Biri HIPAA'yı İhlal Ederse Ne Olur

Bir HIPAA ihlali; düzeltici eyleme, çalışanlara yönelik disiplin işlemlerine ve düzenleyici yaptırımlara yol açabilir. Güvenliği sağlanmamış hasta bilgilerinin ihlali ayrıca bildirim yükümlülüklerini de tetikleyebilir. Sonuç; yaşananlara, ilgili bilgilere ve soruşturma bulgularına bağlıdır.

Bir doktor veya hemşire için iş yeri sonuçları arasında yeniden eğitim, erişim kısıtlamaları veya disiplin işlemi yer alabilir. Bir kuruluş ise soruşturma, çözüm anlaşması veya hukuki cezalarla karşılaşabilir. Olası cezai ihlaller Adalet Bakanlığı'na (Department of Justice) havale edilebilir. OCR, HIPAA'yı nasıl uygular?.

Yanlış yönlendirilmiş bir fax, olguların neden önemli olduğunu gösterir. Tedavi eden bir hekime gönderilmesi amaçlanan kayıtlar, birinin güncelliğini yitirmiş bir kişi bilgisini seçmesi nedeniyle ilgisiz bir işletmeye ulaşabilir. Öncelikler; nelerin iletildiğini belirlemek, başka ifşaları sınırlamak ve olayı değerlendirmek için gereken bilgileri korumaktır.

Bir HIPAA ihlalinin ardından hangi sonuçlar doğabilir?

Aynı olayın ardından birden fazla yanıt gelebilir.

İşveren, personelin davranışını ve prosedürlere uyulup uyulmadığını inceler. Gizlilik ekibi ifşayı ve bildirim yükümlülüklerini değerlendirir. Bir düzenleyici kurum ise kuruluşun uyumunu soruşturabilir.

HHS Sivil Haklar Ofisi (OCR), davaları gönüllü uyum, düzeltici eylem veya çözüm anlaşması yoluyla sonuçlandırabilir. Para cinsinden hukuki cezalar da mümkündür. Bir soruşturma, hiçbir ihlalin gerçekleşmediğini de ortaya koyabilir.

Bu nedenle başka bir davadaki manşetlere yansıyan bir para cezası, belirli bir olayın sonucunu öngörmez. Soruşturmanın, söz konusu davranışı ve yükümlülükleri ortaya koyması gerekir.

Muayenehane için çalışma, ilk ifşanın ötesine uzanabilir: etkilenen kayıtları incelemek, alıcılarla iletişime geçmek, kararları belgelemek, personeli yeniden eğitmek ve hataya izin veren süreci değiştirmek.

Bir doktor veya hemşire HIPAA'yı ihlal ederse ne olur?

Mesleki unvan, sabit bir cezayı belirlemez.

İşle ilgili bir nedeni olmadan bir kaydı açan hemşire ile muayenehanesi kayıtları yanlış hedefe gönderen hekim farklı olgular ortaya koyar. Soruşturma; kişinin eylemlerini, sorumluluklarını, aldığı talimatları ve sorun fark edildikten sonra verdiği yanıtı incelemelidir.

İş yeri sonuçları, bulgulara ve geçerli politikalara bağlıdır. Bunlar arasında danışmanlık, yazılı uyarı, yeniden eğitim, erişim kısıtlamaları veya daha ciddi disiplin işlemleri yer alabilir.

Belirli durumlarda lisansla ilgili sonuçlar mümkündür. HHS, eski kocasının kayıtlarına usulsüz biçimde erişen bir hemşire uygulayıcıyı anlatır: sağlık sistemi kişinin erişimini sonlandırmış, davranışı lisans otoritesine bildirmiş ve düzeltici gizlilik eğitimi almasını şart koşmuştur. Bu, bir olayda yer alan her profesyonel için otomatik lisans kaybı anlamına gelmez. HHS vaka örnekleri.

Personel, şüpheli hataları hemen bildirmeli ve doğru bir açıklama yapmalıdır. Kuruluşun olayı kontrol altına almak ve yükümlülüklerini belirlemek için bu ayrıntılara ihtiyacı vardır.

Yanlış numaraya gönderilen bir fax, hassas kayıtları açığa çıkarabilir

Yayımlanmış bir HHS vakasında, bir hekimin muayenehanesi, bir hastanın HIV durumunu içeren kayıtları yeni sağlık hizmeti sağlayıcısı yerine hastanın işverenine faxladı.

Sorumlu çalışana yazılı uyarı verildi. Muayenehane fax kapak sayfasını gözden geçirdi ve personele fax gönderme prosedürleri konusunda danışmanlık sağladı. Hekim ve çalışan ayrıca hastadan özür diledi.

Hata, hedef seçimi aşamasında yaşandı. Düzgün çalışan bir fax hizmeti paketi başarıyla iletebilirken bilgiler yine de yetkisiz bir alıcıya ulaşabilir.

