Hur rapporterar jag HIPAA-överträdelser?
Den övre halvan av första sidan i klagomålsformuläret kräver att du lämnar information så att OCR kan identifiera vem som rapporterar HIPAA-överträdelsen.
Den Health Insurance Bärbarhet och Accountability Act från 1996 ("HIPAA") är en federal lag som skyddar integriteten för patienters hälsoinformation / register och mandat antagandet av säkerhetsåtgärder för att skydda patienternas hälsoinformation / poster som lagras elektroniskt. Om du tror att din hälsoinformation har äventyrats i strid med HIPAA kan du lämna in ett klagomål för att rapportera överträdelsen.
Metod 1 av 3: Rapportera en HIPAA-överträdelse
- 1Skaffa formulärpaketet. Kontoret för medborgerliga rättigheter ("OCR") vid US Department of Health & Human Services tillhandahåller ett OCR Health Information Privacy Complaint Form Package Package på sin webbplats. Du kommer att använda det här formuläret för att rapportera en HIPAA-överträdelse genom att ladda ner den, fylla i den och sedan skicka den till lämplig enhet.
- 2Läs igenom formulärpaketet. Den formen Paketet består av åtta sidor. Innan du börjar fylla i formuläret bör du ta lite tid och läsa igenom hela formulärpaketet. Du kommer att använda de två första sidorna för att faktiskt rapportera HIPAA-överträdelsen.
- Den tredje och fjärde sidan innehåller ett samtyckeformulär som du kan fylla i för att ge OCR tillgång till din personliga information medan kontoret undersöker ditt klagomål.
- De sista fyra sidorna innehåller information om vad OCR kan göra med din personliga information, hur den kommer att skyddas och när den kan avslöjas.
- 3Ange identifierande information. Den övre halvan av första sidan i klagomålsformuläret kräver att du tillhandahåller information så att OCR kan identifiera vem som rapporterar HIPAA-överträdelsen. Du måste ange ditt namn, telefonnummer, gatuadress och e-postadress.
- Om du fyller i formuläret för någon annan, kryssa i rutan och skriv i den personens namn i lämpligt avsnitt.
- 4Ge information om HIPAA-överträdelsen. På andra halvan av första sidan måste du specificera vem, när och vad av den påstådda HIPAA-överträdelsen. Du måste ange namn och gatuadress för den enhet du tror har begått överträdelsen och datumet då överträdelsen inträffade. Du måste då kort beskriva hur den namngivna enheten brutit mot dina (eller någon annans) rättigheter enligt HIPAA.
- När du beskriver överträdelsens karaktär bör du vara så specifik som möjligt. Du behöver inte använda ett komplext, lagligt språk eller hänvisa till själva HIPAA-stadgan. Skriv bara ner den sekvens av händelser som du tror ledde till överträdelsen och ge sedan så mycket information du kan om överträdelsen och hur den har påverkat dig.
- Om du behöver mer utrymme än det som tillhandahålls kan du bifoga ytterligare sidor.
- 5Ge valfri information. Den andra sidan i klagomålsformuläret är helt frivillig. Denna del av formuläret ber dig att identifiera eventuella speciella behov som kan påverka kommunikationen med OCR, låter dig tillhandahålla en ytterligare kontakt om OCR inte kan nå dig direkt för att diskutera din rapport, frågar om du har lämnat in ditt klagomål någon annanstans, och frågar om ras / etnicitet och hur du hörde om OCR.
- Slutför allt, något eller inget av detta avsnitt som du vill.
- 6Underteckna och datera formuläret. Längst ner på första sidan finns det ett utrymme för att underteckna och datera formuläret. Du måste göra detta innan du skickar det.
- 7Fyll i formuläret för samtycke till klagomålet. Den tredje och fjärde sidan i formulärpaketet är ett samtyckeformulär som måste skickas in tillsammans med det klagomålsformulär som du just fyllt i. Läs igenom formuläret och bestäm om du vill samtycka till att OCR får tillgång till och avslöjar din personliga information för vissa enheter under undersökningen. Markera sedan lämplig ruta när det gäller ditt samtyckebeslut, skriv in din adress och ditt telefonnummer och underteckna och datera formuläret.
