Ένα ιατρείο ή μια επιχείρηση ευεξίας συλλέγει ευαίσθητα δεδομένα: ιατρικό ιστορικό, αριθμούς ασφάλισης, φάρμακα, διαγνώσεις. Όλα αυτά ρυθμίζονται από αυστηρούς κανόνες για τα δεδομένα υγείας.
Τι είναι μια φόρμα εισαγωγής ασθενών που τηρεί τους κανόνες για τα δεδομένα υγείας;
Μια φόρμα εισαγωγής ασθενών που τηρεί τους κανόνες για τα δεδομένα υγείας είναι ένα νομικά ρυθμισμένο εργαλείο συλλογής δεδομένων. Προστατεύει τις Προστατευόμενες Πληροφορίες Υγείας (PHI) με κρυπτογράφηση, σωστές συμφωνίες με τους παρόχους και περιορισμένη συλλογή δεδομένων. Συλλέγει μόνο όσα χρειάζονται για θεραπεία, πληρωμή ή λειτουργίες υγειονομικής περίθαλψης, τίποτα παραπάνω.
Ο αμερικανικός ομοσπονδιακός νόμος του 1996 για την ιατρική ασφάλιση και τα δεδομένα υγείας ορίζει πώς οι πάροχοι υγείας χειρίζονται τα δεδομένα των ασθενών. Κάθε φόρμα που συλλέγει πληροφορίες υγείας ασθενών πρέπει να πληροί τρεις απαιτήσεις: Ιδιωτικότητα (περιορισμός του ποιος έχει πρόσβαση στα δεδομένα), Ασφάλεια (κρυπτογράφηση των δεδομένων όταν αποθηκεύονται και όταν μεταφέρονται) και Δικαιώματα ασθενών (να βλέπουν και να διαγράφουν τα δεδομένα τους).
Μια τέτοια φόρμα δεν αφορά μόνο το να αποφύγεις πρόστιμα. Αφορά το να δείξεις στους ασθενείς ότι τα ιατρικά τους στοιχεία είναι ασφαλή. Η εμπιστοσύνη είναι ανταγωνιστικό πλεονέκτημα στην υγεία.
Το πρόβλημα: πρόστιμα μη συμμόρφωσης και παραβιάσεις δεδομένων ασθενών
Αν κάνεις λάθος στη συμμόρφωση, τα πρόστιμα δεν είναι μικρά. Οι παραβιάσεις κυμαίνονται από $100 έως $50.000 ανά περιστατικό, με ετήσιο μέγιστο $1,5 εκατομμύριο ανά κατηγορία παράβασης. Μία μη κρυπτογραφημένη βάση δεδομένων ασθενών που εκτίθεται σε λάθος άτομο είναι πρόστιμο τουλάχιστον $50.000. Μια παραβίαση 1.000 αρχείων ασθενών είναι $50.000 x 1.000 περιστατικά.
Τα ιατρεία που μένουν σύμφωνα με τους κανόνες και προστατεύουν τα δεδομένα των ασθενών χρησιμοποιούν φόρμες εισαγωγής φτιαγμένες ειδικά γι' αυτούς. Αυτές οι φόρμες χρησιμοποιούν κρυπτογράφηση, ασφαλή φιλοξενία, σωστό χειρισμό δεδομένων και νομικές συμφωνίες που κάνουν τον εφιάλτη των κανονισμών μια συνηθισμένη διαδικασία.
Το άρθρο εξηγεί τι απαιτούν πραγματικά οι κανόνες, πώς να φτιάξεις φόρμες που τους τηρούν, ποιες ερωτήσεις να κάνεις και ποιες όχι, και πώς να μη γίνεις στατιστικό παράδειγμα παράβασης.
Τι απαιτούν οι κανόνες για τις φόρμες εισαγωγής ασθενών (και γιατί μετράει)
Ο νόμος αυτός θεσπίστηκε το 1996 για να προστατεύσει την ιδιωτικότητα και την ασφάλεια των πληροφοριών υγείας. Όταν ένας ασθενής συμπληρώνει μια φόρμα εισαγωγής, δίνει Προστατευόμενες Πληροφορίες Υγείας (PHI): όνομα, ημερομηνία γέννησης, αριθμό ασφάλισης, ιατρικό ιστορικό, τρέχοντα φάρμακα, διαγνώσεις, συμπτώματα και άλλα ευαίσθητα δεδομένα.
