O que acontece se alguém violar a HIPAA

Uma violação da HIPAA pode levar a medidas corretivas, ações disciplinares a funcionários e fiscalização regulamentar. Uma violação de informações de doentes não protegidas também pode desencadear obrigações de notificação. O resultado depende do que aconteceu, das informações envolvidas e das conclusões da investigação.

Para médicos ou enfermeiros, as consequências laborais podem incluir formação adicional, restrições de acesso ou ação disciplinar. Uma organização pode enfrentar uma investigação, um acordo de resolução ou sanções civis. As possíveis infrações penais podem ser encaminhadas para o Departamento de Justiça. Como o OCR aplica a HIPAA.

Um fax enviado para o destino errado mostra por que razão os factos importam. Os registos destinados a um médico assistente podem chegar a uma empresa sem qualquer relação porque alguém selecionou um contacto desatualizado. As prioridades imediatas são apurar o que foi transmitido, limitar novas divulgações e preservar as informações necessárias para avaliar o incidente.

Que consequências podem decorrer de uma violação da HIPAA?

Podem surgir várias respostas ao mesmo incidente.

A entidade empregadora examina a conduta do pessoal e se os procedimentos foram seguidos. A equipa de privacidade avalia a divulgação e as obrigações de notificação. Um regulador pode investigar a conformidade da organização.

O Gabinete de Direitos Civis do HHS, ou OCR, pode resolver casos através de conformidade voluntária, medidas corretivas ou um acordo de resolução. Também são possíveis sanções pecuniárias civis. Uma investigação pode concluir que não ocorreu qualquer violação.

Por isso, uma coima de grande destaque noutro caso não permite prever o resultado de um incidente em particular. A investigação tem de apurar a conduta e as obrigações em causa.

Para a clínica, o trabalho pode ir além da divulgação original: rever os registos afetados, contactar os destinatários, documentar as decisões, voltar a formar o pessoal e alterar o processo que permitiu o erro.

O que acontece se um médico ou enfermeiro violar a HIPAA?

Um título profissional não determina uma sanção fixa.

Um enfermeiro que abre um registo sem motivo profissional e um médico cujo consultório envia registos para o destino errado apresentam factos diferentes. A investigação deve examinar as ações da pessoa, as suas responsabilidades, as instruções recebidas e a resposta dada quando o problema se tornou conhecido.

As consequências laborais dependem das conclusões e das políticas aplicáveis. Podem envolver aconselhamento, advertência escrita, formação adicional, restrições de acesso ou medidas disciplinares mais graves.

Em casos particulares, são possíveis consequências relacionadas com o licenciamento. O HHS descreve o caso de uma enfermeira especialista que acedeu indevidamente aos registos do ex-marido: o sistema de saúde cancelou-lhe o acesso, comunicou a conduta à autoridade de licenciamento e exigiu formação corretiva em matéria de privacidade. Isto não estabelece a perda automática da licença para todos os profissionais envolvidos num incidente. Exemplos de casos do HHS.

O pessoal deve comunicar rapidamente os erros suspeitos e fazer um relato rigoroso. A organização precisa desses detalhes para conter o incidente e determinar as suas obrigações.

Um fax enviado para o número errado pode expor registos sensíveis

Num caso publicado pelo HHS, o consultório de um médico enviou por fax registos com o estado de VIH de um doente para a entidade patronal do doente, em vez de para o novo prestador de cuidados de saúde.

O funcionário responsável recebeu uma advertência escrita. O consultório reviu a folha de rosto do fax e aconselhou o pessoal sobre os procedimentos de envio por fax. O médico e o funcionário também pediram desculpa ao doente.

O erro ocorreu na fase de seleção do destino. Um serviço de fax em pleno funcionamento poderia transmitir o pacote com êxito e, mesmo assim, a informação chegar a um destinatário não autorizado.

Um número correto apresenta outro risco se o pessoal anexar os documentos do doente errado. Verificar o destino e verificar o pacote são tarefas distintas.

Enviar registos por fax sem autorização viola a HIPAA?

Não necessariamente. A HIPAA permite, em geral, que os prestadores de cuidados de saúde partilhem informações para tratamento sem uma autorização separada do doente. O fax pode ser utilizado com salvaguardas razoáveis. Podem aplicar-se requisitos adicionais a determinados registos ou circunstâncias. Orientações do HHS sobre comunicações para tratamento.

A norma do mínimo necessário também tem exceções, incluindo divulgações a prestadores de cuidados de saúde, ou pedidos feitos por estes, para tratamento. Orientações do HHS sobre o mínimo necessário.

Durante a revisão de um incidente, determine a finalidade e o destinatário antes de concluir que a falta de autorização prova uma violação. Do mesmo modo, a permissão para enviar registos a um clínico assistente não autoriza o envio a uma entidade patronal sem relação ou a qualquer outro destino não pretendido.

O que fazer após detetar uma possível divulgação por fax

Imagine que um consultório liga a informar que a sua clínica enviou registos de alguém que não é seu doente.

Registe os dados de quem ligou e notifique prontamente o responsável pela privacidade ou o contacto designado para incidentes. Partilhe os factos através do canal de comunicação de incidentes da organização, limitando o acesso às informações dos doentes a quem está a tratar da resposta.

Limitar novas divulgações

Verifique se algo permanece em fila ou em curso e se a transmissão restante pode ser interrompida. Não presuma que ter descoberto o erro a tempo de cancelar uma tarefa significa que nenhuma página chegou ao destinatário.

Interromper uma transmissão pendente não permite recuperar páginas já entregues. Eliminar a cópia do remetente não remove a cópia recebida.

