Miten suunnittelet HIPAA-vaatimukset täyttävät terveydenhuollon lomakkeet, jotka suojaavat potilastietoja

Terveydenhuollon vastaanotto tai hyvinvointiyritys kerää arkaluonteisia tietoja: sairaushistoriaa, vakuutusnumeroita, lääkityksiä, diagnooseja. Kaikkea tätä säännellään HIPAA-lailla.

Mikä on HIPAA-vaatimukset täyttävä potilaan esitietolomake?

HIPAA-vaatimukset täyttävä potilaan esitietolomake on laillisesti säännelty tiedonkeruuväline, joka suojaa suojattuja terveystietoja (PHI) salauksella, asianmukaisilla toimittajasopimuksilla ja rajatulla tiedonkeruulla. Se kerää vain hoitoon, maksuun tai terveydenhuollon toimintaan tarvittavat tiedot, ei mitään muuta.

HIPAA (Health Insurance Portability and Accountability Act) on Yhdysvaltain liittovaltion laki, joka määrää, miten terveydenhuollon tarjoajat käsittelevät potilastietoja. Jokaisen lomakkeen, joka kerää potilaan terveystietoja, täytyy täyttää kolme vaatimusta: yksityisyys (rajoittaa, kuka pääsee tietoihin), tietoturva (tietojen salaus levossa ja siirrossa) ja potilaan oikeudet (potilaat voivat nähdä ja poistaa tietonsa).

HIPAA-lomake ei ole vain sakkojen välttämistä varten. Se osoittaa potilaille, että heidän sairaustietonsa ovat turvassa. Luottamus on terveydenhuollossa kilpailuetu.

Ongelma: vaatimustenvastaisuuden sakot ja potilastietojen vuodot

Jos vaatimustenmukaisuus menee pieleen, sakot eivät ole pieniä. Rikkomukset vaihtelevat $100:sta $50,000:een tapausta kohden, ja vuotuiset enimmäismäärät ovat $1.5 miljoonaa rikkomusluokkaa kohden. Yksi salaamaton potilastietokanta, joka paljastuu väärälle henkilölle, tarkoittaa vähintään $50,000 sakkoa. 1 000 potilastietueen vuoto on $50,000 x 1 000 tapausta.

Terveydenhuollon vastaanotot, jotka pysyvät vaatimusten mukaisina ja suojaavat potilastietoja, käyttävät erityisesti HIPAAa varten rakennettuja potilaan esitietolomakkeita. Näissä lomakkeissa käytetään salausta, turvallista palvelinympäristöä, asianmukaista tietojen käsittelyä ja oikeudellisia sopimuksia, jotka muuttavat sääntelyn painajaisen vakioprosessiksi.

Tämä artikkeli käsittelee, mitä HIPAA oikeasti vaatii, miten rakennat vaatimukset täyttäviä lomakkeita, mitä kysyä ja mitä ei, ja miten vältät päätymisen vaatimustenvastaisuustilastoon.

Mitä HIPAA vaatii potilaan esitietolomakkeilta (ja miksi sillä on väliä)

HIPAA on vuonna 1996 säädetty liittovaltion laki, joka suojaa terveystietojen yksityisyyttä ja turvallisuutta. Kun potilas täyttää esitietolomakkeen, hän antaa suojattuja terveystietoja (PHI): nimensä, syntymäaikansa, vakuutusnumeronsa, sairaushistoriansa, nykyiset lääkityksensä, diagnoosinsa, oireensa ja muita arkaluonteisia tietoja.

Nämä tiedot täytyy suojata kolmella ulottuvuudella: yksityisyys (kuka pääsee tietoihin), tietoturva (miten ne suojataan) ja potilaan oikeudet (mitä potilaat voivat tehdä tiedoillaan).

