A Regra das Bandeiras Vermelhas é uma lei que exige que certos médicos e grupos de saúde desenvolvam e implementem procedimentos para "sinalizar" indivíduos que possam estar usando a identidade ou seguro de saúde de outra pessoa para obter assistência médica gratuita. Embora esta lei ajude a proteger o público contra roubo de identidade, também beneficia provedores de saúde que frequentemente têm contas não pagas muito tempo após o roubo de identidade ter ocorrido.
A regra se aplica a provedores de saúde considerados "credores" — ou seja, que faturam regularmente pacientes após a prestação de serviços médicos, incluindo taxas não reembolsadas pelo seguro — e se possuem "contas cobertas", ou permitem pagamentos múltiplos de pacientes. Se um provedor exige pré-pagamento ou pagamento no momento do serviço, ou aceita apenas pagamento direto de provedores de benefícios médicos e o paciente não paga taxas, não é considerado credor.
Provedores afetados devem desenvolver um Programa Escrito de Prevenção de Roubo de Identidade para detectar bandeiras vermelhas que possam indicar roubo de identidade. Este programa deve identificar os tipos de bandeiras vermelhas particulares à prática, explicar o processo para detectá-las, descrever as etapas para responder a elas e detalhar como o provedor atualizará o programa para mantê-lo atual.
Embora a Regra das Bandeiras Vermelhas tenha entrado em vigor em 1º de janeiro de 2008, a Comissão Federal de Comércio (FTC) estendeu o prazo para fiscalização para 31 de dezembro de 2010. Isso dará às organizações de saúde mais tempo para revisar seus procedimentos de faturamento e determinar se são credores com contas cobertas e, portanto, devem cumprir a regra.
Exemplos de bandeiras vermelhas incluem: endereço que não corresponde ao já cadastrado, documento que não parece autêntico e paciente sem conhecimento das informações de sua seguradora. Às vezes, a resposta será solicitar identificação ou informações adicionais. Outras vezes, a bandeira vermelha será elevada a um nível superior e um procedimento específico, definido pelo provedor de saúde, será implementado.