Τα δεδομένα αυτά πρέπει να προστατεύονται σε τρεις διαστάσεις: Ιδιωτικότητα (ποιος έχει πρόσβαση), Ασφάλεια (πώς προστατεύονται) και Δικαιώματα ασθενών (τι μπορούν να κάνουν οι ασθενείς με τα στοιχεία τους).
Απαίτηση ιδιωτικότητας: Περιόρισε τη συλλογή δεδομένων σε ό,τι χρειάζεται κλινικά. Η φόρμα σου πρέπει να ζητά μόνο πληροφορίες που χρειάζονται πραγματικά για θεραπεία, πληρωμή ή λειτουργίες υγειονομικής περίθαλψης. Μη ζητάς στοιχεία ασφάλισης που δεν επαληθεύεις. Μη ζητάς επαφές έκτακτης ανάγκης αν δεν τις χρησιμοποιείς ποτέ. Μη ζητάς αριθμό κοινωνικής ασφάλισης αν δεν υποβάλλεις αιτήσεις αποζημίωσης. Κάθε επιπλέον δεδομένο είναι επιπλέον ευθύνη.
Απαίτηση ασφάλειας: Κρυπτογράφησε τα δεδομένα όταν αποθηκεύονται και όταν μεταφέρονται. Τα δεδομένα των ασθενών πρέπει να είναι κρυπτογραφημένα όταν αποθηκεύονται (το AES-256 είναι το πρότυπο για κρυπτογράφηση αποθηκευμένων δεδομένων) και όταν μεταφέρονται (TLS 1.3 ή νεότερο). Αυτό σημαίνει ότι η πλατφόρμα της φόρμας πρέπει να χρησιμοποιεί HTTPS (https:// όχι http://), η βάση δεδομένων πρέπει να είναι κρυπτογραφημένη και τα αντίγραφα ασφαλείας επίσης.
Απαίτηση δικαιωμάτων ασθενών: Δώσε Ειδοποίηση Πρακτικών Ιδιωτικότητας και πάρε επιβεβαίωση. Κάθε ασθενής πρέπει να λαμβάνει μια Ειδοποίηση Πρακτικών Ιδιωτικότητας (NPP) που εξηγεί πώς χρησιμοποιείς και προστατεύεις τα δεδομένα του. Η φόρμα σου πρέπει να έχει ένα πλαίσιο επιβεβαίωσης: «Έχω διαβάσει και κατανοώ την Ειδοποίηση Πρακτικών Ιδιωτικότητας.»
Απαίτηση Συμφωνίας Συνεργάτη (BAA): Συμβόλαιο με τον πάροχό σου. Αν χρησιμοποιείς εξωτερικό εργαλείο φόρμας ή υπηρεσία φιλοξενίας, αυτοί είναι «Συνεργάτης» (Business Associate) και πρέπει να υπογράψουν BAA μαζί σου. Η BAA λέει ότι δέχονται να προστατεύουν τα PHI με τα ίδια πρότυπα. Χωρίς BAA, φέρεις εσύ την ευθύνη αν παραβιάσουν. Με BAA, η ευθύνη μοιράζεται.
Αν παραβιάσεις οποιαδήποτε από αυτές, εκτίθεσαι. Το ελάχιστο πρόστιμο είναι $100 ανά περιστατικό, αλλά ο μέσος συμβιβασμός είναι $50.000. Μια παραβίαση δεδομένων με πολλά αρχεία μπορεί εύκολα να ξεπεράσει $1,5 εκατομμύριο σε ετήσια πρόστιμα.
Πώς να σχεδιάσεις μια φόρμα εισαγωγής ασθενών που τηρεί τους κανόνες
Βήμα 1: Χρησιμοποίησε πλατφόρμα φόρμας που τηρεί τους κανόνες (όχι γενικό εργαλείο φορμών).
