Закон о переносимости и подотчетности медицинского страхования 1996 года (HIPAA или Закон Кеннеди - Кассебаума [1] [2] ) — это закон Конгресса США, принятый 104-м Конгрессом США и подписанный президентом Биллом Клинтоном 21 августа. 1996. [3] Он был направлен на изменение передачи медицинской информации, определил руководящие принципы, согласно которым личная информация, хранимая в сфере здравоохранения и медицинского страхования, должна быть защищена от мошенничества и кражи, [4] и устранил некоторые ограничения на медицинское страхование. . Как правило, он запрещает поставщикам медицинских услуг и предприятиям, называемым организациями, на которые распространяется действие страховки, раскрывать защищенную информацию кому-либо, кроме пациента и уполномоченных представителей пациента, без их согласия. Законопроект не ограничивает пациентов в получении информации о себе (за некоторыми исключениями). [5] Кроме того, он не запрещает пациентам добровольно делиться своей медицинской информацией по своему усмотрению и не требует конфиденциальности, если пациент раскрывает медицинскую информацию членам семьи, друзьям или другим лицам, не являющимся сотрудниками застрахованной организации.
Акт состоит из 5 наименований:
Закон состоит из пяти разделов, известных как титулы.
Раздел I HIPAA регулирует наличие и широту групповых планов медицинского страхования и некоторых индивидуальных полисов медицинского страхования. Он внес поправки в Закон о пенсионном обеспечении сотрудников, Закон об общественном здравоохранении и Налоговый кодекс. Кроме того, в Разделе I рассматривается проблема «блокировки работы», то есть невозможности сотрудника оставить работу из-за потери медицинской страховки. [8] Для решения проблемы блокировки рабочих мест Закон защищает медицинское страхование работников и их семей в случае, если они потеряют или поменяют работу. [9]
Раздел I требует покрытия, а также ограничивает ограничения, которые групповой план медицинского страхования может налагать на льготы по уже существовавшим заболеваниям. Групповые планы медицинского страхования могут отказать в предоставлении льгот в связи с ранее существовавшими условиями либо в течение 12 месяцев после регистрации в плане, либо в течение 18 месяцев в случае поздней регистрации. [10] Раздел I позволяет людям сократить период исключения на время, в течение которого они имели «зачетное страховое покрытие» до регистрации в плане и после любых «значительных перерывов» в страховом покрытии. [11] «Кредитное покрытие» определяется довольно широко и включает почти все групповые и индивидуальные планы медицинского страхования, программы Medicare и Medicaid. [12] «Значительный перерыв» в страховом покрытии определяется как любой 63-дневный период без какого-либо заслуживающего доверия покрытия. [13] Наряду с исключением, он позволяет работодателям привязывать премии или доплаты к употреблению табака или индексу массы тела.
Раздел I требует, чтобы страховые компании выдавали полисы без исключения лицам, выходящим из групповых планов медицинского страхования, при условии, что они поддерживают постоянное и надежное страховое покрытие. (см. выше) более 18 месяцев, и [14] продлевать отдельные полисы до тех пор, пока они предлагаются, или предоставлять альтернативы прекращенным планам до тех пор, пока страховщик остается на рынке без исключения, независимо от состояния здоровья.
Некоторые планы медицинского обслуживания освобождены от требований Раздела I, например, долгосрочные планы медицинского обслуживания и планы с ограниченным объемом, такие как планы стоматологического или офтальмологического обслуживания, предлагаемые отдельно от общего плана медицинского обслуживания. Однако если такие льготы являются частью общего плана медицинского страхования, то к таким льготам по-прежнему применяется HIPAA. Например, если новый план предлагает стоматологические льготы, то он должен засчитывать зачетное непрерывное покрытие по старому плану медицинского страхования в любой из периодов исключения стоматологических льгот.
Альтернативный метод расчета непрерывного страхового покрытия доступен для плана медицинского страхования в соответствии с Разделом I. То есть 5 категорий медицинского страхования могут рассматриваться отдельно, включая стоматологическое и офтальмологическое страхование. Для всего, что не входит в эти 5 категорий, необходимо использовать общий расчет (например, бенефициара можно учитывать с 18-месячным общим страховым покрытием, но только с 6-месячным стоматологическим страхованием, поскольку у бенефициара не было общего плана медицинского страхования, который покрывал бы стоматологические услуги до 6 месяцев). до даты подачи заявления). Поскольку планы ограниченного покрытия освобождены от требований HIPAA, существует странный случай, когда заявитель на общий групповой план медицинского страхования не может получить сертификаты о зачетном непрерывном страховании для независимых планов ограниченного объема, таких как стоматологические, для подачи заявления на периоды исключения нового план, который включает в себя эти покрытия.