A equipa de privacidade deve coordenar o contacto com o destinatário não pretendido, incluindo pedidos para impedir qualquer utilização ou divulgação adicional e instruções para o tratamento dos documentos. Registe o que o destinatário afirmar e quaisquer medidas de mitigação concluídas.

Preserve as provas relevantes

Mantenha o pacote de origem e os detalhes da transmissão disponíveis para a investigação.

As informações úteis incluem:

• O destino introduzido e o destinatário pretendido.
• A conta de envio, a data e a hora.
• O estado da transmissão e o número de páginas.
• Os documentos anexados.
• Quando o problema foi descoberto e quem o comunicou.
• Se outras transmissões podem ter sido afetadas.

Não apague o histórico para arrumar a conta nem substitua o pacote por uma versão corrigida sem preservar o que foi efetivamente enviado.

Os relatórios de confirmação do Fax.Plus documentam os detalhes da transmissão, incluindo o estado, a data, a hora e o número de páginas. Podem ajudar a estabelecer a sequência técnica dos acontecimentos. Relatórios de confirmação do Fax.Plus. Estabeleça os pré-requisitos da conta para o envio de fax organizacional com Fax.Plus antes de o pessoal o utilizar para informações de doentes.

Estabeleça o âmbito

A equipa precisa de determinar se se tratou de um único destino incorreto, de um anexo do doente errado ou de um problema mais abrangente.

Um contacto guardado com o número errado pode afetar outros registos. Um pacote composto por vários ficheiros pode conter informações sobre mais do que um doente.

Distinga os factos verificados das suposições. Se o relato do destinatário estiver incompleto, documente o que continua por apurar em vez de preencher a lacuna com uma conclusão favorável.

Quando é que um incidente exige notificação de violação?

Presume-se que uma utilização ou divulgação indevida de PHI constitui uma violação, a menos que uma exceção aplicável ou uma avaliação documentada estabeleça uma baixa probabilidade de que as informações tenham sido comprometidas.

O HHS identifica quatro fatores de avaliação:

• A natureza e a extensão das informações envolvidas.
• Quem as recebeu ou utilizou sem autorização.
• Se foram efetivamente obtidas ou visualizadas.
• Em que medida o risco foi mitigado.

A organização deve documentar a sua decisão sobre a notificação. A garantia de um destinatário pode contribuir para a avaliação, mas o pessoal não deve considerá-la como a determinação completa.

Em caso de violação de PHI não protegida que exija notificação individual, o HHS exige que a notificação seja feita sem atrasos injustificados e, no máximo, 60 dias após a descoberta. Isto não permite adiar a investigação durante 60 dias. Outras notificações têm os seus próprios requisitos. Orientações do HHS sobre notificação de violações.

A equipa de privacidade deve coordenar o processo de notificação para que as pessoas afetadas recebam informações rigorosas através dos canais adequados.

Corrija a causa do erro

Siga o percurso do documento através das decisões que originaram a divulgação.

O número foi copiado de uma fonte verificada? Um contacto guardado continha dados desatualizados? O pessoal conseguia distinguir doentes com nomes semelhantes? O anexo de um doente anterior ficou no pacote?

As conclusões devem orientar a correção. Atualizar um contacto resolve um problema de número errado; um erro na composição dos registos exige uma alteração diferente. A formação deve mostrar ao pessoal a verificação específica que falhou.

O acesso também merece atenção. Reveja quem pode abrir os registos recebidos, utilizar postos de trabalho partilhados e alterar as atribuições de números de receção. Atribua ao pessoal responsabilidades claras para verificar os resultados das transmissões e comunicar destinos inesperados.

Com o Fax.Plus, o estado „Success“ significa que o terminal de fax recetor confirmou a receção com êxito. Não comprova que o destino estava autorizado, que a pessoa pretendida leu o pacote nem que este chegou ao processo do doente correto. Estado de transmissão do Fax.Plus.

Para PHI, o Fax.Plus exige Enterprise com Advanced Security Controls ativados e um BAA assinado. Os procedimentos do pessoal devem também abordar destinatários, documentos e acesso. Requisitos HIPAA do Fax.Plus.

Durante uma investigação, coordene a preservação das provas com as pessoas que gerem a retenção. A eliminação automática do Fax.Plus é irreversível. Não presuma que a eliminação agendada é suspensa porque um incidente está a ser analisado. Controlos de retenção do Fax.Plus.

O que os doentes podem fazer perante uma suspeita de violação

Se acredita que os seus registos chegaram ao destinatário errado, contacte o gabinete de privacidade do prestador e descreva o que sabe.

Inclua a data aproximada, a organização envolvida e a forma como descobriu o problema. Guarde a correspondência relevante. Pergunte que informações foram afetadas, o que a organização já fez e a quem se deve dirigir para esclarecer outras dúvidas.

Também pode apresentar uma queixa ao OCR. O HHS exige, em geral, que a queixa seja apresentada no prazo de 180 dias a contar da data em que tomou conhecimento do ato ou da omissão, sendo possíveis prorrogações por motivo justificado. Identifique a entidade e descreva a conduta suspeita.

O OCR exige o seu nome e os seus dados de contacto para investigar. Pode solicitar confidencialidade no formulário de consentimento, mas isso é diferente de apresentar uma queixa anónima. A HIPAA proíbe represálias por apresentar uma queixa. Processo de queixa do HHS.

Forneça provas de apoio através do canal de envio solicitado. Evite publicar registos médicos para demonstrar o problema, uma vez que isso pode expor ainda mais as informações.