Hvad du behøver at vide om Overholdelse HIPAA

HIPAA - Health Insurance Mobilitet og Accountability Act - er en føderal lov udviklet, dels at definere og regulere brugen af ​​oplysningerne sundhedsydelser i USA. Enheder, der giver, betaler for eller leverer sundhedsydelser, medicin eller udstyr, samt deres samarbejdspartnere og leverandører, er påvirket af dette nye sæt af regler. Denne artikel opsummerer det arbejde, der skal gøres for at opfylde krav, der er nødvendige for at blive HIPAA kompatibel.

Loven definerer og regulerer

- hvordan helbredsoplysninger identificeres og anvendes, herunder standardformularer transaktionsomkostninger og kodesæt til kommunikation mellem udbydere og betalere,

- hvad oplysninger, der er kendt som beskyttede Health Information (PHI) skal betragtes som privat, og hvordan det skal håndteres, og

- sikkerhedspolitikker og procedurer for at beskytte PHI.

Disse forordninger alle falder i henhold til afsnit II i HIPAA og er kollektivt kendt som administrativ forenkling Compliance Act (ASCA) den. Som navnet antyder, skal alle enheder, der er omfattet af ASCA være i overensstemmelse med de frister, der er fastsat i forordningerne. Disse frister er: Salg

Standardiserede transaktioner og Code sæt - 16 Oktober 2002
Fortrolighed - 14 April, 2003
Sikkerhed - deadline er endnu ikke blevet indstillet.

Bemærk dog, at Department of Health and Human Services vil tillade dækkede enheder at ansøge om en forlængelse på et år til Transaktioner og kode Indstiller frist, hvis de indsender en model Compliance Plan form, der omfatter en tidsplan viser hvordan de agter at blive kompatible i den forlængede periode. Denne ansøgning skal være modtaget senest den 15. oktober 2002. Desuden visse mindre sundhed planer har en ekstra år til at overholde alle deadlines. Meget mere detaljer om HIPAA og ASCA kan findes på Centers for Medicare og Medicaid Services hjemmeside: http://www.cms.gov/hipaa/hipaa2/default.asp som også indeholder links til yderligere ressourcer.

Hvordan ASCA påvirke min praksis eller institution?

Direkte eller indirekte, vil du blive påvirket, hvis du giver sundhedsydelser eller support sundhed udbydere. Omfattede enheder, der vælger at overføre patienten-relaterede oplysninger kan identificeres elektronisk er forpligtet til at gennemføre disse standarder. I praksis betyder det, enhver udbyder, der sender regninger direkte til tredjeparts betalere siden ASCA kræver, at disse regninger sendes elektronisk med et lille antal undtagelser.

Derudover en enhed hører under HIPAA hvis det er en sundhedsplan, clearinghouse, tredjeparts forsikringsselskab, arbejdsgiver opretholde patientjournaler, rehabiliteringscenter, blod, sæd eller organ vævsbank, socialrådgiver eller rådgiver, lang langvarig pleje facilitet, ambulance selskab eller apotek. Men mange flere virksomheder og tjenester påvirket, herunder dem, der leverer tjenesteydelser eller leverancer til sundhed udbydere eller til patienter under ledelse af udbydere. De har brug for nye forretningsområder aftaler der sikrer HIPAA overholdelse og skal gennemføre acceptable foranstaltninger oplysninger privatlivets fred og sikkerhed. Hvis disse selskaber regningen tredjepartsbetalere direkte, vil de også nødt til at gennemføre transaktioner og kode sætter standarder.

Uden teknologileverandører, transskription udbydere, revisorer, advokater og alle andre, der kan komme i kontakt med patientoplysninger i løbet af normale forretninger vil også blive berørt. Kort sagt, hvis du opretter, vedligeholde, administrere eller har adgang til personlige medicinske oplysninger, skal du være bekymret for at blive kompatibel med HIPAA regler.

Til dato har HIPAA arbejdet implementering koncentreret om at definere standard transaktioner til brug for udbydere og tredjeparts betalere, og skabe standard definitioner for sundhedspersonale, arbejdsgivere, sundhed planer og enkeltpersoner til at bruge til at skabe patientjournal oplysninger . Kodesæt bliver skabt til at definere standard medicinske termer, diagnosekoder, sygdomme, skader osv medicinsk procedure koder er også defineret for foranstaltninger, der træffes for at forebygge, diagnosticere, behandle eller bestyrer sygdomme, skader og nedskrivninger samt for medicin, udstyr, forsyninger og andre elementer ordineret til behandling.