Скрытые периоды исключения недействительны в соответствии с Разделом I (например, «Несчастный случай, подлежащий страхованию, должен был произойти в то время, когда бенефициар был застрахован по тому же договору медицинского страхования»). План медицинского страхования не должен руководствоваться такими положениями. Кроме того, их необходимо переписать, чтобы они соответствовали HIPAA. [15]
Раздел II HIPAA устанавливает политику и процедуры для обеспечения конфиденциальности и безопасности индивидуальной медицинской информации, описывает многочисленные правонарушения, связанные со здравоохранением, и устанавливает гражданские и уголовные наказания за нарушения. Он также создает несколько программ по борьбе с мошенничеством и злоупотреблениями в системе здравоохранения. [16] [17] [18] [19] Однако наиболее важными положениями Раздела II являются правила административного упрощения. Раздел II требует от Министерства здравоохранения и социальных служб (HHS) повысить эффективность системы здравоохранения путем создания стандартов использования и распространения медицинской информации. [19]
Эти правила применяются к «застрахованным организациям», как это определено HIPAA и HHS. К субъектам страхования относятся планы медицинского страхования, информационные центры здравоохранения (например, службы выставления счетов и общественные информационные системы здравоохранения), а также поставщики медицинских услуг, которые передают медицинские данные способом, регулируемым HIPAA. [20]
В соответствии с требованиями Раздела II HHS обнародовало пять правил административного упрощения: Правило конфиденциальности, Правило транзакций и кодовых наборов, Правило безопасности, Правило уникальных идентификаторов и Правоприменительное правило. [21]
Правило конфиденциальности HIPAA состоит из национальных правил использования и раскрытия защищенной медицинской информации (PHI) при лечении, оплате и операциях «застрахованными организациями» (как правило, информационными центрами здравоохранения, планами медицинского страхования, спонсируемыми работодателем, медицинскими страховыми компаниями и т. д.). поставщики медицинских услуг, которые участвуют в определенных сделках). [22]
Правило конфиденциальности вступило в силу 14 апреля 2003 г. с продлением на один год для некоторых «небольших планов». Постановлением HHS распространило правило конфиденциальности HIPAA на независимых подрядчиков организаций, на которые распространяется действие закона, которые подпадают под определение «деловые партнеры». [23] PHI — это любая информация, которой располагает застрахованная организация, касающаяся состояния здоровья, предоставления медицинской помощи или оплаты медицинских услуг, которая может быть связана с любым лицом. [20] Это толкуется довольно широко и включает в себя любую часть медицинской документации или истории платежей человека . Застрахованные организации должны раскрыть ЗМИ физическому лицу в течение 30 дней по его запросу. [24] Они также должны раскрывать закрытую медицинскую информацию, когда этого требует закон, например, сообщая о предполагаемом жестоком обращении с детьми в государственные органы по защите детей. [25]
Защищенные организации могут раскрывать защищенную медицинскую информацию сотрудникам правоохранительных органов в правоохранительных целях, как того требует закон (включая постановления суда, ордера суда, повестки в суд) и административные запросы; или для идентификации или местонахождения подозреваемого, беглеца, важного свидетеля или пропавшего без вести лица. [26]
Застрахованная организация может раскрывать ЗМИ определенным сторонам для облегчения лечения, оплаты или оказания медицинской помощи без явного письменного разрешения пациента. [27] Любое другое раскрытие закрытой медицинской информации требует от застрахованной организации получения письменного разрешения от физического лица на раскрытие. [28] В любом случае, когда затрагиваемая организация раскрывает какую-либо ЗМИ, она должна приложить разумные усилия для раскрытия только минимально необходимой информации, необходимой для достижения своей цели. [29]
Правило конфиденциальности дает физическим лицам право потребовать от организации, на которую распространяется действие страховки, исправить любую неточную ЗМИ. [30] Кроме того, он требует от организаций, на которые распространяется действие закона, предпринять некоторые разумные шаги по обеспечению конфиденциальности общения с физическими лицами. [31] Например, человек может попросить, чтобы ему позвонили на его рабочий номер вместо домашнего или мобильного телефона.
