsmateriaal met de mensen die de bewaartermijnen beheren. Automatisch verwijderen in Fax.Plus is onomkeerbaar. Ga er niet van uit dat geplande verwijdering wordt gepauzeerd omdat een incident wordt onderzocht. Fax.Plus-bewaarinstellingen.

Wat patiënten kunnen doen bij een vermoeden van een overtreding

Als u denkt dat uw gegevens bij de verkeerde ontvanger terecht zijn gekomen, neem dan contact op met de privacyafdeling van de zorgverlener en beschrijf wat u weet.

Vermeld de datum bij benadering, de betrokken organisatie en hoe u het probleem hebt ontdekt. Bewaar relevante correspondentie. Vraag welke gegevens zijn getroffen, wat de organisatie heeft gedaan en met wie u contact kunt opnemen voor verdere vragen.

U kunt ook een klacht indienen bij OCR. HHS vereist doorgaans dat dit binnen 180 dagen gebeurt nadat u op de hoogte was van de handeling of nalatigheid, met mogelijke verlenging om gegronde redenen. Geef de betrokken entiteit aan en beschrijf het vermoedelijke gedrag.

OCR heeft uw naam en contactgegevens nodig om een onderzoek uit te voeren. U kunt op het toestemmingsformulier om vertrouwelijkheid verzoeken, maar dat is iets anders dan anoniem een klacht indienen. HIPAA verbiedt vergelding voor het indienen van een klacht. Klachtenprocedure van HHS.

Lever ondersteunend bewijsmateriaal aan via het gevraagde indieningskanaal. Publiceer geen medische dossiers om het probleem aan te tonen, aangezien de gegevens daardoor nog verder kunnen worden blootgesteld.