Закон о переносимости и подотчетности медицинского страхования

Закон о переносимости и подотчетности медицинского страхования 1996 г.

Другие короткие названия	Закон Кассебаума-Кеннеди, Закон Кеннеди-Кассебаума
Длинное название	Закон о внесении поправок в Налоговый кодекс 1986 года для улучшения переносимости и непрерывности медицинского страхования на групповом и индивидуальном рынках, для борьбы с расточительством, мошенничеством и злоупотреблениями в сфере медицинского страхования и оказания медицинской помощи, для содействия использованию медицинских сберегательных счетов. , для улучшения доступа к услугам и страховому покрытию долгосрочного ухода, для упрощения управления медицинским страхованием и для других целей.
Сокращения (разговорный)	HIPAA (произносится / ˈ h ɪ p ə / HIP -uh )
Принят	104- й Конгресс США
Цитаты
Публичное право	Паб. L. Подсказка по публичному праву (США)   104–191 (текст) (PDF)
Уставы в целом	110  Stat.  1936
Законодательная история
Представлен в Палате представителей как HR 3103 Биллом Арчером ( республиканец - Техас ) 18 марта 1996 года. Рассмотрение комитетом Палаты представителей по методам и средствам Сдал дом 28 марта 1996 г. ( 267–151 ). Принят Сенатом 23 апреля 1996 г. ( 100–0 , вместо S. 1028 ). Об этом сообщает объединенный комитет конференции 31 июля 1996 г.; согласовано Палатой представителей 1 августа 1996 г. ( 421–2 ) и Сенатом 2 августа 1996 г. ( 98–0 ) Подписан президентом Биллом Клинтоном 21 августа 1996 года.

Закон о переносимости и подотчетности медицинского страхования 1996 года ( HIPAA или Кеннеди – Кассебаума ). Закон США ) — акт Конгресса , принятый 104-м Конгрессом США и подписанный президентом Биллом Клинтоном 21 августа 1996 года. Он был направлен на изменение передачи медицинской информации и предусматривал руководящие принципы, согласно которым личная информация, хранимая в сфере здравоохранения и медицинского страхования, должна быть защищена от мошенничества и кражи. и устранил некоторые ограничения на медицинское страхование . Как правило, он запрещает поставщикам медицинских услуг и предприятиям, называемым организациями, на которые распространяется действие страховки, раскрывать защищенную информацию кому-либо, кроме пациента и уполномоченных представителей пациента, без их согласия. Законопроект не ограничивает пациентов в получении информации о себе (за некоторыми исключениями). Кроме того, он не запрещает пациентам добровольно делиться своей медицинской информацией по своему усмотрению и не требует конфиденциальности, если пациент раскрывает медицинскую информацию членам семьи, друзьям или другим лицам, не являющимся сотрудниками застрахованной организации.

Акт состоит из 5 наименований:

1. Раздел I защищает медицинское страхование работников и их семей в случае, если они меняют или теряют работу.
2. Раздел II, известный как положения об административном упрощении (AS), требует установления национальных стандартов для электронных транзакций в сфере здравоохранения и национальных идентификаторов для поставщиков, планов медицинского страхования и работодателей.
3. Раздел III устанавливает руководящие принципы для счетов медицинских расходов до уплаты налогов.
4. Раздел IV устанавливает руководящие принципы для групповых планов медицинского страхования.
5. Раздел V регулирует полисы страхования жизни, принадлежащие компаниям.

Титулы

Закон состоит из пяти разделов, известных как титулы.

Раздел I: Доступ к здравоохранению, мобильность и возобновляемость

Раздел I HIPAA регулирует наличие и широту групповых планов медицинского страхования и некоторых индивидуальных полисов медицинского страхования. Он внес поправки в Закон о пенсионном обеспечении сотрудников, Закон об общественном здравоохранении и Налоговый кодекс. Кроме того, в Разделе I рассматривается проблема «блокировки работы», то есть невозможности сотрудника уйти с работы из-за потери медицинской страховки. Чтобы решить проблему блокировки рабочих мест, Закон защищает медицинское страхование работников и их семей в случае, если они потеряют или поменяют работу.

Раздел I требует покрытия, а также ограничивает ограничения, которые групповой план медицинского страхования может налагать на льготы по уже существовавшим заболеваниям. Групповые планы медицинского страхования могут отказать в предоставлении льгот в связи с ранее существовавшими условиями либо в течение 12 месяцев после регистрации в плане, либо в течение 18 месяцев в случае поздней регистрации. Раздел I позволяет людям сократить период исключения на количество времени, в течение которого они имели «зачетное страховое покрытие» до регистрации в плане и после любых «значительных перерывов» в страховом покрытии. «Кредитное покрытие» определяется довольно широко и включает почти все групповые и индивидуальные планы медицинского страхования, программы Medicare и Medicaid. «Значительный перерыв» в страховом покрытии определяется как любой 63-дневный период без какого-либо заслуживающего доверия покрытия. Наряду с исключением, он позволяет работодателям привязывать премии или доплаты к употреблению табака или индексу массы тела.

Раздел I требует, чтобы страховые компании выдавали полисы без исключения лицам, выходящим из групповых планов медицинского страхования, при условии, что они поддерживают постоянное и надежное страховое покрытие. (см. выше) более 18 месяцев, и продлевать индивидуальные полисы до тех пор, пока они предлагаются, или предоставлять альтернативы прекращенным планам до тех пор, пока страховщик остается на рынке без исключения, независимо от состояния здоровья.

Некоторые планы медицинского обслуживания освобождены от требований Раздела I, например, долгосрочные планы медицинского обслуживания и планы с ограниченным объемом, такие как планы стоматологического или офтальмологического обслуживания, предлагаемые отдельно от общего плана медицинского обслуживания. Однако если такие льготы являются частью общего плана медицинского страхования, то к таким льготам по-прежнему применяется HIPAA. Например, если новый план предлагает стоматологические льготы, то он должен засчитывать зачетное непрерывное покрытие по старому плану медицинского страхования в любой из периодов исключения стоматологических льгот.