Правило конфиденциальности требует, чтобы организации, на которые распространяется действие страховки, уведомляли отдельных лиц об использовании их ЗМИ. [32] Затрагиваемые организации также должны отслеживать раскрытие ЗМИ и документировать политику и процедуры конфиденциальности. [33] Они должны назначить ответственного за соблюдение конфиденциальности и контактное лицо [34] , ответственное за прием жалоб, а также обучить всех своих сотрудников процедурам, касающимся защищенной медицинской информации. [35]
Лицо, считающее, что Правило конфиденциальности не соблюдается, может подать жалобу в Управление по гражданским правам (OCR) Министерства здравоохранения и социальных служб. [36] [37] В 2006 году газета Wall Street Journal сообщила, что OCR имеет большое количество невыполненных дел и игнорирует большинство жалоб. «Жалобы на нарушение конфиденциальности накапливались в Министерстве здравоохранения и социальных служб. В период с апреля 2003 года по ноябрь 2006 года агентство направило 23 886 жалоб, связанных с правилами конфиденциальности медицинской информации, но пока не предприняло никаких принудительных мер против больниц. врачей, страховщиков или кого-либо еще за нарушение правил. Представитель агентства говорит, что оно закрыло три четверти жалоб, обычно потому, что не обнаружило нарушений или после того, как оно предоставило неофициальные рекомендации участвующим сторонам». [38] Однако в июле 2011 года Калифорнийский университет в Лос-Анджелесе согласился выплатить 865 500 долларов в качестве компенсации за возможные нарушения HIPAA. Расследование Управления по гражданским правам HHS показало, что с 2005 по 2008 год неавторизованные сотрудники неоднократно и без законных оснований просматривали защищенную электронную медицинскую информацию многочисленных пациентов UCLAHS. [39]
Это заблуждение, что Правило конфиденциальности дает любому человеку право отказаться раскрывать любую медицинскую информацию (например, о хронических заболеваниях или сведениях о прививках), если этого требует работодатель или компания. Требования Правил конфиденциальности HIPAA просто накладывают ограничения на раскрытие информации организациями, на которые распространяется действие закона, и их деловыми партнерами без согласия лица, чьи записи запрашиваются; они не накладывают никаких ограничений на запрос медицинской информации непосредственно у субъекта этой информации. [40] [41] [42]
В январе 2013 года HIPAA был обновлен посредством окончательного сводного правила. [43] Обновления включали изменения в разделы «Правила безопасности» и «Уведомления о нарушениях» Закона о HITECH. Наиболее существенные изменения касались расширения требований, включив в них деловых партнеров, поскольку изначально только юридические лица, на которые распространяется действие закона, были обязаны соблюдать эти разделы закона. [ нужна цитата ]
Кроме того, определение «значительного вреда» физическому лицу при анализе нарушения было обновлено, чтобы обеспечить более тщательное изучение охватываемых организаций с целью раскрытия нарушений, о которых ранее не сообщалось. Раньше организации требовалось доказательство причинения вреда, тогда как теперь организации должны доказать, что вреда не было.
Защита частной медицинской информации была изменена с бессрочной на 50 лет после смерти. Также были одобрены более суровые наказания за нарушение требований конфиденциальности PHI. [44]
Правило конфиденциальности HIPAA может быть отменено во время стихийного бедствия. Так было с ураганом Харви в 2017 году .
См. раздел «Конфиденциальность» Закона о медицинских информационных технологиях для экономического и клинического здравоохранения ( Закон HITECH ).
Правило конфиденциальности требует, чтобы медицинские работники предоставляли людям доступ к их PHI. [45] После того, как физическое лицо запрашивает информацию в письменной форме (обычно используя для этой цели форму поставщика), у поставщика есть до 30 дней, чтобы предоставить копию информации физическому лицу. Физическое лицо может запросить информацию в электронной форме или на бумажном носителе, а поставщик обязан постараться соответствовать запрошенному формату. Для поставщиков медицинских услуг, использующих систему электронных медицинских карт ( EHR ), сертифицированную по критериям CEHRT (сертифицированная технология электронных медицинских записей), отдельным лицам должно быть разрешено получать PHI в электронной форме. Поставщикам рекомендуется предоставлять информацию своевременно, особенно в случае запросов на электронные записи.
