Медицинская конфиденциальность или конфиденциальность в отношении здоровья — это практика обеспечения безопасности и конфиденциальности записей пациентов . Это предполагает как свободу действий поставщиков медицинских услуг , так и безопасность медицинских записей . Эти термины могут также относиться к физической конфиденциальности пациентов от других пациентов и поставщиков медицинских услуг во время пребывания в медицинском учреждении , а также к скромности в медицинских учреждениях . Современные проблемы включают степень раскрытия информации страховым компаниям , работодателям и другим третьим лицам. Появление электронных медицинских записей (EMR) и систем управления уходом за пациентами (PCMS) вызвало новую озабоченность по поводу конфиденциальности, уравновешенную усилиями по сокращению дублирования услуг и медицинских ошибок . [1] [2]
Большинство развитых стран, включая Австралию, [3] Канаду, Турцию, Великобританию, США, Новую Зеландию и Нидерланды, приняли законы, защищающие конфиденциальность медицинской информации о здоровье людей. Однако многие из этих законов о конфиденциальности, обеспечивающих здоровье, на практике оказались менее эффективными, чем в теории. [4] В 1996 году в США был принят Закон о переносимости и подотчетности медицинского страхования (HIPAA), целью которого было ужесточение мер предосторожности в отношении конфиденциальности в медицинских учреждениях. [5]
История медицинской конфиденциальности восходит к клятве Гиппократа, которая предписывает хранить в тайне информацию, полученную при оказании помощи пациенту.
До технологического бума медицинские учреждения использовали бумажные носители для хранения индивидуальных медицинских данных. В настоящее время все больше и больше информации хранится в электронных базах данных . Исследования показывают, что хранить информацию на бумаге безопаснее, поскольку ее сложнее физически украсть, тогда как цифровые записи уязвимы для доступа хакеров.
В начале 1990-х годов для решения проблем конфиденциальности в сфере здравоохранения исследователи изучали возможность использования кредитных карт и смарт-карт для обеспечения безопасного доступа к медицинской информации с целью уменьшить опасения по поводу кражи данных. «Смарт-карта» позволяла хранить и обрабатывать информацию в одном микрочипе, однако люди боялись хранить так много информации в одном месте, к которому можно было бы легко получить доступ. [6] Эта «смарт-карта» включала номер социального страхования человека как важный элемент идентификации, который может привести к краже личных данных в случае взлома баз данных. [6] Кроме того, существовали опасения, что люди будут нацеливаться на эти медицинские карты, поскольку они содержат информацию, которая может представлять ценность для многих третьих сторон, включая работодателей, фармацевтические компании, торговцев лекарствами и страховых инспекторов. [6]
В ответ на отсутствие медицинской конфиденциальности возникло движение за улучшение защиты медицинской конфиденциальности, но официально ничего не было принято. Таким образом, Медицинское информационное бюро было создано для предотвращения страхового мошенничества, но с тех пор оно стало важным источником медицинской информации для более чем 750 компаний по страхованию жизни; таким образом, это очень опасно, поскольку является объектом нарушения конфиденциальности. [6] Хотя электронная система хранения медицинской информации повысила эффективность, а административные расходы сократились, есть и отрицательные аспекты, которые следует учитывать. Электронная система регистрации позволяет сделать индивидуальную информацию более доступной для посторонних; даже несмотря на то, что их информация хранится на одной карте. Таким образом, медицинская карта служит ложным чувством безопасности, поскольку не защищает полностью информацию.
Благодаря технологическому буму произошло расширение системы хранения записей, и поэтому многие больницы внедрили новую систему PCMS. [1] PCMS хранит большие объемы медицинских записей и личные данные многих людей. Они стали критически важными для эффективности хранения медицинской информации из-за большого объема документации, возможности быстрого обмена информацией между медицинскими учреждениями и увеличения обязательной отчетности перед правительством. [1] PCMS в конечном итоге увеличили продуктивность использования записей данных и создали большую зависимость от технологий в области медицины.
Это также привело к социальным и этическим проблемам, поскольку основные права человека считаются нарушенными PCMS, поскольку больницы и службы медицинской информации теперь с большей вероятностью будут делиться информацией со сторонними компаниями. [1] Таким образом, необходимо провести реформу, чтобы определить, какой персонал больниц имеет доступ к медицинским записям. Это привело к обсуждению прав на неприкосновенность частной жизни и создало гарантии, которые помогут хранителям данных понять ситуации, когда этично делиться медицинской информацией человека, предоставить людям способы получить доступ к своим собственным записям и определить, кто является владельцем этих записей. . [1] Кроме того, он используется для обеспечения конфиденциальности личности человека в исследовательских или статистических целях, а также для понимания процесса информирования людей о том, что их медицинская информация используется. [1] Таким образом, необходимо соблюдать баланс между приватностью и конфиденциальностью, чтобы ограничить объем раскрываемой информации и защитить права пациентов путем защиты конфиденциальной информации от третьих лиц.