Альтернативный метод расчета непрерывного страхового покрытия доступен для плана медицинского страхования в соответствии с Разделом I. То есть 5 категорий медицинского страхования могут рассматриваться отдельно, включая стоматологическое и офтальмологическое страхование. Для всего, что не входит в эти 5 категорий, необходимо использовать общий расчет (например, бенефициара можно учитывать с 18-месячным общим страхованием, но только с 6-месячным стоматологическим страхованием, поскольку у бенефициара не было общего плана медицинского страхования, который покрывал бы стоматологические услуги до 6 месяцев. до даты подачи заявления). Поскольку планы ограниченного покрытия освобождены от требований HIPAA, существует странный случай, когда заявитель на общий групповой план медицинского страхования не может получить сертификаты о зачетном непрерывном страховании для независимых планов с ограниченным объемом, таких как стоматологические, для применения к периодам исключения нового план, который включает в себя эти покрытия.

Скрытые периоды исключения недействительны в соответствии с Разделом I (например, «Несчастный случай, подлежащий страхованию, должен был произойти в то время, когда бенефициар был застрахован по тому же договору медицинского страхования»). План медицинского страхования не должен руководствоваться такими положениями. Кроме того, их необходимо переписать, чтобы они соответствовали HIPAA.

Раздел II: Предотвращение мошенничества и злоупотреблений в сфере здравоохранения; Административное упрощение; Реформа медицинской ответственности

Раздел II HIPAA устанавливает политику и процедуры для обеспечения конфиденциальности и безопасности индивидуальной медицинской информации, описывает многочисленные правонарушения, связанные со здравоохранением, и устанавливает гражданские и уголовные наказания за нарушения. Он также создает несколько программ по борьбе с мошенничеством и злоупотреблениями в системе здравоохранения. Однако наиболее важными положениями Раздела II являются правила административного упрощения. Раздел II требует от Министерства здравоохранения и социальных служб (HHS) повысить эффективность системы здравоохранения путем создания стандартов использования и распространения медицинской информации.

Эти правила применяются к «застрахованным организациям», как это определено HIPAA и HHS. К субъектам страхования относятся планы медицинского страхования, информационные центры здравоохранения (например, службы выставления счетов и общественные информационные системы здравоохранения), а также поставщики медицинских услуг, которые передают медицинские данные способом, регулируемым HIPAA.

В соответствии с требованиями Раздела II HHS обнародовало пять правил административного упрощения: Правило конфиденциальности, Правило транзакций и кодовых наборов, Правило безопасности, Правило уникальных идентификаторов и Правоприменительное правило.

Правило конфиденциальности

Правило конфиденциальности HIPAA состоит из национальных правил использования и раскрытия защищенной медицинской информации (PHI) при лечении, оплате и операциях «застрахованными организациями» (как правило, информационными центрами здравоохранения, планами медицинского страхования, спонсируемыми работодателем, медицинскими страховыми компаниями и т. д.). поставщики медицинских услуг, которые участвуют в определенных сделках).

Правило конфиденциальности вступило в силу 14 апреля 2003 г. с продлением на один год для некоторых «небольших планов». Постановлением HHS распространило правило конфиденциальности HIPAA на независимых подрядчиков организаций, на которые распространяется действие закона, которые подпадают под определение «деловые партнеры». PHI — это любая информация, которой располагает застрахованная организация, касающаяся состояния здоровья, предоставления медицинской помощи или оплаты медицинских услуг, которая может быть связана с любым лицом. или истории платежей человека Это толкуется довольно широко и включает в себя любую часть медицинской документации . Застрахованные организации должны раскрыть ЗМИ физическому лицу в течение 30 дней по его запросу. Они также должны раскрывать закрытую медицинскую информацию, когда этого требует закон, например, при сообщении о предполагаемом жестоком обращении с детьми в государственные органы по защите детей.

Защищенные организации могут раскрывать защищенную медицинскую информацию сотрудникам правоохранительных органов в правоохранительных целях, как того требует закон (включая постановления суда, ордера суда, повестки в суд) и административные запросы; или для идентификации или местонахождения подозреваемого, беглеца, важного свидетеля или пропавшего без вести лица.

Застрахованная организация может раскрывать ЗМИ определенным сторонам для облегчения лечения, оплаты или оказания медицинской помощи без явного письменного разрешения пациента. Любое другое раскрытие ЗМИ требует, чтобы затрагиваемая организация получила письменное разрешение от физического лица на раскрытие. В любом случае, когда организация, на которую распространяется действие страховки, раскрывает какую-либо ЗМИ, она должна приложить разумные усилия для раскрытия только минимально необходимой информации, необходимой для достижения ее цели.

Правило конфиденциальности дает физическим лицам право потребовать от организации, на которую распространяется действие страховки, исправить любую неточную ЗМИ. Кроме того, он требует от организаций, на которые распространяется действие закона, предпринять некоторые разумные шаги по обеспечению конфиденциальности общения с физическими лицами. Например, человек может попросить, чтобы ему позвонили на его рабочий номер вместо домашнего или мобильного телефона.

Правило конфиденциальности требует, чтобы организации, на которые распространяется действие страховки, уведомляли отдельных лиц об использовании их ЗМИ. Застрахованные организации также должны отслеживать раскрытие закрытой медицинской информации и документировать политику и процедуры конфиденциальности. Они должны назначить должностное лицо по вопросам конфиденциальности и контактное лицо. отвечает за прием жалоб и обучает всех своих сотрудников процедурам, касающимся ЗМИ.

