Jak navrhnout zdravotnické formuláře v souladu s HIPAA, které chrání data pacientů

Zdravotnická praxe nebo wellness byznys sbírá citlivá data: zdravotní historii, čísla pojištění, léky, diagnózy. To všechno je regulováno zákonem HIPAA.

Co je příjmový formulář pacienta v souladu s HIPAA?

Příjmový formulář pacienta v souladu s HIPAA je právně regulovaný nástroj pro sběr dat, který chrání chráněné zdravotní informace (PHI) pomocí šifrování, správných smluv s dodavateli a omezeného sběru dat. Sbírá jen informace nutné pro léčbu, platbu nebo provoz zdravotní péče, nic víc.

HIPAA (Health Insurance Portability and Accountability Act) je federální zákon, který stanoví, jak poskytovatelé zdravotní péče nakládají s daty pacientů. Každý formulář, který sbírá zdravotní informace pacientů, musí splnit tři požadavky: soukromí (omezení toho, kdo má k datům přístup), zabezpečení (šifrování uložených dat i dat při přenosu) a práva pacientů (umožnit pacientům vidět a smazat jejich data).

Formulář podle HIPAA není jen o tom, vyhnout se pokutám. Je o tom, ukázat pacientům, že jejich zdravotní informace jsou v bezpečí. Důvěra je ve zdravotnictví konkurenční výhoda.

Problém: pokuty za nedodržení pravidel a úniky dat pacientů

Když soulad uděláte špatně, pokuty nejsou malé. Porušení se pohybují od $100 do $50,000 za incident, s ročními maximy $1.5 million za kategorii porušení. Jediná nešifrovaná databáze pacientů vystavená nesprávné osobě je pokuta minimálně $50,000. Únik 1,000 záznamů pacientů je $50,000 x 1,000 incidentů.

Zdravotnické praxe, které dodržují pravidla a chrání data pacientů, používají příjmové formuláře pacientů vytvořené přímo pro HIPAA. Tyto formuláře používají šifrování, zabezpečený hosting, správné nakládání s daty a právní smlouvy, které mění regulatorní noční můru ve standardní postup.

Tento článek popisuje, co HIPAA skutečně vyžaduje, jak vytvořit formuláře v souladu s pravidly, na co se ptát a na co ne, a jak se nestát statistikou porušení pravidel.

Co HIPAA vyžaduje pro příjmové formuláře pacientů (a proč na tom záleží)

HIPAA je federální zákon přijatý v roce 1996 na ochranu soukromí a zabezpečení zdravotních informací. Když pacient vyplní příjmový formulář, poskytuje chráněné zdravotní informace (PHI): jméno, datum narození, číslo pojištění, zdravotní historii, současné léky, diagnózy, příznaky a další citlivá data.

Tato data musí být chráněna ve třech rozměrech: soukromí (kdo k nim má přístup), zabezpečení (jak jsou chráněna) a práva pacientů (co mohou pacienti se svými informacemi dělat).

Požadavek na soukromí: omezte sběr dat na to, co je klinicky nutné. Váš formulář by se měl ptát jen na informace skutečně potřebné pro léčbu, platbu nebo provoz zdravotní péče. Neptejte se na údaje o pojištění, které neověřujete. Neptejte se na nouzové kontakty, pokud je nikdy nepoužíváte. Neptejte se na rodné číslo, pokud nepodáváte pojistné nároky. Každý další údaj je další odpovědnost.

Požadavek na zabezpečení: šifrujte data uložená i při přenosu. Data pacientů musí být šifrována při uložení (standardem pro šifrování uložených dat je AES-256) i při přenosu (TLS 1.3 nebo vyšší pro data při přenosu). To znamená, že platforma formulářů musí používat HTTPS (https:// ne http://), databáze musí být šifrovaná a zálohy musí být šifrované.

Požadavek na práva pacientů: poskytněte Oznámení o zásadách ochrany soukromí a získejte potvrzení. Každý pacient by měl dostat Oznámení o zásadách ochrany soukromí (NPP), které vysvětluje, jak jeho data používáte a chráníte. Váš formulář by měl obsahovat políčko pro potvrzení: "Přečetl(a) jsem si Oznámení o zásadách ochrany soukromí a rozumím mu."

