El papel de la HIPAA y la PHI al utilizar la tecnología

HIPAA

Primero comencemos con HIPAA. HIPAA son las siglas de Health Insurance Portability and Accountability Act (HIPAA) de 1996 . Es una ley federal que proporciona estándares nacionales sobre cómo manejar la privacidad y seguridad de los registros médicos de los pacientes. Debe ser seguido por los centros de salud, los trabajadores de la salud, las compañías de seguros de salud y cualquier empresa o trabajador que pueda ver registros médicos debido al trabajo que realizan (por ejemplo, una empresa de facturación médica o una empresa de tecnología).

HIPPA consta de dos partes:

1. La regla de privacidad establece cómo se debe utilizar la información médica protegida (PHI)
2. La regla de seguridad establece cómo se protegerá la PHI electrónica

Cuando se trata de PHI electrónica, debe considerarse un guardián. Protege la información utilizando políticas gubernamentales y de la empresa. Puede recibir una multa y los trabajadores pueden ser multados o encarcelados por violar la HIPAA y la PHI. Ahora usaremos ejemplos para mostrar cómo la PHI debe y no debe usarse.

Ejemplo de HIPAA en acción

Mary está en su restaurante de mariscos favorito para cenar con amigos un viernes por la noche. Tuvo que esperar 30 minutos por una mesa a pesar de que tenían una reserva. Minutos después de que Mary está sentada, hay una conmoción hacia la parte trasera del restaurante. Alguien pregunta si hay un médico o una enfermera en el restaurante. Como Mary es una enfermera titulada con licencia, corre a la parte trasera del restaurante para ayudar. Ve a una mujer que se ha desmayado y ahora no respira. Mary reconoce a la mujer como paciente de la clínica en la que trabaja. Realiza RCP mientras alguien llama al 911.

Cuando llega el EMT y se hace cargo de la atención del paciente, Mary accede a los registros médicos electrónicos del paciente con su teléfono celular personal. Luego informa al EMT que conoce al paciente. Mary luego le dice al EMT que el nombre de la paciente es Josie Jones, tiene 60 años y le han diagnosticado hipertensión, diabetes tipo 2 e hiperlipidemia. El paciente está tomando 20 mg de lisinopril, 20 mg de Lipitor y 45 mg de metformina.

¿Alguna preocupación con este escenario? La información que Mary compartió fue Información de salud protegida (PHI) . La PHI incluye la condición de salud y los identificadores personales como nombre, fecha de nacimiento, dirección, fecha de nacimiento y número de seguro social.

Veamos cuánta PHI reveló Mary: el nombre del paciente, la edad, el diagnóstico médico y los medicamentos. ¿Estaba bien revelarlo?

La regla de privacidad de HIPAA establece que la PHI se puede divulgar para la atención del paciente. Mary compartió información del registro médico electrónico del paciente. Esto se considera PHI electrónico.

Entonces, ¿qué hizo mal María? Mary reveló verbalmente la PHI electrónica, pero no tomó nota de que otras personas que no tenían nada que ver con la atención del paciente estaban lo suficientemente cerca para escucharla. Mary tampoco siguió el procedimiento de seguridad de la PHI electrónica de su empleador (no acceda a los registros del paciente en dispositivos personales). Mary pasó por alto el hecho de que la paciente recuperó el conocimiento antes de compartir su PHI electrónica. Mary regresó a cenar con sus amigas, después de que se fue la ambulancia.

Mirando la Regla de seguridad de HIPAA un poco más de cerca, habla específicamente sobre la protección de la confidencialidad, integridad y disponibilidad de la PHI electrónica.

Para cumplir con HIPAA, las empresas de atención médica deben desarrollar procedimientos específicos de la empresa para que los sigan sus trabajadores. Las empresas de atención médica deben desarrollar y mantener la seguridad técnica y seguir desarrollando formas de mantenerse al día con la tecnología.

Al tratar de ayudar a la Sra. Jones, Mary violó la regla de privacidad de HIPAA y la regla de seguridad de HIPAA, y debe informar el incidente a su empleador de atención médica de inmediato.

Veamos otro ejemplo.

Sala de emergencias y HIPAA

Wanda es enfermera de urgencias y tiene un paciente que llegó a urgencias en ambulancia. El paciente parece haber tenido un infarto de miocardio y está inconsciente. El paciente tiene una billetera y un teléfono celular sin contraseña. El paciente está identificado como Joe Johnson, su teléfono celular tiene a Betty Johnson como contacto de emergencia. El Sr. Johnson ha estado hospitalizado en este hospital en el pasado. Tiene un poder de salud registrado (Betty Johnson, su hermana) y está anotado en su registro médico electrónico. Wanda llama a Betty Johnson pero recibe un mensaje de voz, así que le deja un mensaje para que le devuelva la llamada.

¿Wanda hizo lo correcto? Bueno, hasta ahora todo bien. Wanda accedió a la PHI electrónica, pero estaba autorizada a hacerlo para brindar atención a su paciente. Dejó un mensaje de correo de voz para el representante de salud de su paciente sin información específica sobre el paciente. Ella solo dejó su nombre y su número de teléfono directo.

Otro ejemplo de ER

Betty Johnson tiene el mismo nombre que la hermana de Joe, pero es la vecina entrometida de Joe del otro lado de la calle y no es pariente de Joe. Nosy Betty está en la sala de emergencias con un amigo que llegó por dolor en el pecho y pasará la noche en observación.

En la estación de enfermeras, Nosy Betty escucha a Wanda dejando un mensaje para Betty Johnson, la hermana de Joe Johnson. Ella le dice a la enfermera que es Betty Johnson. Wanda asume que Betty Johnson es la hermana de Joe y le dice que su hermano Joe fue admitido. Nosy Betty pide ver a Joe y ella recibe una actualización de Wanda sobre su condición médica. Wanda no tiene idea de que dio la PHI de Betty Joe incorrecta.

¿Cómo Wanda violó HIPAA? Wanda violó las reglas de privacidad de HIPAA y probablemente las reglas de cumplimiento de HIPAA de su empleador de atención médica al compartir el diagnóstico actual de su paciente, los medicamentos actuales y el pronóstico con un extraño. Podría haberlo hecho mejor pidiéndole a Betty Johnson su identificación y que verificara la fecha de nacimiento de su hermano, o seguir las reglas de cumplimiento de su empleador de atención médica.

Resumen de la lección

Cuando se trata de PHI electrónica, debe considerarse un guardián. Debe protegerlo de ser interceptado y de un acceso inadecuado. Sea consciente de su entorno y anticipe las amenazas.

Antes de compartir PHI por computadora, correo electrónico, fax o por teléfono, pregúntese lo siguiente: ‘¿Estoy compartiendo demasiada información y la persona con la que estoy compartiendo esta información está autorizada para recibir esta información?’

Siga siempre los procedimientos de cumplimiento de HIPAA de su proveedor de atención médica. Informe las infracciones a su empleador de atención médica de inmediato.

Rodrigo Ricardo Editor y fundador