Лицо, считающее, что Правило конфиденциальности не соблюдается, может подать жалобу в Управление по гражданским правам (OCR) Министерства здравоохранения и социальных служб. В 2006 году газета Wall Street Journal сообщила, что OCR имеет большое количество жалоб и игнорирует большинство жалоб. «Жалобы на нарушение конфиденциальности накапливались в Министерстве здравоохранения и социальных служб. В период с апреля 2003 года по ноябрь 2006 года агентство направило 23 886 жалоб, связанных с правилами конфиденциальности медицинской информации, но оно еще не предприняло никаких принудительных мер против больниц. врачей, страховщиков или кого-либо еще за нарушение правил. Представитель агентства говорит, что оно закрыло три четверти жалоб, обычно потому, что не обнаружило нарушений или после того, как оно предоставило неофициальные рекомендации участвующим сторонам». Однако в июле 2011 года Калифорнийский университет в Лос-Анджелесе согласился выплатить 865 500 долларов в качестве компенсации за возможные нарушения HIPAA. Расследование Управления по гражданским правам HHS показало, что с 2005 по 2008 год неавторизованные сотрудники неоднократно и без законных оснований просматривали защищенную электронную медицинскую информацию многочисленных пациентов UCLAHS.

Это заблуждение, что Правило конфиденциальности дает любому человеку право отказаться раскрывать любую медицинскую информацию (например, о хронических заболеваниях или сведениях о прививках), если этого требует работодатель или компания. Требования Правил конфиденциальности HIPAA просто накладывают ограничения на раскрытие информации организациями, на которые распространяется действие закона, и их деловыми партнерами без согласия лица, чьи записи запрашиваются; они не накладывают никаких ограничений на запрос медицинской информации непосредственно у субъекта этой информации.

Обновление окончательного сводного правила 2013 г.

В январе 2013 года HIPAA был обновлен посредством окончательного сводного правила. Обновления включали изменения в разделы «Правила безопасности» и «Уведомления о нарушениях» Закона HITECH. Наиболее существенные изменения касались расширения требований, включив в них деловых партнеров, поскольку изначально только юридические лица, на которые распространяется действие закона, были обязаны соблюдать эти разделы закона.

Кроме того, определение «значительного вреда» физическому лицу при анализе нарушения было обновлено, чтобы обеспечить более тщательное изучение охватываемых организаций с целью раскрытия нарушений, о которых ранее не сообщалось. Раньше организации требовалось доказательство того, что вред был причинен, тогда как теперь организации должны доказать, что вреда не было.

Защита частной медицинской информации была изменена с бессрочной на 50 лет после смерти. Также были одобрены более суровые наказания за нарушение требований конфиденциальности PHI.

Во время стихийных бедствий правило конфиденциальности HIPAA может быть отменено. Ограниченные отказы были выданы в таких случаях, как ураган Харви в 2017 году.

Закон HITECH: требования конфиденциальности

См. раздел «Конфиденциальность» Закона о медицинских информационных технологиях для экономического и клинического здравоохранения ( Закон HITECH ).

Право на доступ к своей PHI

Правило конфиденциальности требует, чтобы медицинские работники предоставляли людям доступ к их PHI. После того, как физическое лицо запрашивает информацию в письменной форме (обычно используя для этой цели форму поставщика), у поставщика есть до 30 дней, чтобы предоставить копию информации физическому лицу. Физическое лицо может запросить информацию в электронной форме или на бумажном носителе, а поставщик обязан постараться соответствовать запрошенному формату. Для поставщиков услуг, использующих систему электронных медицинских карт ( EHR ), сертифицированную по критериям CEHRT (сертифицированная технология электронных медицинских записей), отдельным лицам должно быть разрешено получать PHI в электронной форме. Поставщикам рекомендуется предоставлять информацию оперативно, особенно в случае запросов на электронные записи.

Люди имеют широкое право на доступ к информации о своем здоровье, включая медицинские записи, записи, изображения, результаты анализов, а также информацию о страховании и счетах. Явно исключены частные психотерапевтические записи поставщика услуг и информация, собранная поставщиком услуг для защиты от судебного иска.

Поставщики могут взимать разумную сумму, соответствующую их стоимости предоставления копии, однако при предоставлении данных в электронном виде из сертифицированной ЭМК с использованием функции «просмотр, загрузка и передача», необходимой для сертификации, взимание платы не допускается. При доставке физическому лицу в электронной форме физическое лицо может разрешить доставку с использованием зашифрованной или незашифрованной электронной почты, доставку с использованием носителя (USB-накопитель, компакт-диск и т. д., за что может взиматься плата), прямой обмен сообщениями (широко используемая технология безопасной электронной почты). в сфере здравоохранения) или, возможно, другими методами. При использовании незашифрованной электронной почты человек должен понимать и принимать риски для конфиденциальности, связанные с использованием этой технологии (информация может быть перехвачена и изучена другими). Независимо от технологии доставки, поставщик должен продолжать полностью защищать ЗМИ, пока она находится в его системе, и может отклонить метод доставки, если он представляет дополнительный риск для ЗМИ в его системе.

Физическое лицо также может потребовать (в письменной форме), чтобы его PHI была передана назначенному третьему лицу, например поставщику услуг по уходу за семьей.

Физическое лицо также может потребовать (в письменной форме), чтобы поставщик отправил PHI в назначенную службу, используемую для сбора или управления его записями, например, в приложение для создания личных медицинских записей. Например, пациентка может в письменной форме потребовать, чтобы ее акушер-гинеколог передал в цифровом формате записи ее последнего дородового визита в приложение для самообслуживания во время беременности, которое есть у нее на мобильном телефоне.