Люди имеют широкое право на доступ к своей медицинской информации, включая медицинские записи, записи, изображения, результаты лабораторных исследований, а также информацию о страховании и счетах. [46] Явно исключаются частные психотерапевтические записи поставщика услуг и информация, собранная поставщиком услуг для защиты от судебного иска. [47]
Поставщики могут взимать разумную сумму, соответствующую их стоимости предоставления копии, однако при предоставлении данных в электронном виде из сертифицированной ЭМК с использованием функции «просмотр, загрузка и передача», необходимой для сертификации, взимание платы не допускается. При доставке физическому лицу в электронной форме физическое лицо может разрешить доставку с использованием зашифрованной или незашифрованной электронной почты, доставку с использованием носителя (USB-накопитель, компакт-диск и т. д., за что может взиматься плата), прямой обмен сообщениями (широко используемая технология безопасной электронной почты). в сфере здравоохранения) или, возможно, другими методами. При использовании незашифрованной электронной почты человек должен понимать и принимать риски для конфиденциальности, связанные с использованием этой технологии (информация может быть перехвачена и изучена другими). Независимо от технологии доставки, поставщик должен продолжать полностью защищать PHI, пока она находится в его системе, и может отклонить метод доставки, если он представляет дополнительный риск для PHI в его системе. [48]
Физическое лицо также может потребовать (в письменной форме), чтобы его ЗМИ была передана назначенному третьему лицу, например поставщику услуг по уходу за семьей.
Физическое лицо также может потребовать (в письменной форме), чтобы поставщик отправил PHI в назначенную службу, используемую для сбора или управления его записями, например, в приложение для создания личных медицинских записей. Например, пациентка может в письменной форме потребовать, чтобы ее акушер-гинеколог передал в цифровом формате записи ее последнего дородового визита в приложение для самообслуживания во время беременности, которое есть у нее на мобильном телефоне.
Согласно их интерпретации HIPAA, больницы не будут раскрывать информацию по телефону родственникам госпитализированных пациентов. В некоторых случаях это затрудняло поиск пропавших без вести лиц. После крушения рейса 214 Asiana Airlines в Сан-Франциско некоторые больницы не хотели раскрывать личности пассажиров, которых они лечили, из-за чего Asiana и родственникам было трудно их найти. [49] В одном случае мужчина в штате Вашингтон не смог получить информацию о своей раненой матери. [50]
Джанлори Голдман, директор правозащитной группы Health Privacy Project, заявила, что некоторые больницы проявляют «чрезмерную осторожность» и неправильно применяют закон, сообщает Times. Пригородная больница в Бетесде, штат Мэриленд, истолковала федеральное постановление, которое требует от больниц разрешать пациентам отказываться от включения в справочник больниц, как означающее, что пациенты хотят, чтобы их не включали в справочник, если они специально не указали иное. В результате, если пациент находится без сознания или по какой-либо причине не может включить его в каталог, родственники и друзья могут оказаться не в состоянии его найти, сказал Голдман. [51]
HIPAA был призван сделать систему здравоохранения в Соединенных Штатах более эффективной за счет стандартизации операций в сфере здравоохранения. HIPAA добавило новую Часть C под названием «Административное упрощение» к Разделу XI Закона о социальном обеспечении. [52] Предполагается, что это упростит операции в сфере здравоохранения, поскольку потребует от всех планов медицинского страхования осуществлять транзакции в области здравоохранения стандартизированным образом.
Положение HIPAA/EDI ( электронный обмен данными ) должно было вступить в силу 16 октября 2003 г. с продлением на один год для некоторых «небольших планов». Однако из-за широко распространенной путаницы и трудностей в реализации этого правила Центры услуг Medicare и Medicaid (CMS) предоставили всем сторонам продление на один год. [53] 1 января 2012 г. вступают в силу новые версии ASC X12 005010 и NCPDP D.0, заменяющие предыдущие версии ASC X12 004010 и NCPDP 5.1. [54] Версия ASC X12 005010 обеспечивает механизм, позволяющий использовать ICD-10-CM, а также другие усовершенствования.