- Samtycke är helt frivilligt, men OCR varnar för att underlåtenhet att ge samtycke kan hindra dess utredning och slutligen stänga den.
- 8Skicka in ditt klagomål. När du har fyllt i både klagomåls- och samtyckeformuläret (återigen de första fyra sidorna i formulärpaketet) har du flera alternativ för att skicka ditt klagomål till OCR:
- Du kan skriva ut de ifyllda blanketterna och antingen maila eller faxa dem till lämpligt regionalt OCR-kontor (OCR-kontoret i regionen där överträdelsen inträffade). OCR tillhandahåller en lista med kontaktinformation för sina regionala kontor online.
- Du kan skicka de ifyllda blanketterna till OCR via OCRComplaint@hhs.gov.
Hur rapporterar jag HIPAA-överträdelser om att någon ger någon annan medicinska dokument?
Metod 2 av 3: använda alternativa metoder för att rapportera HIPAA-överträdelser
- 1Skicka in ett skriftligt klagomål. Om du inte vill använda det officiella formulärpaketet som OCR tillhandahåller på sin webbplats för att rapportera en HIPAA-överträdelse, kan du också bara skriva ut ett klagomål i ditt eget format. Du skickar sedan in det skriftliga klagomålet på det sätt som du skulle skicka det officiella formuläret (per post eller fax till relevant regionkontor eller via e-post). Du måste inkludera följande information i ditt skriftliga klagomål:
- Ditt namn, gatuadress, telefonnummer och e-postadress.
- Namnet, gatuadressen och telefonnumret för den enhet du tror har begått överträdelsen.
- En kort beskrivning av överträdelsen (specifikt: hur, varför och när överträdelsen).
- Din underskrift och datum för klagomålet.
- Om du lämnar in klagomålet för en annan persons räkning måste du också inkludera den personens namn.
- 2Skicka ett klagomål online. Du kan också lämna in ett klagomål elektroniskt med OCR-klagomålsportalen. Öppna portalen, välj vilken typ av klagomål du vill göra och slutför frågorna när de presenteras för dig. Du kommer att tillhandahålla identifierande information, beskriva karaktären på ditt klagomål och ge annan information som kan hjälpa OCR att undersöka / granska ditt klagomål. Klicka sedan på knappen för att skicka in ditt klagomål.
- Du får möjlighet att skriva ut en kopia av ditt klagomål.
Du kommer att använda det här formuläret för att rapportera en HIPAA-överträdelse genom att ladda ner den, fylla i den och sedan skicka den till lämplig enhet.
Metod 3 av 3: veta när man ska rapportera en HIPAA-överträdelse
- 1Skicka in ett klagomål mot en "täckt enhet. " HIPAA kräver inte att alla följer sina regler. Endast de enheter som HIPAA anser vara en "täckt enhet" kan göra en sådan överträdelse. "Täckta enheter" inkluderar vårdgivare, hälsoplaner och vårdcentraler. Följande enheter är i allmänhet skyldiga att följa HIPAA och kan därför utredas för brott av OCR:
- Läkare, psykologer, kiropraktorer, tandläkare.
- Sjukhus, kliniker, vårdhem, apotek.
- Hälsoförsäkringsbolag, företags hälsoplaner.
- Statliga sjukvårdsprogram som Medicaid eller Medicare.
- 2Vet vem du inte kan rapportera. Precis som det finns vissa enheter som omfattas av HIPAA: s bestämmelser, finns det sådana som inte är bundna av dess regler och därför inte kan bryta mot dem. OCR kommer inte att undersöka ett klagomål som lämnats in mot följande enheter:
- Arbetsgivare, livförsäkringsbolag, arbetstagares ersättningsföretag.
- Många skolor / skolområden.