Электронные медицинские записи являются более эффективным способом хранения медицинской информации, однако у этого типа системы хранения есть и много отрицательных сторон. Больницы готовы принять этот тип системы регистрации только в том случае, если они смогут обеспечить достаточную защиту частной информации своих пациентов. [2]
Исследователи обнаружили, что законодательство штатов США и регулирование законов о медицинской конфиденциальности сокращают количество больниц, применяющих EMR, более чем на 24%. [2] Это связано с уменьшением положительных сетевых внешних эффектов, создаваемых дополнительной государственной защитой. [2] С усилением ограничений на распространение медицинской информации больницы пренебрегают принятием новых EMR, поскольку законы о конфиденциальности ограничивают обмен медицинской информацией. С уменьшением числа медицинских учреждений, внедряющих систему регистрации EMR, план правительства США по созданию национальной сети здравоохранения не получил полного признания. [2] В конечном итоге национальная сеть обойдется в инвестиции в размере 156 миллиардов долларов США, однако для того, чтобы это произошло, правительству США необходимо уделять больше внимания защите конфиденциальности личности. [2] Многие политики и бизнес-лидеры считают, что EMR позволяют повысить эффективность как времени, так и денег, однако они пренебрегают решением проблемы снижения уровня защиты конфиденциальности, демонстрируя значительный компромисс между EMR и личной конфиденциальностью. [2]
Тремя целями информационной безопасности , включая безопасность электронной информации, являются конфиденциальность , целостность и доступность . Организации пытаются достичь этих целей, получивших название « Триада ЦРУ» , которая представляет собой «практику защиты информации от несанкционированного доступа, использования, раскрытия, нарушения, модификации, проверки, записи или уничтожения». [7]
В редакционной статье газеты Washington Post в 2004 году сенаторы США Билл Фрист и Хиллари Клинтон поддержали это наблюдение, заявив, что «[пациентам] нужна... информация, включая доступ к их собственным медицинским записям... В то же время мы должны обеспечить конфиденциальность систем, иначе они подорвут доверие, которое они призваны создать». В отчете Калифорнийского фонда здравоохранения за 2005 год было обнаружено, что «67 процентов респондентов в стране чувствовали себя «несколько» или «очень обеспокоены» конфиденциальностью своих личных медицинских записей».
Важность конфиденциальности электронных медицинских карт стала очевидной с принятием в 2009 году Закона о восстановлении и реинвестировании в США (ARRA). Одно из положений (известное как Закон о медицинских информационных технологиях для экономического и клинического здравоохранения [HITECH]) Закона ARRA Защитники конфиденциальности в Соединенных Штатах выразили обеспокоенность по поводу несанкционированного доступа к личным данным, поскольку все больше медицинских практик переходят с бумажных на электронные медицинские записи. [ нужна цитация ] Управление национального координатора по информационным технологиям здравоохранения (ONC) объяснило, что некоторые из мер безопасности, которые могут использовать системы EHR, - это пароли и PIN-коды, которые контролируют доступ к таким системам, шифрование информации и контрольный журнал для отслеживать изменения, вносимые в записи. [ нужна цитата ]
Предоставление доступа пациентов к электронным медицинским картам строго предусмотрено Правилом конфиденциальности HIPAA. Одно исследование показало, что ежегодно выдается около 25 миллионов принудительных разрешений на раскрытие личных медицинских записей. [ нужна цитата ] . Однако исследователи обнаружили, что в результате открываются новые угрозы безопасности. Некоторые из этих угроз безопасности и конфиденциальности включают хакеров, вирусы , червей и непредвиденные последствия скорости, с которой ожидается раскрытие их записей о пациентах, часто содержащих конфиденциальные термины, которые несут риск случайного раскрытия. [8]
Эти угрозы конфиденциальности стали еще более заметными с появлением « облачных вычислений », которые представляют собой использование общей вычислительной мощности компьютера. [9] Организации здравоохранения все чаще используют облачные вычисления как способ обработки больших объемов данных. Однако этот тип хранения данных подвержен стихийным бедствиям , киберпреступности и технологическому терроризму , а также сбоям оборудования. Утечки медицинской информации составили 39 процентов всех нарушений в 2015 году. Затраты и внедрение ИТ-безопасности необходимы для защиты медицинских учреждений от нарушений безопасности и данных. [10]
Хотя вопросы конфиденциальности при медицинском обследовании вызывают серьезную озабоченность среди отдельных лиц и организаций, мало внимания уделяется объему работы, проводимой в рамках закона для поддержания ожиданий конфиденциальности, которых желают люди. [11] Многие из этих проблем связаны с абстрактностью термина «конфиденциальность», поскольку существует множество различных интерпретаций этого термина, особенно в контексте закона. [11] До 1994 года не было случаев, касающихся практики скрининга и последствий для медицинской конфиденциальности человека, за исключением случаев, связанных с тестированием на ВИЧ и наркотики. [11] В деле «Гловер против Управления по делам умственно отсталых в Восточной Небраске» сотрудница подала в суд на своего работодателя за нарушение ее прав , предусмотренных четвертой поправкой, из-за ненужного тестирования на ВИЧ . [11] Суд вынес решение в пользу работодателя и заявил, что проведение проверки было необоснованным. Однако это был лишь один из немногих прецедентов, которыми людям пришлось воспользоваться. Чем больше прецедентов, тем лучше будут определены отношения между работниками и работодателями. Тем не менее, при наличии большего количества требований тестирование среди пациентов приведет к появлению дополнительных стандартов для соответствия стандартам здравоохранения. [11] Скрининг стал важным индикатором для диагностических инструментов, однако существуют опасения по поводу информации, которую можно получить и впоследствии передать другим людям, помимо пациента и поставщика медицинских услуг.
Одной из главных опасностей для частной жизни человека являются частные корпорации из-за прибыли, которую они могут получить от продажи, казалось бы, частной информации. [12] Продавцы конфиденциальности состоят из двух групп: одна пытается собирать личную информацию людей, а другая занимается использованием информации клиента для продвижения продуктов компании. [12] Впоследствии торговцы конфиденциальностью приобретают информацию у других компаний, таких как компании медицинского страхования , если в результате их собственных исследований недостаточно информации. [12] Торговцы конфиденциальностью нацелены на компании медицинского страхования, потому что в настоящее время они собирают огромные объемы личной информации и хранят ее в больших базах данных. Они часто требуют от пациентов предоставить больше информации, которая необходима для целей, отличных от целей врачей и других медицинских работников. [12]
Кроме того, информация о людях может быть связана с другой информацией за пределами медицинской области. Например, многие работодатели используют информацию о страховании и медицинские записи как показатель трудоспособности и этики. [12] Продажа конфиденциальной информации также может привести к тому, что работодатели заработают много денег; однако со многими людьми это происходит без их согласия или ведома.