Požadavek na smlouvu s partnerem (BAA): uzavřete smlouvu s dodavatelem. Pokud používáte tvůrce formulářů nebo hostingovou službu třetí strany, je to "obchodní partner" a musí s vámi podepsat BAA. BAA říká, že souhlasí s ochranou PHI podle stejných standardů HIPAA. Bez BAA odpovídáte, když dojde k úniku u nich. S BAA je odpovědnost sdílená.

Když porušíte kterýkoli z nich, jste vystaveni riziku. Minimální pokuta je $100 za incident, ale průměrné vyrovnání je $50,000. Únik dat u více záznamů může snadno překročit $1.5 million ročních pokut.

Jak navrhnout příjmový formulář pacienta v souladu s HIPAA

Krok 1: Použijte platformu formulářů v souladu s HIPAA (ne obecného tvůrce formulářů).

Nepoužívejte:

Bezplatné univerzální tvůrce formulářů (bez šifrování, bez BAA, nevyhovují)
Nástroje na formuláře ve stylu průzkumů bez plánu pro HIPAA (nevyhovují HIPAA)
Standardní tarify obecných tvůrců formulářů (často nevyhovují, i když stejný dodavatel prodává verzi pro HIPAA)
Základní služby online formulářů bez BAA (nevyhovují HIPAA)
Vlastní formuláře, které si vytvoříte bez šifrování (pokud data před uložením nezašifrujete)

Použijte:

Příjmové platformy specifické pro zdravotnictví (plně v souladu s HIPAA)
Nástroje na formuláře zaměřené na zdravotnictví (HIPAA zabudováno)
Tvůrce formulářů specifické pro HIPAA
Verze obecných tvůrců formulářů pro HIPAA (s BAA)
Tarify pro HIPAA, které zahrnují šifrování AES-256 a BAA

Před výběrem platformy ověřte:

Používají šifrování AES-256 u uložených dat
Používají TLS 1.3 pro data při přenosu
Poskytují smlouvu s obchodním partnerem (BAA) bez příplatku
Mají plán reakce na únik dat
Umožňují smazat data pacienta na požádání
Neprodávají ani nesdílejí PHI se třetími stranami

Krok 2: Sbírejte jen nutné informace.

Nutná pole:
Celé jméno (povinné)
Datum narození (povinné pro správu záznamů)
Kontaktní údaje: telefon, e-mail (povinné)
Jméno nouzového kontaktu a vztah (nepovinné, ale doporučené)
Současné léky (povinné pro léčbu)
Známé alergie (povinné pro bezpečnost)
Zdravotní historie (povinné pro souvislosti)
Údaje o pojištění: pojišťovna, číslo pojistky, číslo skupiny (povinné pro nároky)
Důvod návštěvy nebo příznaky (povinné pro péči)
Současní poskytovatelé zdravotní péče (doporučené pro koordinaci)

NEPTEJTE SE na:
Rodné číslo (pokud nepodáváte pojistné nároky, a i pak sbírejte jen poslední 4 číslice)
Číslo řidičského průkazu (pokud to nevyžadují předpisy konkrétního státu)
Finanční informace nad rámec pojištění (bankovní účet, příjem)
Demografické informace nad rámec toho, co je relevantní pro péči (rasa, etnický původ, sexuální orientace, jen pokud je to klinicky nutné a pacient souhlasí)

Krok 3: Zahrňte sekci s potvrzením o soukromí.

Před odesláním pacientem přidejte:

"Obdržel(a) jsem Oznámení o zásadách ochrany soukromí, které popisuje, jak [Název praxe] používá a chrání mé zdravotní informace, a rozumím mu." [Políčko: nutné pro pokračování]

Přidejte odkaz na celé NPP. Políčko potvrzuje, že byli informováni.

Krok 4: Zabezpečte přenos a uložení.

Na vaší straně:

Formulář používá HTTPS (v prohlížeči je vidět ikona zámku)
Platforma formulářů ukládá data v šifrovaných databázích
Platforma formulářů udržuje zálohy v souladu s HIPAA
Máte postup pro smazání dat pacienta na požádání (do 30 dnů)
Neposíláte data pacientů nešifrovaným e-mailem
Pro komunikaci o zdravotních informacích používáte portál pacienta (ne e-mail)

Krok 5: Vytvořte zásady nakládání s daty.