Μη χρησιμοποιείς:
Δωρεάν γενικά εργαλεία φορμών (χωρίς κρυπτογράφηση, χωρίς BAA, δεν συμμορφώνονται)
Εργαλεία φορμών τύπου έρευνας χωρίς πλάνο για δεδομένα υγείας (δεν συμμορφώνονται)
Τα κανονικά πλάνα γενικών εργαλείων φορμών (συχνά δεν συμμορφώνονται, ακόμα κι όταν ο ίδιος πάροχος πουλά ειδική έκδοση)
Βασικές online υπηρεσίες φορμών χωρίς BAA (δεν συμμορφώνονται)
Φόρμες που φτιάχνεις μόνος σου χωρίς κρυπτογράφηση (εκτός αν κρυπτογραφείς τα δεδομένα πριν την αποθήκευση)
Χρησιμοποίησε:
Πλατφόρμες εισαγωγής ειδικά για την υγεία (πλήρης συμμόρφωση)
Εργαλεία φορμών για χώρους υγείας (με ενσωματωμένη συμμόρφωση)
Εργαλεία φορμών φτιαγμένα ειδικά για δεδομένα υγείας
Εκδόσεις γενικών εργαλείων φορμών για δεδομένα υγείας (με BAA)
Πλάνα για δεδομένα υγείας που περιλαμβάνουν κρυπτογράφηση AES-256 και BAA
Πριν διαλέξεις πλατφόρμα, έλεγξε ότι:
Χρησιμοποιεί κρυπτογράφηση AES-256 για τα αποθηκευμένα δεδομένα
Χρησιμοποιεί TLS 1.3 για τα δεδομένα που μεταφέρονται
Παρέχει Συμφωνία Συνεργάτη (BAA) χωρίς επιπλέον κόστος
Έχει σχέδιο αντιμετώπισης παραβίασης δεδομένων
Σου επιτρέπει να διαγράφεις δεδομένα ασθενών όταν το ζητούν
Δεν πουλά και δεν μοιράζεται PHI με τρίτους
Βήμα 2: Συλλέγεις μόνο απαραίτητες πληροφορίες.
Απαραίτητα πεδία:
Ονοματεπώνυμο (υποχρεωτικό)
Ημερομηνία γέννησης (υποχρεωτική για τη διαχείριση αρχείων)
Στοιχεία επικοινωνίας: τηλέφωνο, email (υποχρεωτικά)
Όνομα και σχέση επαφής έκτακτης ανάγκης (προαιρετικό αλλά συνιστάται)
Τρέχοντα φάρμακα (υποχρεωτικό για τη θεραπεία)
Γνωστές αλλεργίες (υποχρεωτικό για την ασφάλεια)
Ιατρικό ιστορικό (υποχρεωτικό για το πλαίσιο)
Στοιχεία ασφάλισης: ασφαλιστική εταιρεία, αριθμός συμβολαίου, αριθμός ομάδας (υποχρεωτικά για αποζημιώσεις)
Λόγος επίσκεψης ή συμπτώματα (υποχρεωτικό για τη φροντίδα)
Τρέχοντες πάροχοι υγείας (συνιστάται για τον συντονισμό)
ΜΗ ζητάς:
Αριθμό κοινωνικής ασφάλισης (εκτός αν υποβάλλεις αιτήσεις αποζημίωσης· ακόμα κι τότε, μάζεψε μόνο τα 4 τελευταία ψηφία)
Αριθμό διπλώματος οδήγησης (εκτός αν απαιτείται από τοπικούς κανονισμούς)
Οικονομικά στοιχεία πέρα από την ασφάλιση (τραπεζικός λογαριασμός, εισόδημα)
Δημογραφικά στοιχεία πέρα από όσα αφορούν τη φροντίδα (φυλή, εθνικότητα, σεξουαλικός προσανατολισμός, μόνο αν είναι κλινικά απαραίτητα και ο ασθενής συναινεί)
Βήμα 3: Βάλε ενότητα επιβεβαίωσης ιδιωτικότητας.
Πριν ο ασθενής υποβάλει τη φόρμα, πρόσθεσε:
«Έλαβα και κατανοώ την Ειδοποίηση Πρακτικών Ιδιωτικότητας που περιγράφει πώς η [Όνομα ιατρείου] χρησιμοποιεί και προστατεύει τις πληροφορίες υγείας μου.» [Πλαίσιο επιλογής: Απαραίτητο για να συνεχίσει]
Βάλε σύνδεσμο προς ολόκληρη την NPP. Το πλαίσιο επιβεβαιώνει ότι ενημερώθηκε.