В Соединенных Штатах, чтобы определить четкие законы о конфиденциальности в отношении медицинской конфиденциальности, Раздел 17 подробно объясняет право собственности на свои данные и корректирует закон таким образом, чтобы люди имели больший контроль над своей собственностью. [13] Закон о конфиденциальности 1974 года предлагает дополнительные ограничения относительно того, к чему корпорации могут получить доступ без согласия человека. [13]
Штаты создали дополнительные дополнения к законам о медицинской конфиденциальности. Благодаря HIPAA многие люди были рады видеть, что федеральное правительство приняло меры по защите медицинской информации людей. Тем не менее, когда люди заглянули в это, оказалось, что правительство все еще защищает права корпораций. [13] Многие правила рассматривались как скорее предложения, а наказание за нарушение конфиденциальности пациентов было минимальным. [13] Даже если для раскрытия медицинской информации требуется согласие, пустые разрешения могут быть разрешены и не требуют от отдельных лиц дополнительного согласия в дальнейшем. [13]
Хотя существует большая группа людей, которые выступают против продажи личной медицинской информации, есть такие группы, как Коалиция по страхованию здоровья, Совет лидеров здравоохранения и Американская ассоциация медицинского страхования , которые выступают против новых реформ по защите данных, поскольку они может разрушить их работу и прибыль. [12] Предыдущие разногласия, такие как «Проект Найтингейл» Google в 2019 году, продемонстрировали потенциальные дыры в регулировании данных пациентов и медицинской информации. Проект Nightingale, совместный проект Google и сети здравоохранения Ascension, занимался продажей медицинской информации миллионов пациентов без их согласия. Хотя Google заявила, что их процесс получения информации был законным, исследователи выразили обеспокоенность по этому поводу. [14]
Из-за отсутствия помощи со стороны Министерства здравоохранения и социальных служб возник конфликт интересов, который стал очевидным. Некоторые хотят придать индивидуальному улучшению более важное значение, в то время как другие больше внимания уделяют внешним выгодам из внешних источников. Проблемы, возникающие при возникновении проблем между двумя группами, также не решаются должным образом, что приводит к противоречивым законам и последствиям. [15] Индивидуальные интересы имеют приоритет над благами общества в целом и часто рассматриваются как эгоистичные и направленные на получение капитальной стоимости. Если правительство в будущем не внесет никаких изменений в действующее законодательство, бесчисленное количество организаций и людей получат доступ к индивидуальной медицинской информации. [15]
В 1999 году Закон Грэмма-Лича-Билли (GLBA) обратился к дебатам о конфиденциальности в страховании, касающимся конфиденциальности медицинской информации. [16] Тем не менее, было много проблем с реализацией. Одна из проблем заключалась в том, что в разных штатах существовали противоречивые требования к регулированию из-за ранее существовавших законов. [16] Во-вторых, было трудно объединить ранее существовавшие законы с новой базой. [16] И в-третьих, для того, чтобы федеральное правительство реализовало эти новые правила, им нужно было, чтобы законодательный орган штата принял их. [16]
GLBA стремилась регулировать финансовые учреждения, чтобы корпорации не могли влиять на страхование людей. Из-за сложности реализации GLBA законодательные органы штатов могут сами интерпретировать законы и создавать инициативы по защите медицинской конфиденциальности. [16] Когда штаты создают свои собственные независимые законодательные органы, они создают стандарты, которые понимают влияние законодательства. [16] Если они отклоняются от стандартных законов, они должны быть действительными и справедливыми. Новое законодательство должно защитить права предприятий и позволить им продолжать функционировать, несмотря на регулируемую на федеральном уровне конкуренцию. Пациенты получают преимущества от этих новых услуг и стандартов благодаря потоку информации, который учитывает ожидания медицинской конфиденциальности. [16]
Эти правила должны больше фокусироваться на потребителе, а не на выгодах и политической эксплуатации. Во многих случаях регулирование направлено на личную выгоду корпорации, поэтому законодательные органы штатов относятся к этому с осторожностью и стараются предотвратить это в меру своих возможностей. [16] Медицинская конфиденциальность не является новой проблемой в страховой отрасли , однако проблемы, связанные с эксплуатацией, продолжают возникать вновь; больше внимания уделяется использованию деловой среды для личной выгоды. [16]
В 2001 году президент Джордж Буш принял дополнительные правила HIPAA , чтобы лучше защитить конфиденциальность индивидуальной медицинской информации. [17] Эти новые правила должны были гарантировать конфиденциальность медицинской информации путем создания обширных решений для обеспечения конфиденциальности пациентов. Цели нового регулирования включали уведомление после проверки информации о человеке, внесение изменений в любые медицинские записи и запрос возможностей связи для обсуждения раскрытия информации. [17]
Однако существуют исключения, когда раскрытие ЗМИ может быть проверено. Сюда входят особые условия, связанные с правоохранительными органами, судебными и административными процессами, родителями, близкими людьми, общественным здравоохранением, медицинскими исследованиями и коммерческим маркетингом . [17] Эти аспекты отсутствия конфиденциальности вызвали тревожное количество пробелов в мерах конфиденциальности.
