Co się dzieje, gdy ktoś naruszy HIPAA

Naruszenie HIPAA może prowadzić do działań naprawczych, kar dyscyplinarnych wobec pracowników i egzekwowania przepisów przez organy regulacyjne. Naruszenie dotyczące niezabezpieczonych informacji o pacjentach może także wywołać obowiązki w zakresie powiadomienia. Wynik zależy od tego, co się stało, jakich informacji dotyczyło zdarzenie oraz od ustaleń postępowania wyjaśniającego.

W przypadku lekarza lub pielęgniarki konsekwencje w miejscu pracy mogą obejmować ponowne szkolenie, ograniczenie dostępu lub działania dyscyplinarne. Organizacja może zostać objęta postępowaniem wyjaśniającym, ugodą (resolution agreement) lub cywilnymi karami pieniężnymi. Możliwe przestępstwa mogą zostać przekazane do Departamentu Sprawiedliwości. Jak OCR egzekwuje przepisy HIPAA.

Faks wysłany pod błędny adres pokazuje, dlaczego fakty mają znaczenie. Dokumentacja przeznaczona dla lekarza prowadzącego może trafić do niezwiązanej z nim firmy, ponieważ ktoś wybrał nieaktualny kontakt. Najważniejsze od razu jest ustalenie, co zostało przesłane, ograniczenie dalszego ujawniania oraz zabezpieczenie informacji potrzebnych do oceny zdarzenia.

Jakie konsekwencje może mieć naruszenie HIPAA?

To samo zdarzenie może pociągnąć za sobą kilka różnych reakcji.

Pracodawca bada postępowanie pracowników i to, czy przestrzegano procedur. Zespół ds. prywatności ocenia ujawnienie oraz obowiązki w zakresie powiadomienia. Organ regulacyjny może zbadać zgodność organizacji z przepisami.

Urząd ds. Praw Obywatelskich HHS (HHS Office for Civil Rights, OCR) może zakończyć sprawy poprzez dobrowolne dostosowanie się do przepisów, działania naprawcze lub ugodę (resolution agreement). Możliwe są też cywilne kary pieniężne. Postępowanie wyjaśniające może ustalić, że do naruszenia nie doszło.

Głośna kara z innej sprawy nie pozwala więc przewidzieć wyniku konkretnego zdarzenia. Postępowanie wyjaśniające musi ustalić, jakiego postępowania i jakich obowiązków dotyczyło.

W przypadku placówki praca może wykraczać poza samo pierwotne ujawnienie: obejmuje przegląd dotkniętej dokumentacji, kontakt z odbiorcami, dokumentowanie decyzji, ponowne szkolenie pracowników oraz zmianę procesu, który umożliwił błąd.

Co się dzieje, gdy lekarz lub pielęgniarka naruszy HIPAA?

Tytuł zawodowy nie determinuje z góry określonej kary.

Pielęgniarka, która otwiera dokumentację bez uzasadnienia związanego z pracą, oraz lekarz, którego gabinet wysyła dokumentację pod błędny adres, to różne stany faktyczne. Postępowanie wyjaśniające powinno zbadać działania danej osoby, jej obowiązki, otrzymane instrukcje oraz reakcję po ujawnieniu problemu.

Konsekwencje w miejscu pracy zależą od ustaleń i obowiązujących zasad. Mogą obejmować rozmowę pouczającą, pisemne upomnienie, ponowne szkolenie, ograniczenie dostępu lub poważniejsze kary dyscyplinarne.

W szczególnych przypadkach możliwe są konsekwencje związane z prawem wykonywania zawodu. HHS opisuje przypadek pielęgniarki praktykującej, która bezprawnie uzyskała dostęp do dokumentacji swojego byłego męża: system opieki zdrowotnej odebrał jej dostęp, zgłosił zachowanie organowi nadzorującemu uprawnienia zawodowe i wymagał szkolenia naprawczego z zakresu prywatności. Nie oznacza to automatycznej utraty uprawnień przez każdego pracownika zaangażowanego w zdarzenie. Przykłady spraw HHS.

Pracownicy powinni bez zwłoki zgłaszać podejrzenia błędów i rzetelnie opisywać przebieg zdarzenia. Organizacja potrzebuje tych informacji, aby opanować incydent i ustalić swoje obowiązki.

Faks wysłany na zły numer może ujawnić wrażliwą dokumentację

W opublikowanej przez HHS sprawie gabinet lekarski wysłał faksem dokumentację zawierającą informację o statusie HIV pacjenta do jego pracodawcy zamiast do nowego świadczeniodawcy opieki zdrowotnej.

Odpowiedzialny pracownik otrzymał pisemne upomnienie. Placówka zmieniła stronę tytułową faksu i przeprowadziła rozmowy pouczające z personelem na temat procedur wysyłania faksów. Lekarz i pracownik przeprosili także pacjenta.