Βήμα 4: Ασφάλισε τη μεταφορά και την αποθήκευση.
Από τη δική σου πλευρά:
Η φόρμα χρησιμοποιεί HTTPS (το εικονίδιο με το λουκέτο φαίνεται στον browser)
Η πλατφόρμα της φόρμας αποθηκεύει τα δεδομένα σε κρυπτογραφημένες βάσεις
Η πλατφόρμα της φόρμας κρατά αντίγραφα ασφαλείας που τηρούν τους κανόνες
Έχεις διαδικασία να διαγράφεις δεδομένα ασθενών όταν το ζητούν (εντός 30 ημερών)
Δεν προωθείς δεδομένα ασθενών με μη κρυπτογραφημένο email
Χρησιμοποιείς πύλη ασθενών (όχι email) για να επικοινωνείς για πληροφορίες υγείας
Βήμα 5: Φτιάξε πολιτική χειρισμού δεδομένων.
Κατάγραψε πώς χειρίζεσαι τα δεδομένα των ασθενών:
Πόσο καιρό κρατάς τα αρχεία (προτείνεται: τουλάχιστον 5 χρόνια μετά την τελευταία επίσκεψη, σύμφωνα με τον νόμο της πολιτείας)
Ποιος έχει πρόσβαση στα αρχεία ασθενών (μόνο το προσωπικό που τη χρειάζεται για τον ρόλο του)
Πώς ανταποκρίνεσαι σε παραβίαση δεδομένων (άμεση ειδοποίηση εντός 24 ωρών, νομική συμβουλή)
Πώς χειρίζεσαι αιτήματα ασθενών να δουν ή να διαγράψουν τα δεδομένα τους (εντός 30 ημερών)
Πώς ελέγχεις την πρόσβαση ώστε να μην υπάρχει μη εξουσιοδοτημένη προβολή
Η πολιτική αυτή δεν είναι νομικό έγγραφο, αλλά δείχνει επιμέλεια αν γίνει έλεγχος.
Συνηθισμένα λάθη στις φόρμες δεδομένων υγείας (και πώς να τα αποφύγεις)
Λάθος 1: Χρήση πλατφόρμας φόρμας που δεν συμμορφώνεται. Το μεγαλύτερο λάθος από όλα. Τα δωρεάν εργαλεία φορμών, τα βασικά εργαλεία ερευνών ή οι φόρμες χωρίς κρυπτογράφηση είναι τεράστια ευθύνη. Αν εκτεθούν τα αρχεία ενός ασθενούς, φέρεις την ευθύνη της παραβίασης ακόμα κι αν δεν ήξερες ότι μπορούσε να συμβεί. Χρησιμοποίησε πλατφόρμα που συμμορφώνεται, τελεία.
Λάθος 2: Αποστολή δεδομένων ασθενών με email. Μη στέλνεις ποτέ πληροφορίες ασθενών με email, ούτε στους ίδιους τους ασθενείς. Το email δεν είναι κρυπτογραφημένο από προεπιλογή. Χρησιμοποίησε πύλη ασθενών ή ασφαλή ανταλλαγή μηνυμάτων. Αν πρέπει να στείλεις στοιχεία με email, κρυπτογράφησε το μήνυμα ή στείλε σύνδεσμο προς ασφαλή πύλη.
Λάθος 3: Απουσία Συμφωνίας Συνεργάτη. Χρησιμοποιείς πλάνο για δεδομένα υγείας από τον πάροχο της φόρμας, αλλά δεν του ζήτησες να υπογράψει BAA. Χωρίς αυτήν, μόνο εσύ φέρεις την ευθύνη για παραβιάσεις. Με BAA, η ευθύνη μοιράζεται και ο πάροχος έχει συμβατικές υποχρεώσεις να προστατεύει τα δεδομένα.
Λάθος 4: Συλλογή πληροφοριών που δεν χρειάζεσαι. Κάθε επιπλέον πεδίο είναι επιπλέον ευθύνη. Αν δεν επαληθεύεις παροχές ασφάλισης, μη ζητάς στοιχεία ασφάλισης. Αν δεν επικοινωνείς με επαφές έκτακτης ανάγκης, μη τις ζητάς. Περιορίσου σε ό,τι πραγματικά χρησιμοποιείς.