Согласно HIPAA, планы медицинского страхования, подпадающие под действие HIPAA, теперь обязаны использовать стандартизированные электронные транзакции HIPAA. См. 42 USC § 1320d-2 и 45 CFR, часть 162. Информацию об этом можно найти в окончательном правиле стандартов электронных транзакций HIPAA (74 Fed. Reg. 3296, опубликовано в Федеральном реестре 16 января 2009 г.), а также на сайте ЦМС. [55]
Набор транзакций EDI Health Care Claim Transaction Set (837) используется для подачи платежной информации о медицинских претензиях, информации о встречах или того и другого, за исключением претензий розничных аптек (см. EDI Retail Pharmacy Claim Transaction). Он может быть отправлен поставщиками медицинских услуг плательщикам либо напрямую, либо через посредников, выставляющих счета, и клиринговых палат по претензиям. Его также можно использовать для передачи заявок на медицинское обслуживание и информации о платежах между плательщиками с различными платежными обязанностями, когда требуется координация льгот, или между плательщиками и регулирующими органами для мониторинга оказания, выставления счетов и/или оплаты медицинских услуг в рамках конкретного периода. сегмент здравоохранения/страхования.
Например, государственное агентство по охране психического здоровья может обязать все заявления на медицинское обслуживание. Поставщики медицинских услуг и планы медицинского страхования, которые торгуют заявлениями о профессиональном (медицинском) медицинском обслуживании в электронном виде, должны использовать для отправки претензий 837 Health Care Claim: Professional. Поскольку существует множество различных бизнес-приложений для претензии в области здравоохранения, могут быть небольшие производные для покрытия претензий, включающих уникальные претензии, например, для учреждений, специалистов, мануальных терапевтов, стоматологов и т. д.
EDI Retail Pharmacy Claim Transaction ( NCPDP Telecommunication используется для подачи требований о розничных аптеках плательщикам медицинскими работниками, которые отпускают лекарства, напрямую или через посредников, выставляющих счета и расчетные центры по претензиям. Его также можно использовать для передачи претензий на услуги розничных аптек и выставления счетов на оплату). информация между плательщиками с различными платежными обязанностями, когда требуется координация льгот, или между плательщиками и регулирующими органами для мониторинга оказания, выставления счетов и/или оплаты розничных аптечных услуг в сегменте аптечного здравоохранения/страхования.
Набор транзакций EDI Health Care Claim Payment/Advice Transaction Set (835) можно использовать для совершения платежа, отправки объяснения льгот (EOB), отправки уведомления о денежном переводе объяснения платежей (EOP) или совершения платежа и отправки денежного перевода EOP. консультации только от страховой компании поставщику медицинских услуг напрямую или через финансовое учреждение.
Набор для регистрации и обслуживания льгот EDI (834) может использоваться работодателями, профсоюзами, государственными учреждениями, ассоциациями или страховыми агентствами для регистрации участников в качестве плательщика. Плательщиком является организация здравоохранения, которая оплачивает претензии, управляет страхованием, льготами или продуктами. Примерами плательщиков могут быть страховая компания, работник здравоохранения (HMO), организация предпочтительного поставщика услуг (PPO), государственное учреждение (Medicaid, Medicare и т. д.) или любая организация, с которой может быть заключен контракт с одной из этих бывших групп.
EDI Payroll Deducted и другая группа — «Выплата премии за страховые продукты» (820) — набор транзакций для осуществления выплаты премии за страховые продукты. Его можно использовать для того, чтобы обязать финансовое учреждение произвести платеж получателю платежа.
EDI Health Care Eligibility/Benefit Enquiry (270) используется для получения информации о медицинских льготах и правах, связанных с подписчиком или иждивенцем.
EDI Health Care Eligibility/Benefit Response (271) используется для ответа на запрос о льготах и правах на медицинское обслуживание, связанных с подписчиком или иждивенцем.
EDI Health Care Claim Status Request (276) — это набор транзакций, который может использоваться поставщиком, получателем медицинских продуктов или услуг или их уполномоченным агентом для запроса статуса медицинского требования.
Уведомление о статусе заявления о медицинском обслуживании EDI (277) — это набор транзакций, который может использоваться плательщиком медицинских услуг или уполномоченным агентом для уведомления поставщика, получателя или уполномоченного агента о статусе заявления или обращения за медицинским обслуживанием или для запроса дополнительной информации от поставщику услуг по поводу претензии или обращения за медицинской помощью. Этот набор транзакций не предназначен для замены набора транзакций по оплате/консультациям по медицинскому страхованию (835) и, следовательно, не используется для проводки платежей по счету. Уведомление находится на уровне сводки или детализации строки обслуживания. Уведомление может быть запрошенным или незапрошенным.