В конечном счете, все еще существует проблема обеспечения конфиденциальности; В ответ правительство создало новые правила, которые устанавливают компромисс между частной жизнью человека и общественной пользой. Однако эти новые правила по-прежнему охватывают индивидуально идентифицируемую медицинскую информацию — любые данные, которые содержат информацию, уникальную для человека. [17] Однако неидентифицируемые данные не подпадают под действие закона, поскольку правительство утверждает, что они нанесут минимальный ущерб частной жизни человека. Он также охватывает все организации здравоохранения, а также предприятия.
Кроме того, согласно новым дополнениям к HIPAA, законодательство штата обеспечивает большую защиту, чем национальные законы, поскольку оно создает больше обязательств для организаций. В конечном итоге новые правила предусматривали ужесточение требований, которые создали более эффективные меры безопасности для людей. [17] Тем не менее, все еще существуют способы, с помощью которых предприятия и медицинские организации могут быть освобождены от правил раскрытия информации для всех лиц. Таким образом, HHS необходимо найти больше способов сбалансировать личные и общественные компромиссы в рамках медицинского законодательства. Это создает необходимость дополнительного вмешательства правительства для обеспечения соблюдения законодательства и новых стандартов, чтобы уменьшить количество угроз конфиденциальности медицинских данных человека. [ мнение ]
Пандемия COVID-19 привела к глобальным усилиям по использованию таких технологий, как отслеживание контактов, для уменьшения распространения болезни. Отслеживание контактов предполагает уведомление людей о том, что они контактировали с человеком, у которого оказался положительный результат теста на вирус. Это привело к тому, что широкая общественность была обеспокоена рисками конфиденциальности, связанными с этой технологией. В ответ в апреле 2020 года Apple и Google создали API для отслеживания контактов. [18]
Пациенты хотят иметь возможность делиться медицинской информацией со своими врачами, но их беспокоят потенциальные нарушения конфиденциальности, которые могут произойти, когда они разглашают финансовую и конфиденциальную медицинскую информацию. [19] Чтобы обеспечить лучшую защиту, правительство создало структуру для сохранения конфиденциальности информации – это включает в себя прозрачность процедур, раскрытие и защиту информации, а также мониторинг этих новых правил для обеспечения конфиденциальности информации людей. [19]
В последнее время врачи и пациенты начали использовать электронную почту как дополнительный инструмент связи для лечения и медицинского взаимодействия. Этот способ общения не является «новым», но его влияние на отношения между врачом и пациентом создало новые вопросы, касающиеся юридических, моральных и финансовых проблем. [20]
Американская ассоциация медицинской информатики охарактеризовала медицинские электронные письма как способ передачи «медицинских советов, лечения и профессионального обмена информацией»; тем не менее, роль «спонтанности, постоянства и информационной силы, характеризующая» важна из-за ее неизвестных эффектов. [20] Однако использование электронной почты позволяет расширить доступ, оказать немедленную помощь и улучшить взаимодействие между пациентами и врачами. [20] Использование электронной почты имеет множество преимуществ и отрицательных сторон; врачи испытывают новое чувство негативной ответственности за ответы на электронные письма за пределами офиса, но также находят преимущества в обеспечении быстрого ответа на вопросы пациентов. [20]
Кроме того, использование электронной почты между врачами и их пациентами будет продолжать расти из-за растущего использования Интернета. Благодаря Интернету пациенты могут обратиться за медицинской помощью и лечением, однако при этом возникают вопросы, касающиеся конфиденциальности и юридических вопросов. [20] В конечном счете, электронные письма между врачом и пациентом должны использоваться в качестве дополнения к личному общению, а не для случайных сообщений. При правильном использовании врачи могли бы использовать электронную почту как способ дополнить взаимодействие и предоставить больше медицинской помощи тем, кто в ней нуждается немедленно. [20]
Хотя многие люди считают, что технологические изменения являются причиной страха разглашения медицинской конфиденциальной информации, существует теория, согласно которой институциональные идеалы между врачами и их пациентами создали страх перед раскрытием медицинской информации, касающейся конфиденциальности. [21] Хотя уровни конфиденциальности меняются, люди часто чувствуют необходимость поделиться дополнительной информацией со своими врачами, чтобы поставить правильный диагноз. [21] Из-за этого люди обеспокоены тем, сколько информации есть у их врачей. Эта информация может быть передана другим сторонним компаниям. Однако есть призыв уделять меньше внимания обмену информацией и конфиденциальности, чтобы избавить пациентов от опасений утечки информации. [21] Существует распространенное мнение, что конфиденциальность личной информации также защищает только врачей, а не пациентов, поэтому существует негативная стигма в отношении раскрытия слишком большого количества информации. [21] Таким образом, это заставляет пациентов не делиться важной информацией, имеющей отношение к их заболеваниям.