Λάθος 5: Καμία επιβεβαίωση του ασθενούς για τις πρακτικές ιδιωτικότητας. Η Ειδοποίηση Ιδιωτικότητας είναι υποχρεωτική, αλλά πολλά ιατρεία την κρεμούν στον τοίχο όπου δεν τη διαβάζει κανείς. Βάλ' τη καλύτερα στη φόρμα εισαγωγής με ένα πλαίσιο επιλογής. Αυτό αποδεικνύει ότι ο ασθενής ενημερώθηκε.
Λάθος 6: Ο ασθενής υποβάλλει τη φόρμα και εσύ μεταφέρεις τα δεδομένα με το χέρι. Η χειροκίνητη μεταφορά ανάμεσα σε συστήματα φέρνει λάθη και αυξάνει την έκθεση. Χρησιμοποίησε ενσωματώσεις ή άμεσες συνδέσεις, ώστε τα δεδομένα να περνούν με ασφάλεια από τη φόρμα στο σύστημα EHR (ηλεκτρονικός ιατρικός φάκελος) χωρίς χειροκίνητη καταχώριση.
Μετρικές και παρακολούθηση συμμόρφωσης
Ποσοστό ολοκλήρωσης της φόρμας. Τι ποσοστό των ασθενών ολοκληρώνει ολόκληρη τη φόρμα εισαγωγής; (Στόχος: 90%+. Αν είναι κάτω από 80%, η φόρμα είναι πολύ μεγάλη ή μπερδεμένη). Αν η ολοκλήρωση είναι χαμηλή, μείωσε τα περιττά πεδία.
Ποσοστό ακρίβειας δεδομένων. Τι ποσοστό των δεδομένων που συλλέγονται είναι σωστά και χρήσιμα χωρίς χειροκίνητη διόρθωση; (Στόχος: 95%+). Αν είναι κάτω από 90%, σκέψου να προσθέσεις έλεγχο εγκυρότητας (μορφή ημερομηνίας γέννησης, μορφή τηλεφώνου, έλεγχος αριθμού ασφάλισης).
Αρχεία ελέγχου και πρόσβασης. Κατάγραψε κάθε φορά που κάποιος ανοίγει αρχείο ασθενούς (το σύστημα EHR πρέπει να το κάνει αυτόματα). Έλεγχε τα αρχεία μηνιαία για να βεβαιωθείς ότι έχουν μπει μόνο εξουσιοδοτημένοι. Ανέφερε αμέσως οτιδήποτε περίεργο.
Χρόνος αντίδρασης σε παραβίαση δεδομένων. Αν γίνει παραβίαση, πόσο γρήγορα ειδοποιείς τους επηρεαζόμενους ασθενείς και το OCR (Office for Civil Rights); (Στόχος: εντός 24 ωρών). Φτιάξε σχέδιο αντίδρασης πριν συμβεί παραβίαση.
Σύνοψη ενότητας: τι κάνει διαφορετικές τις φόρμες υγείας
Οι φόρμες υγείας δεν αφορούν μόνο τη συλλογή δεδομένων. Αφορούν την προστασία ευαίσθητων πληροφοριών και τη διατήρηση της εμπιστοσύνης των ασθενών. Η φόρμα είναι ένα κομμάτι του συστήματος συμμόρφωσής σου, αλλά μετράει. Χρησιμοποίησε πλατφόρμα που συμμορφώνεται, συλλέγε μόνο απαραίτητα δεδομένα, κρυπτογράφησε τα πάντα και κατάγραψε τη διαδικασία σου. Έτσι ένα νομικό ναρκοπέδιο γίνεται συνηθισμένο μέρος της διαδικασίας εισαγωγής.
Συχνές ερωτήσεις
Ποιο είναι το πρόστιμο για μη συμμόρφωση;
Χρειάζομαι συμμόρφωση για μια επιχείρηση ευεξίας που δεν είναι πάροχος υγείας;
Τι είναι η Συμφωνία Συνεργάτη και τη χρειάζομαι;
Μπορώ να χρησιμοποιήσω δωρεάν εργαλεία φορμών;
Τι πρέπει να κάνω αν γίνει παραβίαση δεδομένων;
[/wemasy-accordion]