EDI Health Care Service Review Information (278) — это набор транзакций, который можно использовать для передачи информации о медицинских услугах, такой как данные об абонентах, пациентах, демографических данных, диагностике или лечении, с целью запроса на проверку, сертификации, уведомления или отчетности. результаты проверки медицинских услуг.
Набор транзакций функционального подтверждения EDI (997) представляет собой набор транзакций, который можно использовать для определения структур управления для набора подтверждений для указания результатов синтаксического анализа документов, закодированных в электронном виде. Хотя это конкретно не указано в законодательстве или окончательном правиле HIPAA, оно необходимо для обработки набора транзакций X12. Закодированные документы представляют собой наборы транзакций, которые сгруппированы в функциональные группы и используются при определении транзакций для обмена бизнес-данными. Этот стандарт не охватывает семантическое значение информации, закодированной в наборах транзакций.
Окончательное правило стандартов безопасности было опубликовано 20 февраля 2003 г. Правило безопасности дополняет Правило конфиденциальности. Хотя Правило конфиденциальности относится ко всей защищенной медицинской информации (PHI), включая бумажную и электронную, правило безопасности касается конкретно электронной защищенной медицинской информации (EPHI). В нем излагаются три типа мер безопасности, необходимых для обеспечения соответствия: административные, физические и технические. [58] Для каждого из этих типов Правило определяет различные стандарты безопасности, и для каждого стандарта указаны как требуемые, так и адресуемые спецификации реализации. Требуемые спецификации должны быть приняты и применяться в соответствии с Правилами. Адресные спецификации более гибкие. Отдельные субъекты, на которые распространяется действие страховки, могут оценить свою ситуацию и определить лучший способ реализации адресных спецификаций. Некоторые защитники конфиденциальности утверждают, что такая «гибкость» может предоставить слишком большую свободу действий субъектам, на которые распространяется действие закона. [59] Программные инструменты были разработаны для помощи субъектам, на которые распространяется действие страховки, в анализе рисков и отслеживании мер по устранению последствий. Стандарты и спецификации следующие:
Организации, на которые распространяется действие HIPAA, такие как поставщики медицинских услуг, выполняющие электронные транзакции, клиринговые центры здравоохранения и крупные планы медицинского страхования, должны использовать только национальный идентификатор поставщика (NPI) для идентификации покрываемых поставщиков медицинских услуг в стандартных транзакциях до 23 мая 2007 г. Небольшие планы медицинского страхования должны использовать только NPI до 23 мая 2007 г. 23 мая 2008 г. С мая 2006 г. (май 2007 г. для небольших планов медицинского страхования) все застрахованные организации, использующие электронные средства связи (например, врачи, больницы, компании медицинского страхования и т. д.), должны использовать единый новый NPI. NPI заменяет все другие идентификаторы, используемые планами медицинского страхования, Medicare, Medicaid и другими государственными программами. [60] Однако NPI не заменяет номер DEA поставщика, номер государственной лицензии или идентификационный номер налогоплательщика. NPI состоит из 10 цифр (может быть буквенно-цифровым), причем последняя цифра является контрольной суммой. NPI не может содержать никакого встроенного интеллекта; другими словами, NPI — это просто число, которое само по себе не имеет никакого дополнительного значения. НКО является уникальным и национальным, никогда не используется повторно, и, за исключением учреждений, поставщик обычно может иметь только один. Учреждение может получить несколько NPI для разных «подразделений», таких как отдельный онкологический центр или реабилитационный центр.