1 июля 2012 года правительство Австралии запустило систему персонально контролируемых электронных медицинских карт (PCEHR) (eHealth). [22] Полная реализация включает в себя электронное резюме, подготовленное назначенными поставщиками медицинских услуг, а также примечания, предоставленные потребителями. Кроме того, резюме включает информацию об аллергиях человека, побочных реакциях, лекарствах, прививках, диагнозах и методах лечения. Заметки потребителя действуют как личный медицинский дневник, который может просматривать и редактировать только человек. [23] Система подписки дает людям возможность выбрать, регистрироваться для записи электронного здравоохранения или нет. [24]
С января 2016 года Департамент здравоохранения Содружества изменил название PCEHR на My Health Record. [25]
Закон о персональных медицинских записях 2012 года [26] и Закон о конфиденциальности 1988 года регулируют управление и защиту информации электронных медицинских записей. [27] Оператор системы PCEHR соблюдает Принципы конфиденциальности информации [28] Закона о конфиденциальности 1988 года (Содружество), а также любые применимые законы о конфиденциальности штата или территории. [29] Положение о конфиденциальности [30] определяет порядок сбора личной информации Оператором системы. Заявление включает объяснение типов собираемой личной информации, для чего она используется и как она хранится. В заявлении рассматриваются меры по защите личной информации от неправильного использования, потери, несанкционированного доступа, изменения и раскрытия. [31]
Меры безопасности включают контрольные журналы, позволяющие пациентам видеть, кто имел доступ к их медицинским записям, а также время доступа к ним. Другие меры включают использование шифрования, а также безопасных логинов и паролей. Записи пациентов идентифицируются с использованием индивидуального идентификатора здоровья (IHI), [32] присвоенного Medicare , поставщика услуг IHI. [31] [33]
В ходе общенационального опроса, проведенного в Австралии в 2012 году, были оценены проблемы конфиденциальности, связанные с решениями пациентов о медицинском обслуживании, которые могут повлиять на уход за пациентами. Результаты показали, что 49,1% австралийских пациентов заявили, что они скрыли или будут скрывать информацию от своего поставщика медицинских услуг из соображений конфиденциальности. [34]
Одна из проблем заключается в том, что личный контроль над записями электронного здравоохранения посредством согласия не гарантирует защиту конфиденциальности. Утверждается, что узкое определение «разрешение» или «соглашение» не обеспечивает защиту конфиденциальности и недостаточно широко представлено в австралийском законодательстве. PCEHR позволяет врачам получать согласие путем участия потребителей в системе; однако потребности потребителя могут быть не удовлетворены. Критики утверждают, что требуется более широкое определение «информированного согласия», поскольку оно включает в себя предоставление соответствующей информации практикующим врачом и понимание этой информации пациентом. [35]
Данные PCEHR будут преимущественно использоваться в здравоохранении пациентов, но возможны и другие виды использования в целях политики, исследований, аудита и общественного здравоохранения. Вызывает обеспокоенность то, что в случае исследований разрешенное выходит за рамки существующего законодательства о конфиденциальности. [35]
Участие фармацевтических компаний рассматривается как потенциально проблематичное. Если общественность будет считать, что они больше озабочены прибылью, чем общественным здравоохранением, общественное признание использования ими PCEHR может быть поставлено под сомнение. Проблемной также воспринимается возможность того, что стороны, помимо практикующих работников здравоохранения, такие как страховые компании, работодатели, полиция или правительство, могут использовать информацию таким образом, что это может привести к дискриминации или ущемлению прав. [35]
Считается, что «утечка» информации может отбить охоту как у пациента, так и у врача от участия в системе. Критики утверждают, что инициатива PCEHR может работать только в том случае, если будет установлен безопасный и эффективный континуум медицинской помощи в рамках доверительных отношений между пациентом и врачом. Если пациенты теряют доверие к конфиденциальности своей информации электронного здравоохранения, они могут скрыть конфиденциальную информацию от своих поставщиков медицинских услуг. Клиницисты могут не захотеть участвовать в системе, в которой они не уверены в полноте информации. [36]
Эксперты по безопасности поставили под сомнение процесс регистрации, в котором регистрирующимся необходимо предоставить только номер карты Medicare , а также имена и даты рождения членов семьи для проверки их личности. Некоторые заинтересованные стороны также выразили обеспокоенность по поводу сложностей, присущих функциям ограниченного доступа. Они предупреждают, что доступ к содержимому записей PCEHR может включать передачу информации в локальную систему, где контроль доступа PCEHR больше не будет применяться. [33]
Конфиденциальность информации о пациентах в Канаде защищена как на федеральном уровне , так и на уровне провинций . Законодательство о медицинской информации установило правила, которые должны соблюдаться при сборе, использовании, раскрытии и защите медицинской информации медицинскими работниками, известными как «хранители». Было определено, что к этим хранителям относятся почти все специалисты здравоохранения (включая всех врачей, медсестер, мануальных терапевтов, операторов машин скорой помощи и операторов домов престарелых). Помимо регулирующих органов конкретных медицинских работников, центральную роль в защите информации пациентов играют провинциальные комиссии по конфиденциальности.
Конфиденциальность информации о пациентах гарантируется статьями 78 и 100 Кодекса законов 5510.
С другой стороны, Институт социального обеспечения (SGK), который регулирует и управляет спонсируемыми государством пособиями по социальному обеспечению/страхованию, продает информацию о пациентах после предположительной анонимизации данных, что было подтверждено 25 октября 2014 г. [37]
Национальная служба здравоохранения все чаще использует электронные медицинские записи , но до недавнего времени записи, хранящиеся в отдельных организациях NHS, таких как врачи общей практики, трасты NHS , стоматологи и аптеки, не были связаны между собой. Каждая организация несла ответственность за защиту собранных ею данных о пациентах. Забота . Программа данных , которая предлагала извлекать анонимные данные об операциях врачей общей практики в центральную базу данных, вызвала значительное сопротивление.
В 2003 году Национальная служба здравоохранения предприняла шаги по созданию централизованного электронного реестра медицинских записей. Система защищена правительственным шлюзом Великобритании, созданным Microsoft . Эта программа известна как Программа разработки и внедрения электронных записей (ERDIP). Национальную программу NHS по информационным технологиям подвергли критике за отсутствие безопасности и конфиденциальности пациентов. Это был один из проектов, который заставил комиссара по информации предупредить [38] об опасности «лунатизма» страны в обществе наблюдения . Группы давления [ по мнению кого? ] против удостоверений личности также выступали против централизованного реестра.
