Последствия нарушения HIPAA

Нарушение HIPAA может повлечь корректирующие меры, дисциплинарные взыскания в отношении сотрудников и меры регуляторного принуждения. Утечка незащищённых данных пациентов также может создать обязанность направить уведомления. Последствия зависят от обстоятельств произошедшего, характера затронутой информации и выводов расследования.

Для врача или медсестры последствия на работе могут включать повторное обучение, ограничение доступа или дисциплинарное взыскание. Организации могут грозить расследование, соглашение об урегулировании или гражданско-правовые штрафы. Возможные уголовные нарушения могут быть переданы в Министерство юстиции. Как OCR обеспечивает соблюдение HIPAA.

Факс, отправленный не по адресу, показывает, почему важны фактические обстоятельства. Документы, предназначенные для лечащего врача, могут попасть в стороннюю компанию, если сотрудник выбрал устаревший контакт. Первоочередные задачи: установить, что было передано, предотвратить дальнейшее раскрытие и сохранить информацию, необходимую для оценки инцидента.

Какие последствия может повлечь нарушение HIPAA?

Один и тот же инцидент может повлечь несколько видов реагирования.

Работодатель изучает действия сотрудников и соблюдение процедур. Группа по вопросам конфиденциальности оценивает раскрытие информации и обязанности по уведомлению. Регулятор может проверить соблюдение требований организацией.

Управление по защите гражданских прав Министерства здравоохранения и социальных служб США (HHS Office for Civil Rights, OCR) может урегулировать дело путём добровольного соблюдения требований, корректирующих мер или соглашения об урегулировании. Возможны и гражданско-правовые денежные штрафы. По итогам расследования может быть установлено, что нарушения не было.

Поэтому громкий штраф по другому делу не позволяет предсказать исход конкретного инцидента. В ходе расследования необходимо установить, какие действия были совершены и какие обязанности затронуты.

Для медицинской практики работа может выходить за рамки первоначального раскрытия: нужно проверить затронутые записи, связаться с получателями, задокументировать принятые решения, повторно обучить сотрудников и изменить процесс, допустивший ошибку.

Что будет, если врач или медсестра нарушит HIPAA?

Должность сама по себе не определяет фиксированное наказание.

Медсестра, открывшая карту без рабочей необходимости, и врач, чей кабинет отправил документы не по адресу, — это разные ситуации. В ходе расследования нужно изучить действия сотрудника, его обязанности, полученные инструкции и реакцию после того, как проблема стала известна.

Последствия на работе зависят от выводов расследования и применимых правил организации. Они могут включать беседу, письменное предупреждение, повторное обучение, ограничение доступа или более строгие дисциплинарные меры.

В отдельных случаях возможны последствия, связанные с лицензированием. HHS описывает случай, когда практикующая медсестра неправомерно получила доступ к записям бывшего мужа: медицинская система прекратила её доступ, сообщила о нарушении в лицензирующий орган и потребовала пройти обучение по вопросам конфиденциальности. Это не означает автоматической потери лицензии для каждого специалиста, причастного к инциденту. Примеры случаев от HHS.

Сотрудники должны незамедлительно сообщать о предполагаемых ошибках и излагать обстоятельства точно. Эти сведения нужны организации, чтобы локализовать инцидент и определить свои обязанности.

Факс, отправленный на неверный номер, может раскрыть конфиденциальные документы

В опубликованном случае HHS кабинет врача отправил по факсу документы со сведениями о ВИЧ-статусе пациента работодателю пациента вместо нового лечащего учреждения.

Ответственный сотрудник получил письменное предупреждение. Практика изменила титульный лист для факсов и провела с персоналом беседу о порядке отправки факсов. Врач и сотрудник также принесли пациенту извинения.

Ошибка произошла на этапе выбора адресата. Исправная служба факсов могла успешно передать пакет документов, хотя информация всё равно попала к неуполномоченному получателю.

Даже при верном номере остаётся другой риск: сотрудники могут приложить документы не того пациента. Проверка адресата и проверка пакета документов — это отдельные задачи.

Нарушает ли отправка документов по факсу без разрешения требования HIPAA?

Не обязательно. HIPAA, как правило, разрешает медицинским организациям передавать информацию для лечения без отдельного разрешения пациента. Факс можно использовать при наличии разумных мер защиты. Для отдельных записей или обстоятельств могут действовать дополнительные требования. Рекомендации HHS по обмену информацией в целях лечения.

У стандарта минимально необходимого объёма информации также есть исключения, в том числе для раскрытия информации медицинским организациям и их запросов в целях лечения. Рекомендации HHS по минимально необходимому объёму.

При проверке инцидента сначала установите цель передачи и получателя, а затем решайте, доказывает ли отсутствие разрешения нарушение. Вместе с тем право отправлять документы лечащему врачу не означает права отправлять их стороннему работодателю или на иной непредусмотренный адрес.

Что делать после обнаружения возможного раскрытия информации по факсу

Допустим, вам позвонили из другого кабинета и сообщили, что ваша практика отправила документы человека, который не является его пациентом.

Запишите данные звонившего и незамедлительно уведомите ответственного за конфиденциальность или назначенного контактного сотрудника по инцидентам. Передайте сведения через установленный в организации канал сообщений об инцидентах. Доступ к информации о пациентах должен быть только у тех, кто участвует в реагировании.

Предотвратите дальнейшее раскрытие

Проверьте, остаётся ли что-либо в очереди или в процессе отправки и можно ли остановить оставшуюся передачу. Не считайте, что если ошибка обнаружена вовремя и задачу удалось отменить, то ни одна страница не дошла до получателя.