Раскрытие информации родственникам

Согласно их интерпретации HIPAA, больницы не будут раскрывать информацию по телефону родственникам госпитализированных пациентов. В некоторых случаях это затрудняло поиск пропавших без вести лиц. После крушения рейса 214 Asiana Airlines в Сан-Франциско некоторые больницы не хотели раскрывать личности пассажиров, которых они лечили, из-за чего Asiana и родственникам было трудно их найти. В одном случае мужчина в штате Вашингтон не смог получить информацию о своей раненой матери.

Джанлори Голдман, директор правозащитной группы Health Privacy Project , заявила, что некоторые больницы проявляют «чрезмерную осторожность» и неправильно применяют закон, сообщает Times. Пригородная больница в Бетесде, штат Мэриленд, истолковала федеральное постановление, которое требует от больниц разрешать пациентам отказываться от включения в справочник больниц, как означающее, что пациенты хотят, чтобы их не включали в справочник, если они специально не указали иное. В результате, если пациент находится без сознания или по какой-либо причине не может включить его в каталог, родственники и друзья могут оказаться не в состоянии его найти, сказал Голдман.

Правило транзакций и наборов кодов

HIPAA был призван сделать систему здравоохранения в Соединенных Штатах более эффективной за счет стандартизации операций в сфере здравоохранения. HIPAA добавило новую Часть C под названием «Административное упрощение» к Разделу XI Закона о социальном обеспечении. Предполагается, что это упростит операции в сфере здравоохранения, требуя от всех планов медицинского страхования стандартизированного участия в операциях по медицинскому обслуживанию.

Положение HIPAA/EDI ( электронный обмен данными ) должно было вступить в силу 16 октября 2003 г. с продлением на один год для некоторых «небольших планов». Однако из-за широко распространенной путаницы и трудностей в реализации этого правила Центры услуг Medicare и Medicaid (CMS) предоставили всем сторонам продление на один год. 1 января 2012 г. вступают в силу новые версии ASC X12 005010 и NCPDP D.0, заменяющие предыдущие версии ASC X12 004010 и NCPDP 5.1. Версия ASC X12 005010 предоставляет механизм, позволяющий использовать ICD-10-CM, а также другие улучшения.

Согласно HIPAA, планы медицинского страхования, подпадающие под действие HIPAA, теперь обязаны использовать стандартизированные электронные транзакции HIPAA. См. 42 USC § 1320d-2 и 45 CFR, часть 162. Информацию об этом можно найти в окончательном правиле стандартов электронных транзакций HIPAA (74 Fed. Reg. 3296, опубликовано в Федеральном реестре 16 января 2009 г.), а также на сайте ЦМС.

Набор транзакций EDI Health Care Claim Transaction Set (837) используется для подачи платежной информации по претензиям на медицинское обслуживание, информации о встречах или того и другого, за исключением претензий розничных аптек (см. EDI Retail Pharmacy Claim Transaction). Он может быть отправлен поставщиками медицинских услуг плательщикам либо напрямую, либо через посредников, выставляющих счета, и клиринговых палат по претензиям. Его также можно использовать для передачи претензий на медицинское обслуживание и информации о платежах между плательщиками с различными платежными обязанностями, когда требуется координация льгот, или между плательщиками и регулирующими органами для мониторинга оказания, выставления счетов и/или оплаты медицинских услуг в рамках конкретного периода. сегмент здравоохранения/страхования.

Например, государственное агентство по охране психического здоровья может обязать все заявления на медицинское обслуживание. Поставщики услуг и планы медицинского страхования, которые торгуют заявлениями о профессиональном (медицинском) медицинском обслуживании в электронном виде, должны использовать для отправки претензий 837 Health Care Claim: Professional. Поскольку существует множество различных бизнес-приложений для претензии в области здравоохранения, могут быть небольшие производные для покрытия претензий, включающих уникальные претензии, например, для учреждений, специалистов, мануальных терапевтов, стоматологов и т. д.

EDI Retail Pharmacy Claim Transaction ( NCPDP Telecommunication используется для подачи требований о розничных аптеках плательщикам медицинскими работниками, которые распределяют лекарства, напрямую или через посредников, выставляющих счета и расчетные палаты по претензиям. Его также можно использовать для передачи претензий на услуги розничных аптек и выставления счетов на оплату). информация между плательщиками с различными платежными обязанностями, когда требуется координация льгот, или между плательщиками и регулирующими органами для мониторинга оказания, выставления счетов и/или оплаты розничных аптечных услуг в сегменте аптечного здравоохранения/страхования.

Набор транзакций EDI Health Care Claim Payment/Advice Transaction Set (835) можно использовать для совершения платежа, отправки объяснения льгот (EOB), отправки уведомления о денежном переводе объяснения платежей (EOP) или совершения платежа и отправки денежного перевода EOP. консультации только от страховой компании поставщику медицинских услуг напрямую или через финансовое учреждение.

Набор для регистрации и обслуживания льгот EDI (834) может использоваться работодателями, профсоюзами, государственными учреждениями, ассоциациями или страховыми агентствами для регистрации участников в качестве плательщика. Плательщиком является организация здравоохранения, которая оплачивает претензии, управляет страхованием, льготами или продуктами. Примерами плательщиков могут быть страховая компания, работник здравоохранения (HMO), организация предпочтительного поставщика услуг (PPO), государственное учреждение (Medicaid, Medicare и т. д.) или любая организация, с которой может быть заключен контракт с одной из этих бывших групп.

EDI Payroll Deducted и другая группа, «Выплата премии за страховые продукты» (820), представляет собой набор транзакций для осуществления выплаты премии за страховые продукты. Его можно использовать для того, чтобы обязать финансовое учреждение произвести платеж получателю платежа.

EDI Health Care Eligibility/Benefit Enquiry (270) используется для получения информации о медицинских льготах и ​​правах, связанных с подписчиком или иждивенцем.