Personel yanlış hastanın belgelerini eklerse doğru bir numara başka bir risk doğurur. Hedefi kontrol etmek ve paketi kontrol etmek ayrı görevlerdir.

Kayıtları yetkilendirme olmadan faxlamak HIPAA'yı ihlal eder mi?

Mutlaka değil. HIPAA, sağlık hizmeti sağlayıcılarının tedavi amacıyla bilgileri ayrı bir hasta yetkilendirmesi olmadan paylaşmasına genellikle izin verir. Fax, makul güvenlik önlemleriyle kullanılabilir. Belirli kayıtlar veya durumlar için ek gereklilikler geçerli olabilir. Tedavi iletişimlerine ilişkin HHS rehberi.

Asgari gereklilik standardının da, sağlık hizmeti sağlayıcılarına yönelik veya onlar tarafından tedavi amacıyla yapılan ifşalar ve talepler dahil olmak üzere istisnaları vardır. HHS asgari gereklilik rehberi.

Bir olay incelemesi sırasında, yetkilendirmenin eksik olmasının bir ihlali kanıtladığına karar vermeden önce amacı ve alıcıyı belirleyin. Aynı şekilde, kayıtları tedavi eden bir klinisyene gönderme izni, bunları ilgisiz bir işverene veya istenmeyen başka bir hedefe gönderme yetkisi vermez.

Olası bir fax ifşası fark edildikten sonra yapılacaklar

Bir muayenehanenin arayarak, sizin muayenehanenizin kendi hastası olmayan birine ait kayıtlar gönderdiğini bildirdiğini varsayalım.

Arayan kişinin bilgilerini kaydedin ve gizlilik görevlisini veya belirlenmiş olay irtibat kişisini hemen bilgilendirin. Olguları kuruluşun olay bildirim kanalı üzerinden paylaşın; hasta bilgilerine erişimi yanıt sürecini yürütenlerle sınırlı tutun.

Başka ifşaları sınırlayın

Kuyrukta veya işlemde bekleyen bir şey olup olmadığını ve kalan iletimin durdurulup durdurulamayacağını kontrol edin. Hatayı bir görevi iptal edebilecek kadar erken fark etmenin, hiçbir sayfanın alıcıya ulaşmadığı anlamına geldiğini varsaymayın.

Bekleyen bir iletimi durdurmak, zaten teslim edilmiş sayfaları geri getiremez. Gönderenin kopyasını silmek, alınan kopyayı ortadan kaldırmaz.

Gizlilik ekibi, amaçlanmayan alıcıyla iletişimi koordine etmelidir; buna bilgilerin daha fazla kullanılmasını veya ifşa edilmesini önleme talepleri ve belgelerin nasıl işleneceğine ilişkin talimatlar da dahildir. Alıcının söylediklerini ve tamamlanan her türlü hafifletme önlemini kaydedin.

İlgili kanıtları koruyun

Kaynak belge paketini ve iletim ayrıntılarını soruşturma için erişilebilir tutun.

Yararlı bilgiler şunlardır:

• Girilen hedef numara ve amaçlanan alıcı.
• Gönderen hesap, tarih ve saat.
• İletim durumu ve sayfa sayısı.
• Eklenen belgeler.
• Sorunun ne zaman fark edildiği ve kimin bildirdiği.
• Diğer iletimlerin etkilenmiş olup olmadığı.

Hesabı düzenlemek için geçmişi silmeyin veya fiilen gönderilenleri korumadan belge paketini düzeltilmiş bir sürümle değiştirmeyin.

Fax.Plus onay raporları; durum, tarih, saat ve sayfa sayısı dahil iletim ayrıntılarını belgeler. Olayların teknik sırasını ortaya koymaya yardımcı olabilirler. Fax.Plus onay raporları. Personel hasta bilgileri için kullanmadan önce Fax.Plus ile kurumsal fax gönderimi için hesap ön koşullarını sağlayın.

Kapsamı belirleyin

Ekibin, bunun tek bir yanlış hedef mi, yanlış hastaya ait bir ek mi yoksa daha geniş kapsamlı bir sorun mu olduğunu belirlemesi gerekir.

Yanlış numara içeren kayıtlı bir kişi, diğer kayıtları da etkileyebilir. Birden fazla dosyadan derlenen bir belge paketi, birden fazla hastaya ait bilgi içerebilir.

Doğrulanmış olguları varsayımlardan ayırın. Alıcının anlatımı eksikse, boşluğu lehte bir sonuçla doldurmak yerine neyin bilinmediğini belgeleyin.

Bir olay ne zaman ihlal bildirimi gerektirir?

PHI'nin izin verilmeyen bir şekilde kullanılması veya ifşa edilmesi, geçerli bir istisna veya bilgilerin ele geçirilme olasılığının düşük olduğunu ortaya koyan belgelenmiş bir değerlendirme bulunmadıkça ihlal olarak kabul edilir.

