Requisitos para Políticas de Privacidade Escritas e Lei HIPAA: Administrativo, Acesso e Gestão de Risco

Leis para proteger informações de saúde do paciente encontram-se na Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 (HIPAA). A segurança, privacidade e confidencialidade de informações de saúde eletrônicas são o foco dos requisitos HIPAA. Conformidade exige que todas as organizações de saúde cobertas forneçam políticas de privacidade escritas como parte dos requisitos administrativos declarados pela HIPAA.

Requisitos Administrativos

A lei HIPAA gira em torno de dois objetivos primários para salvaguardar informações de saúde: privacidade e segurança. Requisitos administrativos de uma organização enquadram-se nas regras de segurança da HIPAA. Segundo a Universidade de Miami, estas regras estabelecem certos padrões e diretrizes para implementar requisitos administrativos. Políticas de privacidade escritas funcionam como políticas e procedimentos formais que abordam gestão de informação de saúde, manutenção, papéis de funcionários e medidas de segurança para proteger informações de saúde do paciente. Em sua totalidade, esses requisitos fornecem estrutura de segurança para como organizações e funcionários acessam e usam informações de saúde do paciente. Treinamento de funcionários, designação de oficial de segurança HIPAA e revisões regulares de políticas atuais também estão incluídos nos requisitos administrativos.

Requisitos de Acesso e Rastreamento

Políticas de privacidade escritas sob HIPAA exigem que organizações criem políticas e procedimentos delineando autorizações de acesso e métodos de rastreamento para informações de saúde do paciente, segundo o HIPAA Survival Guide. Autorizações de acesso envolvem identificar quais pessoal requer acesso ao sistema e definir limitações baseadas na quantidade de informação necessária para cumprir responsabilidades do trabalho. Requisitos de rastreamento envolvem desenvolver políticas para monitorar atividade em registros de pacientes e desenvolver medidas punitivas quando violações são detectadas. Políticas também identificam áreas designadas para estações de computador e medidas de segurança envolvidas no acesso a estas estações. Políticas abordando contratos de associados de negócios também são requeridas para organizações que trabalham com contratantes terceirizados ou agências associadas.

Requisitos de Gestão de Risco

Como parte dos requisitos HIPAA, organizações de saúde devem desenvolver políticas que identifiquem seus procedimentos de gestão de risco e segurança, segundo HIPAA Survival Guide. Procedimentos de gestão de risco descrevem como uma organização detecta, corrige e contém violações de segurança. Um plano para identificar áreas de risco e vulnerabilidades em procedimentos operacionais também enquadra-se no requisito. Políticas devem abordar conscientização de funcionários sobre medidas de segurança em programas formais de treinamento. Políticas de privacidade escritas sobre procedimentos de segurança devem incluir plano de contingência de emergência para acessar informações do paciente em caso de falha de sistema, incêndio ou evento que torne rede inoperável. Planos de contingência incluem métodos para backup de dados, recuperação de dados perdidos e manutenção de processos de negócios durante emergência.