В газетах публикуются истории о потерянных компьютерах и картах памяти, но более распространенной и давней проблемой является доступ сотрудников к записям, которые они не имеют права видеть. Сотрудники всегда имели возможность просмотреть бумажные записи, но в большинстве случаев записи отсутствуют. Таким образом, электронные записи позволяют отслеживать, кто к каким записям имел доступ. Национальная служба здравоохранения Уэльса создала Национальную интеллектуальную интегрированную систему аудита, которая предоставляет «ряд автоматически генерируемых отчетов, предназначенных для удовлетворения потребностей наших местных советов и трестов здравоохранения, мгновенно выявляя любые потенциальные проблемы, когда доступ не был законным». Maxwell Stanley Consulting [39] будет использовать систему под названием Patient Data Protect (на базе VigilancePro), которая сможет выявлять закономерности – например, получает ли кто-то доступ к данным о своих родственниках или коллегах. [40]
С 1974 года в Соединенных Штатах было принято множество федеральных законов, определяющих права на конфиденциальность и защиту пациентов, врачей и других лиц, на которые распространяется действие медицинских данных. Многие штаты приняли свои собственные законы, чтобы попытаться лучше защитить медицинскую конфиденциальность своих граждан.
Важным национальным законом, касающимся конфиденциальности медицинской информации, является Закон о переносимости и подотчетности медицинского страхования 1996 года (HIPAA), однако существует много разногласий относительно прав на защиту закона.
Наиболее всеобъемлющим принятым законом является Закон о переносимости и подотчетности медицинского страхования 1996 года (HIPAA), который позже был пересмотрен после принятия Окончательного сводного правила в 2013 году. HIPAA обеспечивает федеральный минимальный стандарт конфиденциальности медицинской информации, устанавливает стандарты использования и раскрытия защищенной медицинской информации. информации (PHI) и предусматривает гражданские и уголовные наказания за нарушения.
До HIPAA только определенные группы людей были защищены медицинскими законами, например, люди с ВИЧ или те, кто получал помощь по программе Medicare. [41] HIPAA обеспечивает защиту медицинской информации и дополняет дополнительные законы штата и федеральные законы; однако следует понимать, что цель закона состоит в том, чтобы сбалансировать пользу для общественного здравоохранения, безопасность и исследования, одновременно защищая медицинскую информацию отдельных лиц. Тем не менее, во многих случаях конфиденциальность оказывается под угрозой ради пользы исследований и общественного здравоохранения.
Согласно HIPAA, субъектами, на которые распространяется действие закона, которые должны соблюдать установленные законом требования, являются планы медицинского страхования, информационные центры здравоохранения и поставщики медицинских услуг, которые передают закрытую медицинскую информацию в электронном виде. Деловые партнеры этих организаций, на которые распространяется действие страховки, также подпадают под действие правил и положений HIPAA.
В 2008 году Конгресс принял Закон о недискриминации генетической информации 2008 года (GINA) , целью которого было запретить генетическую дискриминацию лиц, ищущих медицинскую страховку и работу. Закон также включал положение, которое предписывало хранить генетическую информацию, хранящуюся у работодателей, в отдельном файле и запрещало раскрытие генетической информации, за исключением ограниченных обстоятельств.
В 2013 году, после принятия GINA, Сводное правило HIPAA внесло поправки в правила HIPAA, включив генетическую информацию в определение защищенной медицинской информации (PHI). Это правило также расширило HIPAA, расширив определение деловых партнеров, включив в него любую организацию, которая отправляет защищенную медицинскую информацию или получает к ней доступ, например, поставщиков медицинских ИТ .
Закон о переносимости и подотчетности медицинского страхования (HIPAA) подвергается критике за то, что он не обеспечивает надежную защиту медицинской конфиденциальности, поскольку он содержит только правила, раскрывающие определенную информацию. [42]
Правительство разрешает доступ к медицинской информации человека для «лечения, оплаты и вариантов медицинского обслуживания без согласия пациента». [42] Кроме того, правила HIPAA очень широки и не защищают человека от неизвестных угроз конфиденциальности. Кроме того, пациент не сможет определить причину нарушения из-за противоречивых требований. [42] Из-за ограниченной конфиденциальности HIPAA облегчает обмен медицинской информацией, поскольку ограничения со стороны различных организаций невелики. [42] Информацией можно легко обмениваться между медицинскими учреждениями и другими немедицинскими учреждениями из-за слабого регулирования HIPAA - некоторые последствия включают потерю работы из-за разделения кредитного рейтинга или потери страховки. [42]
