HIPAA-compliance for legekontorer: Praktisk guide til pasientvern og sikkerhet

Denne guiden hjelper deg å forstå HIPAA (Health Insurance Portability and Accountability Act) og gjøre kontoret ditt kompatibelt. Informasjonen er samlet fra flere kilder og er ikke juridisk rådgivning. Ved usikkerhet – rådgiv deg med advokat.

Hva er HIPAA?

HIPAA ble vedtatt i 1996 for å sikre konfidensialitet for all pasientrelatert helseinformasjon, forenkle administrative prosesser og redusere kostnader. Et nøkkelord i loven er «rimelig» – mindre kontor trenger ikke samme tiltak som store sykehus. Det finnes ingen «HIPAA-politiet» som gjør tilfeldige inspeksjoner; handling krever en formell klage som håndteres av Office of Civil Rights. Botene er likevel høye, så gode rutiner er avgjørende.

Personvernkomponenten (compliance fra april 2002)

• Gjør alt rimelig for å beskytte pasientvern.
• Hold journaler i sikret område, utilgjengelig for andre pasienter.
• Ikke la journaler ligge åpent.
• Telefoner om pasienter tas fra privat område – ikke hvor venterom kan høre.
• Ved utsjekking av journaler: bruk utlånsskjema (navn, dato, hvem, retursignatur).
• Journaler som bringes utenfor kontoret bæres i merket, konfidensielt bagasje.
• Dataskjermer som pasienter kan se: flytt dem eller bruk skjermfilter.

Administrativ forenkling (oktober 2002)

Krever standardisering av elektronisk datautveksling (EDI) og prosedyre/diagnosekoder: CPT-4 for prosedyrekoder, ICD-9 (nå ICD-10) for diagnosekoder. Elektroniske krav må sendes i HIPAA-kompatibelt format.

Sikkerhetskomponenten (ingen fast dato ennå)

Krever nødvendige sikkerhetstiltak for å beskytte personidentifiserbar helseinformasjon (PHI).

• Faks: Plasser sikkert (kun personell tilgang). Bruk faksforside med taushetserklæring ved sending av PHI.
• Rengjøring/utleie: Personell med tilgang til kontoret utenfor arbeidstid bør signere taushetserklæring.
• E-post: Må bruke krypteringstjeneste.

Personvernombud og pasientsamtykke

• Alle kontorer må utpeke et personvernombud (kan være legen selv) ansvarlig for opplæring og rutiner.
• Skriftlig samtykke fra pasient kreves for offentliggjøring av informasjon (unntak: akutt nødvendig hjelp).
• Vurder eksisterende samtykkeskjemaer for HIPAA-compliance. Du kan nekte behandling hvis pasient nekter å signere.

Unike identifikatorer og nødvendige policyer

HIPAA vil mandatere unike identifikatorer (sannsynligvis nasjonalt leverandørnummer). Hvert kontor må ha skriftlige policyer for:

1. Identifisere ansatte som trenger tilgang til PHI
2. Forhindre uautorisert tilgang
3. Frigi kun «minimum necessary» informasjon
4. Verifisere identiteten til den som ber om informasjon
5. Gi pasienter tilgang til egne journaler, rettelsesrett og oversikt over offentliggjøringer

Sjekkliste for løpende compliance

Gå gjennom kontoret som en pasient: Hva ser du? Journaler i full syn? Sjekk fra inngangen og gjennom alle rom. Gjør jevnlige kontroller. Sørg for skriftlige rutiner, utpekt personvernombud, opplæring av alle ansatte (inkl. nye), og periodisk gjennomgang av policyer.