Yksityisyysvaatimus: rajaa tiedonkeruu siihen, mikä on kliinisesti välttämätöntä. Lomakkeesi saa kysyä vain tietoja, joita oikeasti tarvitaan hoitoon, maksuun tai terveydenhuollon toimintaan. Älä kysy vakuutustietoja, joita et tarkista. Älä kysy hätäyhteyshenkilöitä, jos et koskaan käytä niitä. Älä kysy henkilötunnusta, ellet hae vakuutuskorvauksia. Jokainen ylimääräinen tieto on ylimääräinen vastuu.

Tietoturvavaatimus: salaa tiedot levossa ja siirrossa. Potilastiedot täytyy salata tallennettaessa (AES-256 on standardi tallennuksen salaukselle) ja siirrettäessä (TLS 1.3 tai uudempi siirrettäville tiedoille). Tämä tarkoittaa, että lomakealustan täytyy käyttää HTTPS:ää (https://, ei http://), tietokannan täytyy olla salattu ja varmuuskopioiden täytyy olla salattuja.

Potilaan oikeuksien vaatimus: anna tietosuojakäytäntöjen ilmoitus ja hanki kuittaus. Jokaisen potilaan pitäisi saada tietosuojakäytäntöjen ilmoitus (NPP), joka selittää, miten käytät ja suojaat hänen tietojaan. Lomakkeessasi pitäisi olla kuittaus-valintaruutu: "Olen lukenut ja ymmärtänyt tietosuojakäytäntöjen ilmoituksen."

Liiketoimintakumppanin sopimuksen (BAA) vaatimus: tee sopimus toimittajasi kanssa. Jos käytät kolmannen osapuolen lomakerakenninta tai palvelinpalvelua, se on "liiketoimintakumppani" ja sen täytyy allekirjoittaa kanssasi BAA. BAA:ssa se sitoutuu suojaamaan PHI:tä samoilla HIPAA-standardeilla. Ilman BAA:ta olet vastuussa, jos ne vuotavat. BAA:n kanssa vastuu jaetaan.

Rikkoessasi mitä tahansa näistä olet alttiina. Vähimmäissakko on $100 tapausta kohden, mutta keskimääräinen sovinto on $50,000. Usean tietueen tietovuoto voi helposti ylittää $1.5 miljoonan vuotuiset sakot.

Miten suunnittelet HIPAA-vaatimukset täyttävän potilaan esitietolomakkeen

Vaihe 1: Käytä HIPAA-vaatimukset täyttävää lomakealustaa (ei yleistä lomakerakenninta).

Älä käytä:

Ilmaisia yleiskäyttöisiä lomakerakentimia (ei salausta, ei BAA:ta, ei vaatimustenmukainen)
Kyselytyyppisiä lomaketyökaluja ilman HIPAA-pakettia (ei HIPAA-vaatimukset täyttävä)
Yleisten lomakerakentimien vakiopaketteja (usein ei vaatimustenmukaisia, vaikka sama toimittaja myy HIPAA-version)
Yksinkertaisia verkkolomakepalveluita ilman BAA:ta (ei HIPAA-vaatimukset täyttäviä)
Itse tekemiäsi lomakkeita ilman salausta (ellet salaa tietoja ennen tallennusta)

Käytä:

Terveydenhuoltoon tarkoitettuja esitietoalustoja (täysin HIPAA-vaatimukset täyttäviä)
Terveydenhuoltoon keskittyviä lomaketyökaluja (HIPAA sisäänrakennettuna)
HIPAA-erikoistuneita lomakerakentimia
Yleisten lomakerakentimien HIPAA-versioita (BAA:n kanssa)
HIPAA-paketteja, joihin kuuluu AES-256-salaus ja BAA

Ennen alustan valintaa varmista:

Ne käyttävät AES-256-salausta levossa
Ne käyttävät TLS 1.3:a siirrettävälle datalle
Ne toimittavat liiketoimintakumppanin sopimuksen ilman lisäkustannuksia
Niillä on suunnitelma tietovuodon hoitamiseksi
Ne sallivat potilastietojen poistamisen pyynnöstä
Ne eivät myy tai jaa PHI:tä kolmansille osapuolille

Vaihe 2: Kerää vain tarpeelliset tiedot.