EDI Health Care Eligibility/Benefit Response (271) используется для ответа на запрос о льготах и ​​правах на медицинское обслуживание, связанных с подписчиком или иждивенцем.

EDI Health Care Claim Status Request (276) — это набор транзакций, который может использоваться поставщиком, получателем медицинских продуктов или услуг или их уполномоченным агентом для запроса статуса медицинского требования.

EDI-уведомление о статусе заявки на медицинскую помощь (277) — это набор транзакций, который может использоваться плательщиком медицинских услуг или уполномоченным агентом для уведомления поставщика, получателя или уполномоченного агента о статусе претензии или обращения за медицинской помощью или для запроса дополнительной информации от поставщику услуг по поводу претензии или обращения за медицинской помощью. Этот набор транзакций не предназначен для замены набора транзакций по оплате/консультациям по медицинскому страхованию (835) и, следовательно, не используется для проводки платежей по счету. Уведомление находится на уровне сводки или детализации строки обслуживания. Уведомление может быть запрошенным или незапрошенным.

EDI Health Care Service Review Information (278) — это набор транзакций, который можно использовать для передачи информации о медицинских услугах, такой как данные об абонентах, пациентах, демографических данных, диагностике или лечении, с целью запроса на проверку, сертификации, уведомления или отчетности. результаты проверки медицинских услуг.

Набор транзакций функционального подтверждения EDI (997) представляет собой набор транзакций, который может использоваться для определения структур управления для набора подтверждений для указания результатов синтаксического анализа документов, закодированных в электронном виде. Хотя это конкретно не указано в законодательстве или окончательном правиле HIPAA, оно необходимо для обработки набора транзакций X12. Закодированные документы представляют собой наборы транзакций, которые сгруппированы в функциональные группы и используются при определении транзакций для обмена бизнес-данными. Этот стандарт не охватывает семантическое значение информации, закодированной в наборах транзакций.

Краткая сводка обновлений правил транзакций и наборов кодов 5010

1. Набор транзакций (997) будет заменен набором транзакций (999) «отчет о подтверждении».
2. Размер многих полей {элементов сегмента} будет увеличен, что приведет к необходимости для всех ИТ-провайдеров расширить соответствующие поля, элементы, файлы, графический интерфейс, бумажные носители и базы данных.
3. Некоторые сегменты были удалены из существующих наборов транзакций.
4. К существующим наборам транзакций было добавлено множество сегментов, что позволяет лучше отслеживать и сообщать о затратах и ​​посещениях пациентов.
5. Добавлена ​​возможность использовать версии 9 (МКБ-9) и 10 (МКБ-10-СМ) «Международной классификации болезней».

Правило безопасности

Окончательное правило стандартов безопасности было опубликовано 20 февраля 2003 г. Правило безопасности дополняет Правило конфиденциальности. Хотя Правило конфиденциальности относится ко всей защищенной медицинской информации (PHI), включая бумажную и электронную, правило безопасности касается конкретно электронной защищенной медицинской информации (EPHI). В нем изложены три типа мер безопасности, необходимых для обеспечения соответствия: административные, физические и технические. Для каждого из этих типов Правило определяет различные стандарты безопасности и для каждого стандарта называет как требуемые, так и адресуемые спецификации реализации. Требуемые спецификации должны быть приняты и применяться в соответствии с Правилами. Адресные спецификации более гибкие. Отдельные субъекты, на которые распространяется действие страховки, могут оценить свою ситуацию и определить лучший способ реализации адресных спецификаций. Некоторые защитники конфиденциальности утверждают, что такая «гибкость» может предоставить слишком большую свободу действий субъектам, на которые распространяется действие закона. Программные инструменты были разработаны для оказания помощи затрагиваемым организациям в анализе рисков и отслеживании мер по устранению последствий. Стандарты и спецификации следующие:

• Административные гарантии – политики и процедуры, призванные четко показать, как организация будет соблюдать закон.
  • Затрагиваемые организации (организации, которые должны соблюдать требования HIPAA) должны принять письменный набор процедур конфиденциальности и назначить ответственного за разработку и внедрение всех необходимых политик и процедур.
  • Политики и процедуры должны ссылаться на надзор со стороны руководства и заинтересованность организации в соблюдении документированных мер безопасности.
  • Процедуры должны четко идентифицировать сотрудников или классы сотрудников, которые имеют доступ к электронной защищенной медицинской информации (EPHI). Доступ к EPHI должен быть ограничен только теми сотрудниками, которым он необходим для выполнения своих должностных функций.
  • Процедуры должны учитывать авторизацию, установление, изменение и прекращение доступа.
  • Предприятия должны продемонстрировать, что сотрудникам, выполняющим административные функции плана медицинского страхования, предоставляется соответствующая постоянная программа обучения по обращению с закрытой медицинской информацией.
  • Застрахованные организации, которые передают некоторые свои бизнес-процессы третьей стороне, должны гарантировать, что их поставщики также имеют структуру для соблюдения требований HIPAA. Компании обычно получают эту гарантию посредством положений в контрактах, в которых говорится, что поставщик будет соблюдать те же требования к защите данных, которые применяются к застрахованному лицу. Необходимо позаботиться о том, чтобы определить, передает ли поставщик какие-либо функции обработки данных другим поставщикам, и следить за наличием соответствующих контрактов и средств контроля.
  • Должен быть разработан план реагирования на чрезвычайные ситуации. Затрагиваемые организации несут ответственность за резервное копирование своих данных и наличие процедур аварийного восстановления. В плане должны быть документированы приоритеты данных и анализ ошибок, действия по тестированию и процедуры контроля изменений.
  • Внутренний аудит играет ключевую роль в соблюдении требований HIPAA, проверяя операции с целью выявления потенциальных нарушений безопасности. Политика и процедуры должны конкретно документировать объем, частоту и процедуры аудитов. Аудит должен быть как плановым, так и событийным.
  • Процедуры должны документировать инструкции по устранению и реагированию на нарушения безопасности, выявленные либо в ходе аудита, либо в ходе обычной деятельности.
• Физические меры безопасности – контроль физического доступа для защиты от несанкционированного доступа к защищенным данным.
  • Средства контроля должны регулировать внедрение и удаление аппаратного и программного обеспечения из сети. (Когда оборудование выводится из эксплуатации, его необходимо утилизировать надлежащим образом, чтобы гарантировать, что PHI не будет подвергнута риску.)
  • Доступ к оборудованию, содержащему медицинскую информацию, должен тщательно контролироваться и контролироваться.
  • Доступ к оборудованию и программному обеспечению должен быть ограничен должным образом уполномоченными лицами.
  • Необходимые средства контроля доступа включают планы обеспечения безопасности объекта, записи технического обслуживания, а также вход и сопровождение посетителей.
  • Для обеспечения правильного использования рабочих станций необходимы политики. Рабочие станции должны быть удалены от мест с интенсивным движением людей, а экраны мониторов не должны находиться в прямой видимости публики.
  • Если организации, на которые распространяется действие страховки, используют подрядчиков или агентов, они также должны быть полностью обучены своим обязанностям по физическому доступу.
• Технические меры безопасности – контроль доступа к компьютерным системам и предоставление возможности защищенным организациям защищать сообщения, содержащие защищенную медицинскую информацию, передаваемую в электронном виде по открытым сетям, от перехвата кем-либо, кроме предполагаемого получателя.
  • Информационные системы, в которых хранится закрытая медицинская информация, должны быть защищены от вторжений. Когда информация передается по открытым сетям, необходимо использовать ту или иную форму шифрования. Если используются закрытые системы/сети, существующие средства контроля доступа считаются достаточными, а шифрование не является обязательным.
  • Каждая организация, на которую распространяется действие страховки, несет ответственность за обеспечение того, чтобы данные в ее системах не были изменены или удалены несанкционированным образом.
  • Для обеспечения целостности данных может использоваться подтверждение данных, включая использование контрольной суммы, двойного ключа, аутентификации сообщения и цифровой подписи.
  • Охватываемые организации также должны аутентифицировать организации, с которыми они общаются. Аутентификация заключается в подтверждении того, что объект является тем, за кого себя выдает. Примеры подтверждения включают системы паролей, двух- или трехсторонние рукопожатия, обратный телефонный вызов и системы токенов.
  • Затрагиваемые организации должны предоставить правительству документацию о своей практике HIPAA для определения соответствия.
  • Помимо политик, процедур и записей доступа, документация по информационным технологиям должна также включать письменные записи всех настроек конфигурации компонентов сети, поскольку эти компоненты сложны, настраиваемы и постоянно меняются.
  • Требуется документированный анализ рисков и программы управления рисками. Подпадающие под действие закона организации должны тщательно учитывать риски своей деятельности при внедрении систем, соответствующих закону. (Требование анализа рисков и управления рисками подразумевает, что требования безопасности, предусмотренные законом, являются минимальным стандартом и возлагают на затрагиваемые организации ответственность за принятие всех разумных мер предосторожности, необходимых для предотвращения использования PHI в целях, не связанных со здравоохранением.)

Правило уникальных идентификаторов (национальный идентификатор поставщика)

Организации, на которые распространяется действие HIPAA, такие как поставщики услуг, выполняющие электронные транзакции, информационные центры здравоохранения и крупные планы медицинского страхования, должны использовать только национальный идентификатор поставщика (NPI) для идентификации покрываемых поставщиков медицинских услуг в стандартных транзакциях до 23 мая 2007 г. Небольшие планы медицинского страхования должны использовать только NPI до 23 мая 2007 г. 23 мая 2008 г.С мая 2006 г. (май 2007 г. для небольших планов медицинского страхования) все застрахованные организации, использующие электронные средства связи (например, врачи, больницы, компании медицинского страхования и т. д.), должны использовать единый новый NPI. NPI заменяет все другие идентификаторы, используемые планами медицинского страхования, Medicare, Medicaid и другими государственными программами. Однако NPI не заменяет номер DEA поставщика, номер государственной лицензии или идентификационный номер налогоплательщика. NPI состоит из 10 цифр (может быть буквенно-цифровым), причем последняя цифра является контрольной суммой. NPI не может содержать никакого встроенного интеллекта; другими словами, NPI — это просто число, которое само по себе не имеет никакого дополнительного значения. НКО является уникальным и национальным, никогда не используется повторно, и, за исключением учреждений, поставщик обычно может иметь только один. Учреждение может получить несколько NPI для разных «подразделений», таких как отдельный онкологический центр или реабилитационный центр.

Правоприменительное правило

16 февраля 2006 г. HHS опубликовало Окончательное правило соблюдения HIPAA. Оно вступило в силу 16 марта 2006 года. Правоприменительное правило устанавливает гражданские денежные штрафы за нарушение правил HIPAA и устанавливает процедуры расследований и слушаний по нарушениям HIPAA. В течение многих лет уголовных дел за нарушения было мало.

Ситуация могла измениться после оштрафования на 50 000 долларов Хосписа Северного Айдахо (HONI) как первой организации, которая была оштрафована за потенциальное нарушение правил безопасности HIPAA, затронувшее менее 500 человек. Рэйчел Сигер, пресс-секретарь HHS, заявила: «HONI не проводила точный и тщательный анализ рисков конфиденциальности ePHI [электронной защищенной медицинской информации] в рамках процесса управления безопасностью с 2005 года по 17 января 2012 года». Расследование было начато с кражи из автомобиля сотрудников незашифрованного ноутбука, содержащего 441 историю болезни.