Mens mange af disse kodesæt er dem kender til udbydere i dag, er der nogle ændringer i formatet af transaktioner og de koder, der kan bruges som kan påvirke videregivelse af oplysninger mellem udbydere og betalere. Som et eksempel, kan lokale regler ikke længere bruges. Så hvis en bestemt forsikringsselskab har bedt udbydere til at tilføje en national procedure kode med en endelse til yderligere at karakterisere den procedure, vil forsikringsselskabet nødt til at udvikle en anden måde at få de oplysninger, den søger. Dette vil betyde, at udbyderne bliver nødt til at lære en ny procedure for kodning påstand transaktioner.

Hvordan bliver jeg kompatibel?

De fleste af arbejdet og omkostningerne vil være i redesigne office-processer omkring patientens privatliv og i udviklingen af ​​et omfattende sikkerhedsprogram omkring patientinformation. Områder, der bliver nødt til at blive revideret omfatter skriftlige politikker og procedurer, standarder, uddannelse af personale, tekniske og proceduremæssige kontroller, risikovurderinger, revision og kontrol med overholdelse. En udbyder skal også tildele ansvaret for den løbende styring af informationssikkerhed programmet. Leverandører skal skriftligt aftaler at opretholde det samme niveau af sikkerhed og privatlivets fred, da udbyderne med hvem de arbejder.

Hvad skal jeg gøre?

Det første skridt er at udføre en “ vurdering af mangler &"; at bestemme, hvad der skal gøres for at blive kompatibel. Procedurer, processer og informationsstyring alle skal revideres i lyset af ASCA. For eksempel, at almindelige office-processer, såsom en sygeplejerske spørger en læge oplysninger om en patient over en åben samtaleanlægget, når en anden patient kan overhøre samtalen har modificeres for at sikre patientens privatliv.

Når omfanget af nødvendige ændringer forstås, en implementeringsplan bør udvikles.

Det næste store operationelle skridt er at finansiere og udføre implementeringsplan. Derudover skal alle medarbejdere og medarbejdere, der håndterer patientoplysninger eller diskutere det med eksterne parter blive trænet i, hvordan man holde oplysningerne private og sikre. Denne uddannelse bør også omfatte undervisning om eventuelle nye procedurer, der er udviklet og implementeret.

Hvad med mine computere og software?

En påvirket organisation skal gennemføre foranstaltninger, politikker og procedurer for at sikre sikkerheden for de informationssystemer, der indeholder patientens helbredsoplysninger individuelt identificerbare. Disse ville koordineres og integreres med andre systemkonfiguration forvaltningspraksis for at sikre systemets integritet, når ændringer i systemets hardware eller software er lavet. Enhver software købes som en pakke fra en ekstern leverandør, skal også være i overensstemmelse.

Desuden skal de berørte parter give en beredskabsplan, der sørger for at reagere på informationssystem nødsituationer, herunder periodisk sikkerhedskopiering af data, der har og test faciliteter fortsættende aktiviteter i tilfælde af en nødsituation, og udvikle en effektiv katastrofe inddrivelsesprocedurer. Computer kontrol og sikkerhedsforanstaltninger bør dokumenteres på samme måde som andre politikker og procedurer.

Hver organisation er også forpligtet til at have en politik om brug arbejdsstation. Disse dokumenterede instruktioner og procedurer skal afgrænse de rigtige funktioner, der skal udføres, og den måde, hvorpå disse funktioner skal udføres (f.eks logge inden de forlader en terminal uden opsyn). Restriktioner skal være på plads for at forhindre uautoriseret personale i at få adgang oplysninger gemt på den enhed &'; s computere.

Faciliteter, der bruger kommunikationsnet er forpligtet til at beskytte meddelelser, der indeholder information om sundhed, når de sender dem elektronisk til forhindre dem i at blive opfanget og læst af andre end den tilsigtede modtager parter. De skal også beskytte deres informationssystemer fra ubudne gæster forsøger at få adgang til oplysninger fra eksterne kommunikation point. Dette betyder typisk, at en form for kryptering skal bruges til at beskytte disse oplysninger. Samt, behov der skal dokumenteres politikker og sikkerhedsfunktioner for brug af fax, e-mail, internet, remote diktat og transskription tjenester
.