16 февраля 2006 г. HHS опубликовало Окончательное правило соблюдения HIPAA. Оно вступило в силу 16 марта 2006 г. Правоприменительное правило устанавливает гражданские денежные штрафы за нарушение правил HIPAA и устанавливает процедуры расследований и слушаний по нарушениям HIPAA. В течение многих лет уголовных дел за нарушения было мало. [61]
Ситуация могла измениться после оштрафования на 50 000 долларов Хосписа Северного Айдахо (HONI) как первой организации, которая была оштрафована за потенциальное нарушение правил безопасности HIPAA, затронувшее менее 500 человек. Рэйчел Сигер, пресс-секретарь HHS, заявила: «HONI не проводила точный и тщательный анализ рисков конфиденциальности ePHI [электронной защищенной медицинской информации] в рамках процесса управления безопасностью с 2005 года по 17 января 2012 года». Расследование было начато с кражи из автомобиля сотрудников незашифрованного ноутбука, содержащего 441 историю болезни. [62]
По состоянию на март 2013 года Министерство здравоохранения и социальных служб США (HHS) расследовало более 19 306 дел, которые были решены путем требования внесения изменений в практику конфиденциальности или принятия корректирующих мер. Если несоответствие установлено HHS, организации должны применить корректирующие меры. Жалобы были расследованы против многих различных видов бизнеса, таких как национальные аптечные сети, крупные центры здравоохранения, страховые группы, сети больниц и другие мелкие поставщики услуг. Было зарегистрировано 9 146 случаев, когда расследование HHS установило, что HIPAA соблюдалось правильно. Было 44 118 случаев, когда HHS не нашло подходящих оснований для принудительного исполнения; например, нарушение, которое началось до вступления в силу HIPAA; дела, отозванные преследователем; или деятельность, которая фактически не нарушает Правила.
Раздел III стандартизирует сумму, которая может быть сэкономлена на одного человека на медицинском сберегательном счете до уплаты налогов . Начиная с 1997 года, медицинский сберегательный счет («MSA») стал доступен работникам, охваченным спонсируемым работодателем планом с высокой франшизой, причем это мелкие работодатели и самозанятые лица.
Раздел IV определяет условия групповых планов медицинского страхования в отношении покрытия лиц с ранее существовавшими заболеваниями и изменяет требования к продлению страхового покрытия. Он также уточняет требования к продлению страхового покрытия и включает разъяснения COBRA .
Раздел V включает положения, касающиеся страхования жизни, принадлежащей компании, для работодателей, предоставляющих страховые взносы по страхованию жизни, принадлежащей компании, запрещающие налоговый вычет процентов по кредитам на страхование жизни, пожертвованиям компании или контрактам, связанным с компанией. Он также отменяет правило финансового учреждения о правилах распределения процентов. Наконец, он вносит поправки в положения закона, касающиеся людей, которые отказываются от гражданства или постоянного места жительства Соединенных Штатов, расширяя налог на экспатриацию , который будет взиматься с тех, кто, как считается, отказывается от своего статуса США по налоговым причинам, и делая имена бывших граждан частью публичный отчет посредством создания Ежеквартального издания о лицах, решивших эмигрировать . [63]
Принятие Правил конфиденциальности и безопасности привело к серьезным изменениям в работе врачей и медицинских центров. Сложные юридические вопросы и потенциально жесткие штрафы, связанные с HIPAA, а также увеличение объема документации и стоимости его внедрения вызвали беспокойство среди врачей и медицинских центров. В статье, опубликованной в августе 2006 года в журнале Annals of Internal Medicine, подробно описаны некоторые подобные опасения по поводу реализации и последствий HIPAA. [64]
Ограничения HIPAA для исследователей повлияли на их способность проводить ретроспективные исследования на основе диаграмм, а также на их способность проспективно оценивать пациентов, связываясь с ними для последующего наблюдения. Исследование, проведенное Мичиганским университетом, продемонстрировало, что внедрение правила конфиденциальности HIPAA привело к снижению с 96% до 34% доли контрольных опросов, проведенных участниками исследования, за которыми наблюдают после сердечного приступа . [65] Другое исследование, подробно описывающее влияние HIPAA на набор пациентов для исследования по профилактике рака, продемонстрировало, что изменения, предусмотренные HIPAA, привели к снижению набора пациентов на 73%, утроению времени, затрачиваемого на набор пациентов, и утроению среднего набора пациентов. расходы. [66]
Кроме того, формы информированного согласия на научные исследования теперь должны включать подробную информацию о том, как защищенная медицинская информация участника будет храниться в тайне. Хотя такая информация важна, добавление длинного юридического раздела о конфиденциальности может сделать эти и без того сложные документы еще менее удобными для пациентов, которых просят прочитать и подписать их.