Zdokumentujte, jak s daty pacientů nakládáte:

Jak dlouho uchováváte záznamy (doporučení: alespoň 5 let po poslední návštěvě, podle zákona státu)
Kdo má přístup k záznamům pacientů (jen zaměstnanci, kteří je potřebují pro svou roli)
Jak reagujete na únik dat (okamžité oznámení do 24 hodin, právní konzultace)
Jak vyřizujete žádosti pacientů o zobrazení nebo smazání jejich dat (do 30 dnů)
Jak kontrolujete přístupy, aby nikdo neoprávněně nenahlížel

Tyto zásady nejsou právní dokument, ale při kontrole ukazují, že jste postupovali s péčí řádného hospodáře.

Časté chyby ve formulářích podle HIPAA (a jak se jim vyhnout)

Chyba 1: Použití platformy formulářů, která nevyhovuje. Největší jednotlivá chyba. Bezplatní tvůrci formulářů, základní nástroje pro průzkumy nebo vlastní formuláře bez šifrování jsou obrovská odpovědnost. Pokud jsou záznamy pacienta odhaleny, odpovídáte za únik, i když jste nevěděli, že se to může stát. Použijte platformu v souladu s HIPAA, bez výjimek.

Chyba 2: Posílání dat pacientů e-mailem. Nikdy neposílejte informace o pacientech e-mailem, ani samotným pacientům. E-mail není ve výchozím stavu šifrovaný. Použijte portál pacienta nebo zabezpečené zprávy. Pokud musíte podrobnosti poslat e-mailem, zprávu zašifrujte nebo pošlete odkaz na zabezpečený portál.

Chyba 3: Chybějící smlouva s obchodním partnerem. Používáte tarif pro HIPAA od dodavatele formulářů, ale nepožádali jste ho o podpis BAA. Bez ní odpovídáte za úniky sami. S BAA je odpovědnost sdílená a dodavatel má smluvní povinnost data chránit.

Chyba 4: Sběr informací, které nepotřebujete. Každé další pole je další odpovědnost. Pokud neověřujete pojistné dávky, neptejte se na údaje o pojištění. Pokud nekontaktujete nouzové kontakty, neptejte se na ně. Omezte se na to, co skutečně používáte.

Chyba 5: Žádné potvrzení zásad ochrany soukromí od pacienta. Oznámení o soukromí je povinné, ale mnoho praxí ho vyvěsí na zeď, kde ho nikdo nečte. Zahrňte ho raději do příjmového formuláře s políčkem. To dokazuje, že pacient byl informován.

Chyba 6: Pacient formulář odešle a vy data přepisujete ručně. Ruční přenos mezi systémy je náchylný k chybám a zvyšuje riziko. Použijte integrace nebo přímá propojení, aby data tekla bezpečně z formuláře do vašeho systému EHR (elektronický zdravotní záznam) bez ručního zadávání.

Metriky a sledování souladu

Míra dokončení formuláře. Jaké procento pacientů vyplní celý příjmový formulář? (Cíl: 90%+. Pokud je pod 80%, formulář je příliš dlouhý nebo nejasný). Pokud je dokončování nízké, omezte zbytečná pole.

Míra přesnosti dat. Jaké procento sebraných dat je přesné a použitelné bez ruční opravy? (Cíl: 95%+). Pokud je pod 90%, zvažte přidání ověřování (formát data narození, formát telefonního čísla, ověření čísla pojištění).

Auditní a přístupové záznamy. Dokumentujte pokaždé, když někdo otevře záznam pacienta (váš systém EHR by to měl dělat automaticky). Záznamy procházejte měsíčně, abyste zajistili, že k datům přistupovali jen oprávnění zaměstnanci. Jakékoli anomálie hlaste okamžitě.

Doba reakce na únik dat. Pokud k úniku dojde, jak rychle informujete dotčené pacienty a OCR (Office for Civil Rights)? (Cíl: do 24 hodin). Mějte plán reakce připravený dřív, než k úniku dojde.

Shrnutí modulu: čím se zdravotnické formuláře liší

Zdravotnické formuláře nejsou jen o sběru dat. Jsou o ochraně citlivých informací při zachování důvěry pacientů. Formulář je jen jedna část vašeho systému souladu, ale záleží na něm. Použijte platformu v souladu s pravidly, sbírejte jen nutná data, šifrujte všechno a zdokumentujte svůj postup. Tím se z regulatorního minového pole stane standardní součást vašeho příjmu pacientů.

Často kladené otázky

[/wemasy-accordion]