По состоянию на март 2013 года Министерство здравоохранения и социальных служб США (HHS) расследовало более 19 306 дел, которые были разрешены путем требования внесения изменений в практику конфиденциальности или принятия корректирующих мер. Если несоответствие установлено HHS, организации должны применить корректирующие меры. Жалобы были расследованы против многих различных видов бизнеса, таких как национальные аптечные сети, крупные центры здравоохранения, страховые группы, сети больниц и других мелких поставщиков. Было зарегистрировано 9 146 случаев, когда расследование HHS установило, что HIPAA соблюдалось правильно. Было 44 118 случаев, когда HHS не нашло подходящих оснований для принудительного исполнения; например, нарушение, которое началось до введения HIPAA; дела, отозванные преследователем; или деятельность, которая фактически не нарушает Правила.

Раздел III: Положения о налогообложении здравоохранения, регулирующие медицинские сберегательные счета

Раздел III стандартизирует сумму, которая может быть сэкономлена на одного человека на медицинском сберегательном счете до уплаты налогов . Начиная с 1997 года, медицинский сберегательный счет («MSA») стал доступен для сотрудников, охваченных спонсируемым работодателем планом с высокой франшизой, причем это мелкие работодатели и самозанятые лица.

Раздел IV: Применение и обеспечение соблюдения требований группового медицинского страхования

Раздел IV определяет условия групповых планов медицинского страхования в отношении покрытия лиц с ранее существовавшими заболеваниями и изменяет требования к продлению страхового покрытия. Он также уточняет требования к продлению страхового покрытия и включает разъяснения COBRA .

Раздел V: Зачет доходов, регулирующий налоговые вычеты для работодателей

Раздел V включает положения, касающиеся страхования жизни, принадлежащей компании, для работодателей, предоставляющих страховые взносы по страхованию жизни, принадлежащей компании, запрещающие налоговый вычет процентов по кредитам на страхование жизни, пожертвованиям компании или контрактам, связанным с компанией. Он также отменяет правило финансового учреждения о правилах распределения процентов. Наконец, он вносит поправки в положения закона, касающиеся людей, которые отказываются от гражданства или постоянного места жительства Соединенных Штатов, расширяя налог на экспатриацию, который будет взиматься с тех, кто, как считается, отказывается от своего статуса США по налоговым причинам, и делая имена бывших граждан частью публичный отчет посредством создания Ежеквартального издания о лицах, решивших эмигрировать .

Влияние на исследования и клиническую помощь

Принятие Правил конфиденциальности и безопасности привело к серьезным изменениям в работе врачей и медицинских центров. Сложные юридические аспекты и потенциально жесткие штрафы, связанные с HIPAA, а также увеличение объема документации и стоимости его внедрения вызвали беспокойство среди врачей и медицинских центров. В статье, опубликованной в августе 2006 года в журнале Annals of Internal Medicine, подробно описаны некоторые подобные опасения по поводу реализации и последствий HIPAA.

Влияние на исследования

Ограничения HIPAA для исследователей повлияли на их способность проводить ретроспективные исследования на основе диаграмм, а также на их способность проспективно оценивать пациентов, связываясь с ними для последующего наблюдения. Исследование, проведенное Мичиганским университетом, продемонстрировало, что внедрение правила конфиденциальности HIPAA привело к снижению с 96% до 34% доли контрольных опросов, проведенных участниками исследования, за которыми наблюдают после сердечного приступа . Другое исследование, подробно описывающее влияние HIPAA на набор пациентов для исследования по профилактике рака, продемонстрировало, что изменения, предусмотренные HIPAA, привели к снижению количества пациентов на 73%, утроению времени, затрачиваемого на набор пациентов, и утроению средних затрат на набор пациентов.

В соответствии с HIPAA формы информированного согласия на научные исследования должны документировать, как защищенная медицинская информация будет храниться в тайне, что потенциально увеличивает барьеры для участия.

Эти данные позволяют предположить, что правила конфиденциальности HIPAA могут иметь негативное влияние на стоимость и качество медицинских исследований . Доктор Ким Игл, профессор внутренней медицины Мичиганского университета, в статье в Annals цитирует слова: «Конфиденциальность важна, но исследования также важны для улучшения медицинского обслуживания. Мы надеемся, что разберемся в этом и сделаем все правильно. ."

Влияние на клиническую помощь

Сложность HIPAA в сочетании с потенциально жесткими наказаниями для нарушителей может привести к тому, что врачи и медицинские центры будут скрывать информацию от тех, кто может иметь на нее право. Проверка выполнения Правил конфиденциальности HIPAA, проведенная Счетной палатой правительства США, показала, что поставщики медицинских услуг «не были уверены в своих юридических обязанностях в отношении конфиденциальности и часто реагировали на них слишком осторожным подходом к раскрытию информации… чем это было необходимо для обеспечения соблюдения требований Правило конфиденциальности». Сообщения об этой неопределенности продолжаются.

Затраты на внедрение

В период, непосредственно предшествовавший вступлению в силу Закона о конфиденциальности и безопасности HIPAA, медицинским центрам и медицинским учреждениям было поручено соблюдать новые требования. Многие практики и центры обратились к частным консультантам за помощью в соблюдении требований.

Образование и обучение

Обучение и подготовка медицинских работников являются обязательным условием для правильного внедрения правил конфиденциальности и безопасности HIPAA.

Ошибка в написании HIPPA

«Люди придумывают, что означает эта аббревиатура».

Девен МакГроу, бывший заместитель директора HHS , цитируется Vox

Хотя аббревиатура HIPAA соответствует названию Публичного закона 104-191 1996 года « Закон о переносимости и подотчетности медицинского страхования », HIPAA иногда ошибочно называют HIPPA , что по-разному называется «Закон о конфиденциальности и переносимости медицинской информации». «Закон о защите конфиденциальности медицинской информации», или «Закон о конфиденциальности и защите медицинского страхования». Ошибка в написании HIPPA наблюдалась среди мошенников, связанных с COVID-19 .

