Beskyttet sundhedsoplysninger (PHI): Afsløringsregler under HIPAA

PHI = Individuel identificerbar sundhedsinformation holdt/overført af dækkede enheder (udbydere, planer, clearinghouses) eller forretningspartnere.

Tilladte afsløringer (Ingen godkendelse krævet)

• Behandling: Deling med andre udbydere for samordning af pleje.
• Betaling: Fakturering til forsikringsselskaber, kravbehandling, berettigelses-verificering.
• Sundhedsvæsen-operationer: Kvalitetsforbedring, træning, godkendelse, overholdelse.
• Folkesundhed: Sygdomsrapportering, vitalstatistik, FDA bivirkninger.
• Politi: Domstolsordrer, ordre, identifikation af mistenkte/ofer (begrænset).
• Mis Brug/Forsumelse: Pligtsrapportering (barn, ældre, sårbare voksne).
• Dødsfallsundersøgere, organdonation, forskning (IRB-fraviklet), arbejdsskade.

Afsløringer der kræver patient-godkendelse

• De fleste ikke-behandling/betaling/operationer brug (marketing, forskning, livsforsikring, arbejdsgivere).
• Psykoterapi-noter (speciel beskyttelse).
• Salg af PHI.

Patient-rettigheder

• Adgang og kopi af egne journaler (30 dage, én 30-dages forlængelse).
• Anmod om rettelse.
• Regnskab for afsløringer (6 år).
• Begrænsnings-anmodning (ikke pligtig at acceptere, undtagen hvis selvbetaling i fuld).
• Fortrolig kommunikation (alternativ adresse/telefon).
• Klage til OCR (HHS).

Minimum-nødvendig standard

Dækkede enheder må begrænse PHI til det minimum der er nødvendigt for det tilsigtede formål (undtagen behandling, patientadgang, HIPAA-pålagte).

Brud-notifikation

• Ubeskyttet PHI brud → underret individer, HHS, medier (hvis >500 påvirket i stat/jurisdiktion) inden for 60 dage.