Остановка ожидающей передачи не вернёт уже доставленные страницы. Удаление копии отправителя не удаляет копию, полученную адресатом.

Группа по вопросам конфиденциальности должна координировать контакт с ошибочным получателем. Это включает запросы не использовать и не раскрывать информацию дальше, а также инструкции по обращению с документами. Зафиксируйте, что сообщил получатель, и все принятые меры по снижению последствий.

Сохраните соответствующие доказательства

Сохраните исходный пакет документов и сведения о передаче, чтобы они были доступны для расследования.

Полезная информация:

• Введённый номер назначения и предполагаемый получатель.
• Учётная запись отправителя, дата и время.
• Статус передачи и количество страниц.
• Прикреплённые документы.
• Когда была обнаружена проблема и кто о ней сообщил.
• Могли ли пострадать другие передачи.

Не удаляйте историю ради наведения порядка в учётной записи. Не заменяйте пакет исправленной версией, не сохранив то, что было отправлено на самом деле.

Отчёты о подтверждении Fax.Plus фиксируют сведения о передаче, включая статус, дату, время и количество страниц. Они помогают восстановить техническую последовательность событий. Отчёты о подтверждении Fax.Plus. Прежде чем сотрудники начнут использовать сервис для данных пациентов, убедитесь, что выполнены требования к учётной записи для отправки fax через Fax.Plus в организации.

Определите масштаб

Команде нужно выяснить, был ли это один неверный номер назначения, вложение с данными не того пациента или более широкая проблема.

Сохранённый контакт с неверным номером может затронуть и другие записи. Пакет, собранный из нескольких файлов, может содержать информацию о нескольких пациентах.

Отделяйте проверенные факты от предположений. Если сведения получателя неполны, зафиксируйте, что остаётся неизвестным. Не заполняйте пробел выгодным для вас выводом.

Когда инцидент требует уведомления об утечке данных?

Недопустимое использование или раскрытие PHI считается утечкой, если применимое исключение или задокументированная оценка не устанавливает низкую вероятность компрометации информации.

HHS выделяет четыре фактора оценки:

• Характер и объём затронутой информации.
• Кто получил или использовал её без разрешения.
• Была ли информация фактически получена или просмотрена.
• Насколько удалось снизить риск.

Организация должна задокументировать решение об уведомлении. Заверения получателя могут учитываться при оценке, но сотрудникам не следует считать их достаточным основанием для окончательного вывода.

Если утечка незащищённых PHI требует индивидуального уведомления, HHS требует направить его без необоснованной задержки и не позднее 60 дней после обнаружения. Это не даёт права откладывать расследование на 60 дней. Для других уведомлений действуют собственные требования. Руководство HHS по уведомлению об утечках.

Группа по вопросам конфиденциальности должна координировать процесс уведомления, чтобы затронутые лица получили точную информацию по надлежащим каналам.

Устраните причину ошибки

Проследите путь документа через решения, которые привели к раскрытию.

Был ли номер скопирован из проверенного источника? Содержал ли сохранённый контакт устаревшие данные? Могли ли сотрудники отличить пациентов со схожими именами? Не осталось ли в пакете вложение предыдущего пациента?

Выводы расследования должны определять меры по исправлению. Обновление контакта решает проблему неверного номера, а ошибка при формировании пакета документов требует других изменений. Обучение должно показать сотрудникам конкретную проверку, которая не сработала.

Внимания требует и доступ. Проверьте, кто может открывать входящие документы, пользоваться общими рабочими станциями и менять назначение принимающих номеров. Чётко определите обязанности сотрудников: проверять результаты передачи и сообщать о неожиданных адресатах вышестоящим лицам.

В Fax.Plus статус «Успешно» означает, что принимающая конечная точка fax подтвердила успешный приём. Он не подтверждает, что адресат был уполномочен получать документы, что нужный человек прочитал пакет или что документы попали в карту нужного пациента. Статус передачи Fax.Plus.

Для работы с PHI Fax.Plus требует тариф Enterprise с включёнными Advanced Security Controls и подписанное BAA. Процедуры для сотрудников также должны охватывать получателей, документы и доступ. Требования HIPAA для Fax.Plus.

В ходе расследования согласуйте сохранение доказательств с сотрудниками, отвечающими за хранение данных. Автоматическое удаление в Fax.Plus необратимо. Не рассчитывайте, что плановое удаление приостанавливается на время проверки инцидента. Настройки хранения данных в Fax.Plus.

Что могут сделать пациенты при подозрении на нарушение

Если вы считаете, что ваши медицинские документы попали не тому получателю, обратитесь в отдел конфиденциальности поставщика медицинских услуг и сообщите всё, что вам известно.

Укажите примерную дату, организацию и обстоятельства, при которых вы обнаружили проблему. Сохраните всю относящуюся к делу переписку. Узнайте, какие сведения затронуты, какие меры уже приняла организация и к кому обращаться с дополнительными вопросами.

Вы также можете подать жалобу в OCR. Как правило, HHS требует подать её в течение 180 дней с момента, когда вам стало известно о действии или бездействии. При наличии уважительных причин срок могут продлить. Назовите организацию и опишите предполагаемое нарушение.

Для расследования OCR требует указать ваше имя и контактные данные. В форме согласия можно запросить конфиденциальность, но это не то же самое, что анонимная подача жалобы. HIPAA запрещает преследование за подачу жалобы. Порядок рассмотрения жалоб в HHS.

Передайте подтверждающие материалы через указанный канал подачи. Не публикуйте медицинские документы, чтобы доказать наличие проблемы: это может привести к дальнейшему раскрытию информации.