Błąd wystąpił na etapie wyboru adresata. Sprawnie działająca usługa faksowa mogła pomyślnie przesłać dokument, a informacje i tak trafiły do nieuprawnionego odbiorcy.

Kolejne ryzyko pojawia się, gdy numer jest poprawny, ale pracownicy dołączą dokumenty niewłaściwego pacjenta. Sprawdzenie adresata i sprawdzenie zawartości przesyłki to osobne zadania.

Czy wysyłanie dokumentacji faksem bez upoważnienia narusza HIPAA?

Niekoniecznie. HIPAA co do zasady zezwala świadczeniodawcom opieki zdrowotnej na udostępnianie informacji w celu leczenia bez odrębnego upoważnienia pacjenta. Faks można stosować przy zachowaniu rozsądnych zabezpieczeń. W przypadku niektórych dokumentów lub okoliczności mogą obowiązywać dodatkowe wymogi. Wytyczne HHS dotyczące komunikacji w celu leczenia.

Standard minimalnego niezbędnego zakresu (minimum necessary) również ma wyjątki, w tym ujawnienia świadczeniodawcom opieki zdrowotnej w celu leczenia lub na ich żądanie. Wytyczne HHS dotyczące minimalnego niezbędnego zakresu.

Podczas przeglądu incydentu należy ustalić cel i odbiorcę, zanim uzna się, że brak upoważnienia dowodzi naruszenia. Jednocześnie zgoda na wysłanie dokumentacji lekarzowi prowadzącemu nie oznacza zgody na wysłanie jej niezwiązanemu pracodawcy ani na inny niezamierzony adres.

Co zrobić po wykryciu możliwego ujawnienia faksem

Załóżmy, że dzwoni do Ciebie placówka z informacją, że Twój gabinet wysłał dokumentację osoby, która nie jest jej pacjentem.

Zanotuj dane osoby dzwoniącej i bez zwłoki powiadom inspektora ds. prywatności lub wyznaczoną osobę kontaktową ds. incydentów. Przekaż fakty za pośrednictwem organizacyjnego kanału zgłaszania incydentów, ograniczając dostęp do informacji o pacjentach do osób zajmujących się reakcją na zdarzenie.

Ogranicz dalsze ujawnianie

Sprawdź, czy coś nadal znajduje się w kolejce lub jest w trakcie wysyłania oraz czy pozostałą transmisję można zatrzymać. Nie zakładaj, że wykrycie błędu na tyle wcześnie, by anulować zadanie, oznacza, że żadne strony nie dotarły do odbiorcy.

Zatrzymanie oczekującej transmisji nie pozwala odzyskać stron, które zostały już dostarczone. Usunięcie kopii nadawcy nie usuwa kopii, którą otrzymał odbiorca.

Zespół ds. prywatności powinien koordynować kontakt z niezamierzonym odbiorcą, w tym prośby o zaprzestanie dalszego wykorzystywania lub ujawniania informacji oraz instrukcje dotyczące postępowania z dokumentami. Należy odnotować, co odbiorca oświadczył, oraz wszelkie zrealizowane działania ograniczające skutki.

Zabezpiecz istotne dowody

Oryginalny zestaw dokumentów i szczegóły transmisji powinny pozostać dostępne na potrzeby postępowania wyjaśniającego.

Przydatne informacje obejmują:

• Wprowadzony numer docelowy i zamierzonego odbiorcę.
• Konto nadawcze oraz datę i godzinę.
• Status transmisji i liczbę stron.
• Załączone dokumenty.
• Moment wykrycia problemu i osobę, która go zgłosiła.
• Czy mogły zostać objęte także inne transmisje.

Nie usuwaj historii, aby uporządkować konto, ani nie zastępuj zestawu dokumentów poprawioną wersją bez zachowania tego, co faktycznie zostało wysłane.

Raporty potwierdzeń Fax.Plus dokumentują szczegóły transmisji, w tym status, datę, godzinę i liczbę stron. Mogą pomóc w ustaleniu technicznej sekwencji zdarzeń. Raporty potwierdzeń Fax.Plus. Zanim pracownicy zaczną używać faksowania organizacyjnego w Fax.Plus do przesyłania informacji o pacjentach, należy spełnić wymagania wstępne dotyczące konta.

Ustal zakres zdarzenia

Zespół musi ustalić, czy był to jeden błędny numer docelowy, załączenie dokumentów niewłaściwego pacjenta, czy szerszy problem.

Zapisany kontakt z błędnym numerem może wpływać na inne dokumenty. Zestaw złożony z kilku plików może zawierać informacje o więcej niż jednym pacjencie.

Należy odróżniać zweryfikowane fakty od założeń. Jeśli relacja odbiorcy jest niepełna, trzeba udokumentować, co pozostaje nieznane, zamiast wypełniać lukę korzystnym wnioskiem.

Kiedy incydent wymaga powiadomienia o naruszeniu?