Tarpeelliset kentät:
Koko nimi (pakollinen)
Syntymäaika (pakollinen tietuehallintaa varten)
Yhteystiedot: puhelin, sähköposti (pakollinen)
Hätäyhteyshenkilön nimi ja suhde (valinnainen mutta suositeltava)
Nykyiset lääkitykset (pakollinen hoitoa varten)
Tunnetut allergiat (pakollinen turvallisuutta varten)
Sairaushistoria (pakollinen asiayhteyttä varten)
Vakuutustiedot: vakuutusyhtiö, vakuutusnumero, ryhmänumero (pakollinen korvauksia varten)
Käynnin syy tai oireet (pakollinen hoitoa varten)
Nykyiset terveydenhuollon tarjoajat (suositeltava koordinointia varten)

ÄLÄ kysy:
Henkilötunnusta (ellet hae vakuutuskorvauksia, ja silloinkin kerää vain neljä viimeistä numeroa)
Ajokortin numeroa (ellei osavaltiokohtaiset säännökset vaadi)
Muita taloudellisia tietoja vakuutuksen lisäksi (pankkitili, tulot)
Demografisia tietoja hoidon kannalta olennaisen lisäksi (rotu, etninen tausta, seksuaalinen suuntautuminen, vain jos kliinisesti välttämätöntä ja potilas suostuu)

Vaihe 3: Sisällytä tietosuojakuittauksen osio.

Ennen kuin potilas lähettää lomakkeen, lisää:

"Olen vastaanottanut ja ymmärtänyt tietosuojakäytäntöjen ilmoituksen, joka kuvaa, miten [Vastaanoton nimi] käyttää ja suojaa terveystietojani." [Valintaruutu: pakollinen jatkamiseen]

Lisää linkki koko ilmoitukseen. Valintaruutu vahvistaa, että heille kerrottiin.

Vaihe 4: Suojaa siirto ja tallennus.

Omalta osaltasi:

Lomake käyttää HTTPS:ää (lukkokuvake näkyvissä selaimessa)
Lomakealusta tallentaa tiedot salattuihin tietokantoihin
Lomakealusta ylläpitää HIPAA-vaatimukset täyttäviä varmuuskopioita
Sinulla on prosessi potilastietojen poistamiseen pyynnöstä (30 päivän kuluessa)
Et lähetä potilastietoja salaamattomalla sähköpostilla
Käytät potilasportaalia (et sähköpostia) terveystietoja koskevaan viestintään

Vaihe 5: Laadi tietojenkäsittelykäytäntö.

Dokumentoi, miten käsittelet potilastietoja:

Kuinka kauan säilytät tietueita (suositus: vähintään 5 vuotta viimeisen käynnin jälkeen osavaltion lain mukaan)
Kenellä on pääsy potilastietueisiin (vain henkilökunnalla, joka tarvitsee sitä tehtävässään)
Miten reagoit tietovuotoon (välitön ilmoitus 24 tunnin kuluessa, oikeudellinen konsultaatio)
Miten käsittelet potilaiden pyynnöt nähdä tai poistaa tietonsa (30 päivän kuluessa)
Miten auditoit pääsyä varmistaaksesi, ettei kukaan katso luvatta

Tämä käytäntö ei ole juridinen asiakirja, mutta se osoittaa huolellisuutta, jos sinua auditoidaan.

Yleisiä HIPAA-lomakkeen virheitä (ja miten vältät ne)

Virhe 1: Vaatimusten vastaisen lomakealustan käyttö. Yksittäisistä suurin virhe. Ilmaiset lomakerakentimet, perustason kyselytyökalut tai salaamattomat itse tehdyt lomakkeet ovat valtava vastuu. Jos potilaan tietueet paljastuvat, olet vastuussa vuodosta, vaikka et olisi tiennyt sen olevan mahdollista. Käytä HIPAA-vaatimukset täyttävää alustaa, piste.