- Många statliga myndigheter, till exempel de som arbetar med barnskyddstjänster.
- Många brottsbekämpande organ.
- Många kommunala kontor.
- 3Vet vilken information som är skyddad. Den HIPAA Privacy regel skyddar din integritet genom att reglera vem som får se eller ta emot din läkare information. Den HIPAA Security regel kräver någon täckt enhet som lagrar din läkare information i elektronisk form för att ha vidtagit lämpliga säkerhetsåtgärder för att skydda informationen från obehörig åtkomst. Följande information skyddas under HIPAA:
- Information som läggs in i din medicinska journal av en vårdgivare.
- Konversationer som din läkare har med andra vårdpersonal angående din vård eller behandling.
- Faktureringsinformation på din klinik och personlig information hos ditt sjukförsäkringsbolag.
- 4Vet vad täckta enheter är skyldiga att göra för att skydda din information. HIPAA kräver täckta enheter att införa vissa åtgärder och vidta vissa åtgärder för att säkerställa att din hälsoinformation är skyddad från obehörig åtkomst eller avslöjande. Specifikt måste en sådan enhet göra följande:
- Upprätta skyddsåtgärder för att skydda din hälsoinformation och inte använda / avslöja din hälsoinformation på ett felaktigt sätt.
- Begränsa användning och avslöjande av din hälsoinformation till endast det som är nödvändigt.
- Upprätta förfaranden för att begränsa åtkomsten till din hälsoinformation.
- Träna anställda om hur du skyddar din hälsoinformation.
- 5Vet dina rättigheter. HIPAA ger också varje individ vissa rättigheter över sin egen hälsoinformation. Varje täckt enhet måste respektera och följa dessa rättigheter. Dessa rättigheter inkluderar:
- Be om att få se / skaffa en kopia av dina hälsoposter.
- Få dina hälsoposter korrigerade efter behov.
- Få ett meddelande om hur din hälsoinformation används / delas och få en rapport som beskriver när / varför din hälsoinformation användes / delades.
- Bestäm om din hälsoinformation kan delas för andra ändamål, t.ex. marknadsföring.
Om du tror att din hälsoinformation har äventyrats i strid med HIPAA kan du lämna in ett klagomål för att rapportera överträdelsen.
- Kom ihåg att förvara en kopia av klagomålet för dina egna register.
- Federal lag skyddar dig från alla vedergällningsåtgärder från en täckt enhet som svar på att du rapporterar en HIPAA-överträdelse mot den enheten. Alla sådana vedergällningsåtgärder bör rapporteras till OCR omedelbart.
- Om du har några frågor när du fyller i ditt klagomål eller behöver hjälp med att lämna in ditt klagomål, maila OCR till OCRComplaint@hhs.gov eller kontakta dess avgiftsfria nummer på 1-866-627-7748.
- Du måste lämna in ett klagomål som rapporterar en HIPAA-överträdelse inom 180 dagar efter att du visste att överträdelsen inträffade.
- Den påstådda integritetsintrången måste ha inträffat antingen den 14 april 2003 eller senare, för att OCR ska kunna undersöka överträdelsen. En påstådd säkerhetsintrång måste ha inträffat den 20 april 2005 eller senare.
Frågor och svar
- Är det ett brott mot HIPAA-lagen om en familjemedlem får min medicinska information från mina medicinflaskor och använder den i domstol?Jag skulle säga att det beror på var de såg flaskorna. Om det till exempel var i ditt hus i ditt sovrum, där människor inte besöker ofta, ja. Om du lämnade dem hemma hos personen, förmodligen inte. Det åligger dig att skydda din känsliga information.
- Kan en läkare ange saldot på ett konto och be om pengarna framför andra patienter?Jag tror det, men det är i allmänhet mer respektfullt att fråga privat.