Кроме того, врачи не обязаны сохранять конфиденциальность информации о пациентах, поскольку во многих случаях согласие пациента теперь не является обязательным. Пациенты часто не осознают отсутствия у них конфиденциальности, поскольку в медицинских процессах и формах прямо не указывается степень их защиты. [42] Врачи считают, что в целом HIPAA приведет к неэтичным и непрофессиональным требованиям, которые могут повлиять на конфиденциальность человека, и поэтому в ответ они должны предупреждать о своих проблемах с конфиденциальностью. [42] Поскольку врачи не могут обеспечить конфиденциальность человека, существует более высокая вероятность того, что пациенты с меньшей вероятностью получат лечение и расскажут о своих медицинских проблемах. [42] Люди просили ужесточить требования к согласию, спрашивая, могут ли врачи предупреждать их перед раскрытием какой-либо личной информации. [43] Пациенты хотят иметь возможность делиться медицинской информацией со своими врачами, но их беспокоят потенциальные нарушения, которые могут привести к раскрытию финансовой информации и другой конфиденциальной информации, и из-за этого страха они опасаются, кто может иметь доступ. [43]
Чтобы обеспечить лучшую защиту, правительство создало механизмы сохранения конфиденциальности информации, некоторые из которых включают прозрачность процедур, раскрытие и защиту информации, а также мониторинг этих новых правил, чтобы гарантировать, что утечка информации не повлияет на информацию людей. [43] Хотя существует множество механизмов, обеспечивающих защиту основных медицинских данных, многие организации не соблюдают эти положения. HIPAA дает ложную надежду пациентам и врачам, поскольку они не могут защитить свою информацию. Пациенты имеют мало прав в отношении своих прав на медицинскую конфиденциальность, и врачи не могут гарантировать их. [44]
HIPAA не защищает информацию отдельных лиц, поскольку правительство может публиковать определенную информацию, когда сочтет это необходимым. Правительство освобождено от правил конфиденциальности, касающихся национальной безопасности. HIPAA дополнительно разрешает авторизацию защищенной медицинской информации (PHI) для устранения угроз общественному здоровью и безопасности, если это соответствует требованию добросовестности – идее о том, что раскрытие информации необходимо на благо общества. [45] Типовой закон о чрезвычайных полномочиях штата (MSEHPA) дает правительству право «приостанавливать действие правил, конфисковывать имущество, помещать людей в карантин и обеспечивать вакцинацию» и требует, чтобы поставщики медицинских услуг предоставляли информацию о потенциальных чрезвычайных ситуациях в области здравоохранения». [45]
Что касается урагана Катрина , многие люди в Луизиане полагались на Medicaid, и впоследствии это повлияло на их PHI. Права людей на неприкосновенность частной жизни вскоре были отменены, чтобы пациенты могли получить необходимое им лечение. Однако многие пациенты не знали, что от их прав отказались. [45] Чтобы предотвратить разглашение личной информации в случае будущих стихийных бедствий, был создан веб-сайт для защиты медицинских данных людей. [45] В конечном итоге, Катрина показала, что правительство не было готово к угрозе здоровью в стране.
Многие пациенты ошибочно полагают, что HIPAA защищает всю медицинскую информацию. HIPAA обычно не распространяется на фитнес-трекеры, сайты социальных сетей и другие данные о здоровье, созданные пациентом. Информацию о здоровье пациенты могут раскрывать в электронных письмах, блогах, чат-группах или на сайтах социальных сетей, включая сайты, посвященные конкретным заболеваниям, лайки веб-страницам о болезнях, заполнение онлайн-проверок состояния здоровья и симптомов, а также пожертвования на цели здравоохранения. Кроме того, HIPAA также не распространяется на оплату кредитными картами доплаты за посещение врача, покупку безрецептурных (OTC) лекарств, продуктов для домашнего тестирования, табачных изделий и посещение альтернативных практикующих врачей.
Исследование 2015 года показало, что потребителям доступно более 165 000 приложений для здоровья. На лечение и ведение заболеваний приходится почти четверть потребительских приложений. Две трети приложений ориентированы на фитнес и хорошее самочувствие, а десять процентов этих приложений могут собирать данные с устройства или датчика. Поскольку Управление по санитарному надзору за качеством пищевых продуктов и медикаментов (FDA) регулирует только медицинские устройства, а большинство из этих приложений не являются медицинскими устройствами, они не требуют одобрения FDA. Данные большинства приложений не подпадают под действие правил HIPAA, поскольку они не передают данные поставщикам медицинских услуг. «Пациенты могут ошибочно предположить, что мобильные приложения подпадают под действие HIPAA, поскольку одни и те же данные, такие как частота сердечных сокращений, могут быть собраны с помощью приложения, доступного их врачу и на которое распространяется действие HIPAA, или с помощью мобильного приложения, которое недоступно. врачу и не покрывается HIPAA.
В 2000 году произошел новый всплеск добавления новых правил в HIPAA. Он включал в себя следующие цели: защитить индивидуальную медицинскую информацию путем обеспечения безопасного доступа и контроля собственной информации, улучшить качество здравоохранения за счет создания большего доверия между потребителями, их поставщиками медицинских услуг и сторонними организациями, а также повысить эффективность медицинской системы за счет новые правила и положения, выдвинутые местными органами власти, отдельными лицами и организациями. [46]
Реализация этих новых целей была осложнена сменой администрации (Клинтона на Буша), поэтому было трудно успешно реализовать изменения. [46] Теоретически HIPAA должен применяться ко всем страховым компаниям, службам и организациям, однако существуют исключения в отношении тех, кто фактически подпадает под эти категории.