Нарушения

Анализ нарушений HIPAA, которые привели к незаконному раскрытию личной информации.

По данным Управления по гражданским правам Министерства здравоохранения и социальных служб США, в период с апреля 2003 г. по январь 2013 г. оно получило 91 000 жалоб на нарушения HIPAA, из которых 22 000 привели к различного рода принудительным действиям (от урегулирования споров до штрафов), а 521 — к передачи в Министерство юстиции США как уголовные действия. Примеры серьезных нарушений защищенной информации и других нарушений HIPAA включают:

• Крупнейшая потеря данных, от которой пострадали 4,9 миллиона человек, компания Tricare Management of Virginia в 2011 году.
• Крупнейшие штрафы в размере $5,5 млн были наложены на компанию Memorial Healthcare Systems в 2017 году за доступ к конфиденциальной информации 115 143 пациентов и $4,3 млн наложены на компанию Cignet Health of Maryland в 2010 году за игнорирование запросов пациентов о получении копий их собственных записей и неоднократное игнорирование требований федеральных чиновников. ' запросы
• Первое уголовное обвинение было предъявлено в 2011 году врачу из Вирджинии, который поделился информацией с работодателем пациента «под ложным предлогом, что пациент представляет серьезную и непосредственную угрозу безопасности общества, хотя на самом деле он знал, что пациент не был такая угроза».

По данным Кочкодай и др., 2018 г., общее число заболевших с октября 2009 года составляет 173 398 820 человек.

Различия между гражданскими и уголовными наказаниями обобщены в следующей таблице:

Тип нарушения	ГРАЖДАНСКИЙ Штраф (мин)	ГРАЖДАНСКИЙ Штраф (макс.)
Лицо не знало (и, проявив разумную осмотрительность, не узнало бы), что оно нарушило HIPAA.	100 долларов США за нарушение, максимум 25 000 долларов США в год за повторные нарушения.	50 000 долларов США за нарушение, но не более 1,5 миллиона долларов США в год.
Нарушение HIPAA по разумной причине, а не из-за умышленного пренебрежения	1000 долларов США за нарушение, но не более 100 000 долларов США в год за повторные нарушения.	50 000 долларов США за нарушение, но не более 1,5 миллиона долларов США в год.
Нарушение HIPAA из-за умышленного пренебрежения, но нарушение исправляется в течение необходимого периода времени.	10 000 долларов США за нарушение, максимум 250 000 долларов США в год за повторные нарушения.	50 000 долларов США за нарушение, но не более 1,5 миллиона долларов США в год.
Нарушение HIPAA вызвано умышленным пренебрежением и не устраняется.	50 000 долларов США за нарушение, но не более 1 000 000 долларов США в год.	50 000 долларов США за нарушение, но не более 1,5 миллиона долларов США в год.
Тип нарушения	УГОЛОВНОЕ наказание
Затрагиваемые организации и определенные лица, которые «сознательно» получают или раскрывают индивидуальную медицинскую информацию	Штраф до $50 000 Лишение свободы до 1 года
Преступления, совершенные под ложным предлогом	Штраф до 100 000 долларов США Лишение свободы до 5 лет
Преступления, совершенные с намерением продать, передать или использовать личную медицинскую информацию для получения коммерческой выгоды, личной выгоды или злонамеренного вреда.	Штраф до $250 000 Лишение свободы до 10 лет

Законодательная информация

В 1994 году президент Клинтон заявил о своих целях по улучшению системы здравоохранения. Однако его реформы не увенчались успехом, скорее всего, из-за отсутствия поддержки. В ежеквартальном альманахе Конгресса 1996 года объясняется, как два сенатора, Нэнси Кассебаум (республиканец от штата Канзас) и Тед Кеннеди (демократ от Массачусетса), собрались вместе и создали законопроект, названный Законом о реформе медицинского страхования 1995 года или более известный как законопроект Кассебаума-Кеннеди. . Этот законопроект застопорился, несмотря на то, что он был принят Сенатом. В обращении «О положении страны» в 1996 году Клинтон затронула этот вопрос, и это привело к двухпартийному сотрудничеству. После долгих дебатов и переговоров динамика изменилась, когда был принят компромисс между Кеннеди и бюджетного комитета председателем Биллом Арчером после того, как в первоначальный законопроект Кассебаума-Кеннеди были внесены изменения. Вскоре после этого законопроект был подписан президентом Клинтоном и получил название «Акт о переносимости и подотчетности медицинского страхования 1996 года» (HIPAA).

• Паб. L. Tooltip Public Law (США)   104–191 (текст) (PDF) , 110 Stat.   1936 год
• HR 3103 ; Х. Репт. 104–469, часть 1; Х. Репт. 104-736
• С. 1028 ; С. 1698 ; С. Репт. 104-156
• HHS Стандарты безопасности , 45 CFR 160 , 45 CFR 162 и 45 CFR 164
• Стандарты HHS по конфиденциальности медицинской информации, позволяющей идентифицировать личность, 45 CFR 160 и 45 CFR 164

Внешние ссылки

• Калифорнийский офис по внедрению HIPAA. Архивировано 1 ноября 2012 г. в Wayback Machine (CalOHI).
• «HIPAA» , Центры услуг Medicare и Medicaid (CMS)
• Отчеты Исследовательской службы Конгресса США (CRS) относительно HIPAA , Библиотеки Университета Северного Техаса
• Полный текст Закона о переносимости и подотчетности медицинского страхования (PDF/TXT) Типография правительства США
• Страница Управления по гражданским правам на HIPAA