HHS dört değerlendirme faktörü belirler:

• İlgili bilgilerin niteliği ve kapsamı.
• Bilgileri yetkisiz olarak kimin aldığı veya kullandığı.
• Bilgilerin fiilen ele geçirilip geçirilmediği veya görüntülenip görüntülenmediği.
• Riskin ne ölçüde azaltıldığı.

Kuruluş, bildirim kararını belgelemelidir. Alıcının güvencesi değerlendirmeye katkıda bulunabilir, ancak personel bunu tüm değerlendirme olarak görmemelidir.

Bireysel bildirim gerektiren, güvenliği sağlanmamış PHI ihlallerinde HHS, makul olmayan bir gecikme olmaksızın ve ihlalin fark edilmesinden itibaren en geç 60 gün içinde bildirim yapılmasını şart koşar. Bu, soruşturmayı 60 gün ertelemeye izin verildiği anlamına gelmez. Diğer bildirimlerin kendi gereklilikleri vardır. HHS ihlal bildirimi rehberi.

Gizlilik ekibi, etkilenen kişilerin uygun kanallar aracılığıyla doğru bilgi alması için bildirim sürecini koordine etmelidir.

Hatanın nedenini düzeltin

İfşaya yol açan kararları izleyerek belgenin izini sürün.

Numara doğrulanmış bir kaynaktan mı kopyalandı? Kayıtlı bir kişi güncel olmayan bilgiler içeriyor muydu? Personel benzer isimli hastaları ayırt edebildi mi? Önceki bir hastanın eki belge paketinde mi kalmıştı?

Bulgular düzeltmeye yön vermelidir. Bir kişi kaydını güncellemek yanlış numara sorununu giderir; kayıt derleme hatası ise farklı bir değişiklik gerektirir. Eğitim, personele başarısız olan belirli kontrolü göstermelidir.

Erişim de dikkat gerektirir. Gelen kayıtları kimlerin açabildiğini, paylaşılan iş istasyonlarını kimlerin kullandığını ve alıcı numara atamalarını kimlerin değiştirebildiğini gözden geçirin. Personele, iletim sonuçlarını kontrol etme ve beklenmeyen hedefleri üst makama bildirme konusunda net sorumluluklar verin.

Fax.Plus'ta “Başarılı” durumu, alıcı fax uç noktasının başarılı alımı onayladığı anlamına gelir. Bu durum, hedefin yetkili olduğunu, amaçlanan kişinin belge paketini okuduğunu veya paketin doğru hasta dosyasına ulaştığını göstermez. Fax.Plus iletim durumu.

PHI için Fax.Plus, Advanced Security Controls etkinleştirilmiş Enterprise planını ve imzalanmış bir BAA'yı şart koşar. Personel prosedürleri de alıcıları, belgeleri ve erişimi ele almalıdır. Fax.Plus HIPAA gereklilikleri.

Soruşturma sırasında kanıtların korunmasını saklama süreçlerini yöneten kişilerle koordine edin. Fax.Plus otomatik silme işlemi geri alınamaz. Bir olay incelendiği için planlanmış silmenin duraklatıldığını varsaymayın. Fax.Plus saklama kontrolleri.

Hastalar, şüphelenilen bir ihlal konusunda neler yapabilir?

Kayıtlarınızın yanlış alıcıya ulaştığını düşünüyorsanız sağlayıcının gizlilik ofisiyle iletişime geçin ve bildiklerinizi anlatın.

Yaklaşık tarihi, ilgili kuruluşu ve sorunu nasıl fark ettiğinizi belirtin. İlgili yazışmaları saklayın. Hangi bilgilerin etkilendiğini, kuruluşun neler yaptığını ve başka sorular için kiminle iletişime geçmeniz gerektiğini sorun.

Ayrıca OCR'a şikâyette bulunabilirsiniz. HHS genellikle şikâyetin, eylemi veya ihmali öğrendiğiniz tarihten itibaren 180 gün içinde yapılmasını şart koşar; haklı bir sebep varsa süre uzatılabilir. Kuruluşu belirtin ve şüphelendiğiniz davranışı açıklayın.

OCR, soruşturma yürütebilmek için adınızı ve iletişim bilgilerinizi ister. Onay formunda gizlilik talep edebilirsiniz, ancak bu anonim şikâyette bulunmaktan farklıdır. HIPAA, şikâyette bulunan kişiye karşı misilleme yapılmasını yasaklar. HHS şikâyet süreci.

Destekleyici kanıtları istenen iletim kanalı üzerinden sunun. Sorunu göstermek için tıbbi kayıtları yayımlamaktan kaçının; çünkü bu, bilgilerin daha fazla ifşa olmasına yol açabilir.