Niedozwolone wykorzystanie lub ujawnienie PHI uznaje się za naruszenie, chyba że zastosowanie ma wyjątek albo udokumentowana ocena wykaże niskie prawdopodobieństwo, że informacje zostały naruszone.

HHS wskazuje cztery czynniki oceny:

• Charakter i zakres danych, których dotyczy zdarzenie.
• Kto otrzymał te dane lub je wykorzystał bez upoważnienia.
• Czy dane zostały faktycznie pozyskane lub wyświetlone.
• W jakim stopniu ryzyko zostało ograniczone.

Organizacja musi udokumentować swoją decyzję w sprawie powiadomienia. Zapewnienie odbiorcy może być elementem oceny, ale pracownicy nie powinni traktować go jako całości ustaleń.

W przypadku naruszenia niezabezpieczonych PHI wymagającego indywidualnego powiadomienia HHS wymaga powiadomienia bez nieuzasadnionej zwłoki, nie później niż 60 dni od wykrycia. Nie oznacza to zgody na odkładanie postępowania wyjaśniającego o 60 dni. Inne powiadomienia mają własne wymagania. Wytyczne HHS dotyczące powiadamiania o naruszeniach.

Zespół ds. prywatności powinien koordynować proces powiadamiania, aby osoby, których dotyczy naruszenie, otrzymały dokładne informacje odpowiednimi kanałami.

Usuń przyczynę błędu

Prześledź dokument wstecz przez decyzje, które doprowadziły do ujawnienia.

Czy numer został skopiowany ze zweryfikowanego źródła? Czy zapisany kontakt zawierał nieaktualne dane? Czy pracownicy potrafili odróżnić pacjentów o podobnych nazwiskach? Czy załącznik poprzedniego pacjenta został w zestawie?

Ustalenia powinny wyznaczać kierunek korekty. Aktualizacja kontaktu rozwiązuje problem błędnego numeru; błąd w kompletowaniu dokumentacji wymaga innej zmiany. Szkolenie powinno pokazywać pracownikom konkretną kontrolę, która zawiodła.

Uwagi wymaga także dostęp. Należy sprawdzić, kto może otwierać dokumenty przychodzące, korzystać ze współdzielonych stanowisk i zmieniać przypisania numerów odbiorczych. Pracownicy powinni mieć jasno określone obowiązki dotyczące sprawdzania wyników transmisji i zgłaszania nieoczekiwanych numerów docelowych.

W Fax.Plus status „Success” oznacza, że odbierający punkt końcowy faksu potwierdził udany odbiór. Nie dowodzi to, że numer docelowy był upoważniony, że zamierzona osoba przeczytała dokumenty ani że trafiły one do właściwej karty pacjenta. Status transmisji w Fax.Plus.

W przypadku PHI Fax.Plus wymaga planu Enterprise z włączonymi Advanced Security Controls oraz podpisanej umowy BAA. Procedury dla pracowników muszą również uwzględniać odbiorców, dokumenty i dostęp. Wymagania HIPAA w Fax.Plus.

Podczas postępowania wyjaśniającego należy koordynować zabezpieczanie dowodów z osobami zarządzającymi retencją. Automatyczne usuwanie w Fax.Plus jest nieodwracalne. Nie należy zakładać, że zaplanowane usunięcie zostaje wstrzymane, ponieważ trwa analiza incydentu. Mechanizmy retencji w Fax.Plus.

Co pacjenci mogą zrobić w razie podejrzenia naruszenia

Jeśli uważasz, że Twoja dokumentacja trafiła do niewłaściwego odbiorcy, skontaktuj się z biurem ochrony prywatności u danego świadczeniodawcy i opisz, co wiesz.

Podaj przybliżoną datę, zaangażowaną organizację oraz sposób, w jaki wykryto problem. Zachowaj odpowiednią korespondencję. Zapytaj, jakie informacje zostały objęte incydentem, jakie działania podjęła organizacja i z kim się kontaktować w razie dalszych pytań.

Możesz też złożyć skargę do OCR. HHS co do zasady wymaga jej złożenia w ciągu 180 dni od momentu, gdy dowiedziano się o działaniu lub zaniechaniu; w uzasadnionych przypadkach możliwe są przedłużenia. Wskaż podmiot i opisz podejrzewane postępowanie.

OCR wymaga podania imienia i nazwiska oraz danych kontaktowych, aby przeprowadzić postępowanie. Na formularzu zgody można poprosić o zachowanie poufności, ale to coś innego niż złożenie skargi anonimowo. HIPAA zakazuje działań odwetowych za złożenie skargi. Procedura składania skarg do HHS.

Przekaż dowody potwierdzające przez wskazany kanał zgłoszeniowy. Unikaj publikowania dokumentacji medycznej w celu wykazania problemu, ponieważ może to jeszcze bardziej ujawnić te informacje.