Тем не менее, внутри каждой категории существуют определенные ограничения, которые различаются в каждой категории. Не существует универсальных законов, которые можно было бы легко применять и которым было бы легко следовать организациям. Таким образом, многие государства пренебрегают реализацией этой новой политики. Кроме того, появились новые права пациентов, которые требуют лучшей защиты и раскрытия медицинской информации. Однако, как и новые правила в отношении страховых компаний, применение законодательства ограничено и неэффективно, поскольку оно слишком широкое и сложное. [46] Поэтому многим организациям сложно обеспечить конфиденциальность этих людей. Обеспечение соблюдения этих новых требований также заставляет компании тратить много ресурсов, которые они не желают использовать и обеспечивать соблюдение, что в конечном итоге приводит к дальнейшим проблемам, связанным с вторжением в медицинскую частную жизнь человека. [46]
Закон штата Орегон о генетической конфиденциальности (GPA) гласит, что «генетическая информация человека является собственностью человека». [47] Идея сравнения ДНК человека с собственностью возникла, когда исследования поставили под угрозу неприкосновенность частной жизни человека. Многие люди считали, что их генетическая информация «более конфиденциальная, личная и потенциально опасная, чем другие виды медицинской информации». [47] Таким образом, люди начали призывать к усилению защиты. Люди начали задаваться вопросом, как их ДНК сможет оставаться анонимными в рамках научных исследований, и утверждали, что личность человека может быть раскрыта, если результаты исследования будут позже опубликованы. В результате прозвучал призыв к людям относиться к своей ДНК как к собственности и защищать ее правами собственности. Таким образом, люди могут контролировать раскрытие своей информации без дополнительных расспросов и исследований. [47] Многие люди считали, что сравнивать свою ДНК с собственностью неуместно, однако некоторые утверждали, что собственность и неприкосновенность частной жизни взаимосвязаны, поскольку они оба хотят защитить право на контроль над своим телом. [47]
Многие исследовательские и фармацевтические компании выступили против, поскольку были обеспокоены конфликтами, которые могут возникнуть в связи с вопросами конфиденциальности в их работе. С другой стороны, отдельные люди продолжали поддерживать этот закон, потому что хотели защитить свою собственную ДНК. [47] В результате законодатели пришли к компромиссу, который включал положение о собственности, которое давало бы людям права на защиту, но также включало положения, которые позволяли бы проводить исследования без особого согласия, ограничивая преимущества этих положений. [47] После этого был создан комитет для изучения последствий этого закона и того, как он повлиял на способ его анализа и хранения. [47] Они обнаружили, что этот закон принес пользу многим людям, которые не хотели, чтобы их конфиденциальная информация была передана другим, и поэтому закон был официально введен в действие в 2001 году. [47]
Чтобы решить проблемы HIPAA в Коннектикуте, законодательные органы штатов попытались создать более эффективные положения для защиты людей, живущих в штате. [41] Одной из проблем, которую Коннектикут пытался решить, были проблемы с согласием. В рамках положения о согласии планам медицинского страхования и информационным центрам здравоохранения не требуется получать согласие от отдельных лиц, поскольку общая форма согласия поставщика дает поставщикам медицинских услуг разрешение раскрывать всю медицинскую информацию. [41] Таким образом, пациент не получает уведомления, когда его информация впоследствии передается. [41]
Коннектикут, как и многие другие штаты, пытался защитить информацию отдельных лиц от раскрытия информации с помощью дополнительных положений, которые защищали бы их от инициатив бизнеса. [41] Для этого законодательный орган Коннектикута принял Закон Коннектикута о страховой информации и защите конфиденциальности, который обеспечивает дополнительную защиту индивидуальной медицинской информации. Если третьи лица не будут следовать этому закону, они будут оштрафованы, им может грозить тюремное заключение, а их лицензии могут быть приостановлены. [41] Тем не менее, даже в этих дополнительных положениях в этом законодательстве было много дыр, которые позволяли отклонять деловые соглашения, и впоследствии информация была скомпрометирована. Коннектикут все еще работает над тем, чтобы сместить свои расходящиеся цели в сторону создания более строгих требований, которые обеспечивают лучшую защиту посредством четких положений определенных политик. [48]
В Калифорнии Закон о конфиденциальности медицинской информации (CMIA) обеспечивает более строгую защиту, чем федеральные законы. [49] HIPAA прямо предусматривает, что более строгие законы штатов, такие как CMIA, будут иметь приоритет над требованиями и штрафами HIPAA. В частности, CMIA запрещает поставщикам, подрядчикам и планам медицинского обслуживания раскрывать закрытую медицинскую информацию без предварительного разрешения.
Эти законы о медицинской конфиденциальности также устанавливают более высокие стандарты для поставщиков медицинских ИТ или поставщиков личных медицинских записей (PHR), применяя такие законы к поставщикам, даже если они не являются деловыми партнерами охватываемой организации. CMIA также определяет меры наказания за нарушение закона. Эти наказания варьируются от ответственности перед пациентом (компенсация ущерба, штрафные санкции, гонорары адвокатов, судебные издержки) до гражданской и даже уголовной ответственности. [50]
Аналогичным образом, Калифорнийский Закон о страховой информации и защите конфиденциальности [51] (IIPPA) защищает от несанкционированного раскрытия ЗМИ, запрещая несанкционированный обмен информацией, полученной из заявлений на страхование и урегулирования претензий.
В Новой Зеландии Кодекс конфиденциальности медицинской информации (1994 г.) устанавливает конкретные правила для учреждений сектора здравоохранения, позволяющие лучше обеспечивать защиту личной жизни. Кодекс касается медицинской информации, которую собирают, используют, хранят и раскрывают учреждения здравоохранения. В секторе здравоохранения кодекс заменяет принципы конфиденциальности информации.
Введение общенациональной системы обмена медицинской информацией и доступа к электронным картам пациентов вызвало бурную дискуссию в Нидерландах . [52]
В ходе медицинской практики врачи могут получить информацию, которой они хотят поделиться с медицинским или исследовательским сообществом. Если эта информация разглашается или публикуется, конфиденциальность пациентов должна соблюдаться. Аналогичным образом, участники медицинских исследований , выходящих за рамки непосредственного ухода за пациентами, также имеют право на неприкосновенность частной жизни.
Хотя конфиденциальность в медицинских целях остается важным правом, также крайне важно найти баланс между конфиденциальностью и инновациями. Ограничивая данные пациентов в ответ на нарушения конфиденциальности, это потенциально препятствует инновациям в медицине, основанным на данных. Кроме того, сохранение секретности данных ради получения конкурентного преимущества также создает множество проблем, потенциально замедляя развитие медицинских исследований (например, Myriad Genetics ). [53]