Эти данные позволяют предположить, что правило конфиденциальности HIPAA в его нынешнем виде может оказывать негативное влияние на стоимость и качество медицинских исследований . Доктор Ким Игл, профессор внутренней медицины Мичиганского университета, в статье в Annals цитирует слова: «Конфиденциальность важна, но исследования также важны для улучшения медицинской помощи. Мы надеемся, что разберемся в этом и сделаем все правильно. ." [64]
Сложность HIPAA в сочетании с потенциально жесткими наказаниями для нарушителей может привести к тому, что врачи и медицинские центры будут скрывать информацию от тех, кто может иметь на нее право. Проверка соблюдения Правил конфиденциальности HIPAA, проведенная Счетной палатой правительства США, показала, что поставщики медицинских услуг «не были уверены в своих юридических обязанностях в отношении конфиденциальности и часто реагировали на раскрытие информации слишком осторожно… чем это было необходимо для обеспечения соблюдения требований Правило конфиденциальности». [64] Сообщения об этой неопределенности продолжают поступать. [67]
В период непосредственно перед принятием Закона о конфиденциальности и безопасности HIPAA медицинским центрам и медицинским учреждениям было предъявлено обвинение в «соблюдении требований». Сделав акцент на потенциально суровых наказаниях, связанных с нарушением, многие практики и центры обратились к частным коммерческим «консультантам HIPAA», которые были хорошо знакомы с деталями законодательства и предложили свои услуги, чтобы гарантировать, что врачи и медицинские центры будут полностью «соответствует».
Обучение и подготовка медицинских работников являются обязательным условием для правильного внедрения правил конфиденциальности и безопасности HIPAA. [68] [69]
«Люди придумывают, что означает эта аббревиатура».
Девен МакГроу, бывший заместитель директора HHS , цитата Vox [70]
Хотя аббревиатура HIPAA соответствует названию Публичного закона 104-191 1996 года « Закон о переносимости и подотчетности медицинского страхования » , HIPAA иногда ошибочно называют HIPPA , что, по-разному, относится к «Закону о конфиденциальности и переносимости медицинской информации» [71]. [72] «Закон о защите конфиденциальности медицинской информации», [70] или «Закон о конфиденциальности и защите медицинской информации». [73] Среди мошенников, связанных с COVID-19, были замечены ошибки в написании HIPPA . [74]
По данным Управления по гражданским правам Министерства здравоохранения и социальных служб США, в период с апреля 2003 г. по январь 2013 г. оно получило 91 000 жалоб о нарушениях HIPAA, из которых 22 000 привели к различного рода принудительным действиям (от урегулирования споров до штрафов), а 521 — к передачи в Министерство юстиции США как уголовные действия. [75] Примеры серьезных нарушений защищенной информации и других нарушений HIPAA включают:
По данным Koczkodaj et al., 2018, [78] общее число заболевших с октября 2009 года составляет 173 398 820 человек.
Различия между гражданскими и уголовными наказаниями суммированы в следующей таблице:
В 1994 году президент Клинтон заявил о своих целях по улучшению системы здравоохранения. Однако его реформы не увенчались успехом, скорее всего, из-за отсутствия поддержки. [79] Ежеквартальный альманах Конгресса 1996 года объясняет, как два сенатора, Нэнси Кассебаум (республиканец от штата Канзас) и Тед Кеннеди (демократ от Массачусетса), собрались вместе и создали законопроект, названный Законом о реформе медицинского страхования 1995 года или более известный как Закон Кассебаума. -Кеннеди Билл. [80] Этот законопроект застопорился, несмотря на то, что он был принят Сенатом. В обращении «О положении страны» в 1996 году Клинтон затронула этот вопрос, и это привело к двухпартийному сотрудничеству. [79] После долгих дебатов и переговоров, после того как был принят компромисс между Кеннеди и председателем бюджетного комитета Биллом Арчером , после того как в первоначальный законопроект Кассебаума-Кеннеди были внесены изменения, ситуация изменилась. [81] Вскоре после этого законопроект был подписан президентом Клинтоном и получил название «Акт о переносимости и подотчетности медицинского страхования 1996 года» (HIPAA).
{{cite journal}}: Требуется цитировать журнал |journal=( помощь ){{cite news}}: |first=имеет общее имя ( справка )CS1 maint: несколько имен: список авторов ( ссылка )Нарушение Закона о конфиденциальности и переносимости медицинской информации.
(«ХИППА»)
Закон о конфиденциальности и переносимости медицинского страхования (HIPPA) предусматривает, что ...