Virhe 2: Potilastietojen lähettäminen sähköpostilla. Älä koskaan lähetä potilastietoja sähköpostilla, et edes potilaille itselleen. Sähköposti ei ole oletuksena salattu. Käytä potilasportaalia tai suojattua viestintää. Jos sinun täytyy lähettää tietoja sähköpostilla, salaa viesti tai lähetä linkki suojattuun portaaliin.

Virhe 3: Liiketoimintakumppanin sopimuksen puuttuminen. Käytät lomaketoimittajasi HIPAA-pakettia, mutta et pyytänyt heitä allekirjoittamaan BAA:ta. Ilman sitä vastaat vuodoista yksin. BAA:n kanssa vastuu jaetaan ja heillä on sopimusvelvoite suojata tietoja.

Virhe 4: Tarpeettomien tietojen kerääminen. Jokainen ylimääräinen kenttä on ylimääräinen vastuu. Jos et tarkista vakuutusetuuksia, älä kysy vakuutustietoja. Jos et ota yhteyttä hätäyhteyshenkilöihin, älä kysy niitä. Rajoita siihen, mitä oikeasti käytät.

Virhe 5: Potilas ei kuittaa tietosuojakäytäntöjä. Tietosuojailmoitus vaaditaan, mutta moni vastaanotto laittaa sen seinälle, jossa kukaan ei lue sitä. Sisällytä se sen sijaan esitietolomakkeeseen valintaruudulla. Tämä todistaa, että potilaalle kerrottiin.

Virhe 6: Potilaan lähettäessä lomakkeen siirrät tiedot itse käsin. Käsin tehty siirto järjestelmien välillä on virhealtista ja lisää altistumista. Käytä integraatioita tai suoria yhteyksiä, jotta tiedot kulkevat turvallisesti lomakkeelta sähköiseen potilastietojärjestelmääsi (EHR) ilman käsin syöttöä.

Mittarit ja vaatimustenmukaisuuden seuranta

Lomakkeen täyttöaste. Kuinka suuri osuus potilaista täyttää koko esitietolomakkeen? (Tavoite: yli 90 %. Jos alle 80 %, lomake on liian pitkä tai sekava). Jos täyttöaste on matala, vähennä tarpeettomia kenttiä.

Tietojen tarkkuusaste. Kuinka suuri osuus kerätyistä tiedoista on tarkkoja ja käyttökelpoisia ilman käsin tehtäviä korjauksia? (Tavoite: yli 95 %). Jos alle 90 %, harkitse validoinnin lisäämistä (syntymäajan muoto, puhelinnumeron muoto, vakuutusnumeron validointi).

Auditointi- ja pääsylokit. Dokumentoi jokainen kerta, kun joku avaa potilastietueen (sähköisen potilastietojärjestelmäsi pitäisi tehdä tämä automaattisesti). Tarkista lokit kuukausittain varmistaaksesi, että vain valtuutettu henkilökunta on käsitellyt tietoja. Ilmoita poikkeamista heti.

Tietovuodon reagointiaika. Jos vuoto tapahtuu, kuinka nopeasti ilmoitat vaikutuksen kohteena oleville potilaille ja OCR:lle (Office for Civil Rights)? (Tavoite: 24 tunnin kuluessa). Laadi reagointisuunnitelma ennen kuin vuoto tapahtuu.

Moduulin yhteenveto: mikä tekee terveydenhuollon lomakkeista erilaisia

Terveydenhuollon lomakkeet eivät ole vain tietojen keräämistä. Ne suojaavat arkaluonteisia tietoja ja säilyttävät potilaan luottamuksen. Lomake on yksi osa vaatimustenmukaisuusjärjestelmääsi, mutta sillä on merkitystä. Käytä vaatimukset täyttävää alustaa, kerää vain tarpeelliset tiedot, salaa kaikki ja dokumentoi prosessisi. Näin sääntelyn miinakenttä muuttuu vakio-osaksi esitietoprosessiasi.

Usein kysytyt kysymykset

[/wemasy-accordion]