- Om en högskolelärare tar fram en patients hälsojournaler med all personlig information överkryssad men viss information fortfarande är synlig, skulle detta betraktas som ett HIPAA-brott?Det beror på. Om informationen som fortfarande syns är fortfarande inte tillräcklig för att identifiera patienten, är det förmodligen inte olagligt så länge läraren hade tillåtelse att komma åt hälsojournalerna från början och att använda dem i en utbildningsmiljö utan personligt innehåll. Men om något som identifierar - som patientens adress - fortfarande var synligt, skulle detta uppenbarligen vara ett brott.
- Vad gör jag om jag fick mejl till någon annans medicinska resultat?Ring eller skicka e-postmeddelandet till personen som skickade det för att meddela dem att informationen gick till fel plats. Svara som de begär, eller förstör posterna.
- Vi har en sjuksköterska på vårt sjukhus som ofta (8-10 gånger i dag ensam) får tillgång till patientjournaler som inte finns i vår avdelning och sedan fortsätter att prata om och göra narr av dessa patienter. Sjuksköterskedirektören och andra har fått höra om situationen. Inget har förändrats. Vad kan jag göra?Har ditt sjukhus en etisk kommitté? Rapportera sjuksköterskan till dem eller till vårdstyrelsen i ditt tillstånd.
- Är det en HIPPA-överträdelse om en sjuksköterska diskuterar patientuppgifter med sin familj?Överträdelser gäller vanligtvis endast personlig information. Till exempel tar Fiona CNA hand om George, en man i hennes vård. George har ett sår som hon kontinuerligt övervakar. När Fiona kommer hem frågar hennes son om något ovanligt hände den dagen. Om Fiona påpekade att en av hennes patients skador läker onormalt långsamt, är hon klart. Men om hon skulle nämna Georges namn eller något annat som direkt ansluter till patienten är det ett brott.
- Kan jag rapportera min arbetsgivare för HIPAA-överträdelser?Ja, du kan (och borde) rapportera alla HIPAA-överträdelser, oavsett vem som begår överträdelsen.
- Om en läkare har bestämt att någon ska vara i långtidsvård och båda hans patientförespråkare är överens, kan då vårdhem släppa patienten till en annan familjemedlem utan att rådfråga hustrun, en patientförespråkare?Det bör finnas en primärvårdskontakt, som normalt är makan. Att släppa någon i långtidsvård till en annan person utan att informera makan eller beslutsfattaren i den primära sjukvården skulle vara olagligt, såvida inte den vårdande personen hade förklarats behörig och valt att ändra sin beslutsfattare för primärvården eller på annat sätt var kapabel och lagligt kunna fatta sina egna beslut, och kanske visa anledning att inte informera makan.
- Är det ett HIPPA-brott om min periodontist publicerade en bild av mig på deras Facebook-konto?Bara om du inte har gett ditt samtycke till att ditt foto tas och publiceras. Jag föreslår att du bara låter dem veta om det gör dig obekväm.
- Jag jobbar för ett stort företag. Jag gav vår HR-person känslig medicinsk information om funktionshinder och hon sprider min privata information. Täcks detta av HIPAA?Ja. HIPAA täcker alla journaler - inklusive de som hanteras av arbetsgivare och deras HR- eller försäkringsavdelningar. De får inte dela denna information med andra parter utan patientens undertecknade tillstånd.
Obesvarade frågor
- Vad gör jag om jag av misstag skickade ut ett e-postmeddelande till patienter utan att använda BCC?
- Hur rapporterar jag HIPAA-överträdelser om att någon ger någon annan medicinska dokument?
- Hur vet jag om något är en HIPAA-överträdelse?
- En förskrivare på mitt kontor tejper kuvert med patientrecept på väggen utanför hennes kontor för upphämtning. Är det ett brott?
- Är det en HIPAA-överträdelse om min läkare kallar mig namn och gör narr av mig för att jag inte har gjort en viss procedur?
Läs också:
Ansvarsfriskrivning Innehållet i denna artikel är för din allmänna information och är inte avsedd att ersätta professionell lag eller finansiell rådgivning. Det är inte heller avsett att lita på av användare när de fattar några investeringsbeslut.
