HIPAA

Les patients croient, et supposent à juste titre, que les informations qu'ils partagent en toute confiance resteront confidentielles. Bien qu'il existe de nombreuses lois et réglementations relatives à la protection de la vie privée et aux informations personnelles identifiables (PII) et notamment les informations personnelles sensibles (SPII), il existe des règles spécifiques liées aux informations de santé. Aux États-Unis, la confidentialité de ces données est régie par la Loi sur la portabilité et la responsabilité en matière d'assurance maladie de 1996 (HIPAA ou loi Kennedy-Kassebaum), promulguée le 21 août 1996.

Au cœur de la loi HIPAA se trouve le principe de confidentialité des informations recueillies et enregistrées dans le cadre des soins prodigués à un patient. La divulgation de toute information personnelle identifiable (IPI) ou information personnelle sensible (IPS) à des tiers à des fins commerciales sans consentement compromet la confiance et viole les principes du consentement éclairé et de la confidentialité. Toutefois, ce préjudice s'étend à l'intégrité de la relation patient-médecin en matière d'informations de santé. La loi HIPAA stipule comment les secteurs de la santé et de l'assurance maladie doivent protéger les informations de santé protégées (PHI) contre la fraude et le vol.

La loi HIPAA comporte cinq titres :

• Titre I protège la couverture d'assurance maladie des travailleurs et de leurs familles lorsqu'ils changent d'emploi ou perdent leur emploi.
• Titre II, également connue sous le nom de dispositions de simplification administrative (AS), exige l'établissement de normes nationales pour les transactions électroniques de soins de santé et d'identifiants nationaux pour les fournisseurs, les régimes d'assurance maladie et les employeurs.
• Titre III établit des lignes directrices pour les comptes de dépenses médicales avant impôt
• Titre IV établit des lignes directrices pour les régimes d'assurance maladie collective
• Titre V régit les polices d'assurance-vie détenues par l'entreprise

Pour les professionnels de la sécurité et de la confidentialité, il existe deux règles HIPAA qui protègent la gestion et l'utilisation des informations de santé :

• Règle de confidentialité Elle confère aux patients des droits sur leurs informations de santé et établit des règles et des limites quant aux personnes pouvant consulter et recevoir ces informations. La règle de confidentialité s'applique à toutes les formes d'informations de santé protégées, qu'elles soient électroniques, écrites ou orales.
• Règle de sécurité - exige la sécurité des informations de santé sous forme électronique.

Quelles organisations sont tenues de se conformer à la loi HIPAA ?

Les organisations tenues de respecter la loi HIPAA sont appelées « entités couvertes ». Les entités couvertes comprennent :

• Régimes de santé - Ces entités comprennent les compagnies d'assurance maladie, les organismes de gestion de la santé (HMO), les régimes de santé d'entreprise et certains programmes gouvernementaux comme Medicare et Medicaid.
• Fournisseurs de soins de santé Ces entités créent une trace écrite électronique qui comprend, entre autres, les informations de facturation. Les médecins, les cliniques, les hôpitaux, les psychologues, les chiropraticiens, les maisons de retraite, les pharmacies et les dentistes appartiennent à cette catégorie.
• Centres de traitement des données de santé – ces entités traitent et normalisent les informations de santé qu'elles reçoivent d'autres entités

Les « partenaires commerciaux » comprennent les entrepreneurs, les sous-traitants et autres tiers susceptibles d'avoir accès à des renseignements médicaux dans le cadre de la prestation d'un service. Ces partenaires commerciaux sont tenus de respecter la loi HIPAA lorsqu'elle est applicable.

Quelles organisations sont exemptées de la loi HIPAA ?

Bien que les « entités couvertes » ne soient pas les seules organisations à détenir des renseignements personnels sur la santé (RPS), ce sont elles qui font l’objet d’un examen attentif de la part des autorités de réglementation. Certaines organisations peuvent également posséder des RPS ou d’autres informations relatives à la santé, mais sont généralement exemptées de la réglementation HIPAA. Il s’agit notamment des compagnies d’assurance-vie, des établissements scolaires, des agences d’État, des forces de l’ordre et d’autres groupes.

Quelles données sont concernées ?

Les données concernées par la loi HIPAA incluent les informations générées et partagées par les prestataires de soins de santé et les entités apparentées.

• dossiers médicaux
• Traitement
• assurance maladie
• Facturation
• Autres informations sur la santé

Comment protéger les informations de santé ?

La loi HIPAA fournit des directives générales pour la protection des informations de santé. Ces recommandations s'adressent aux entités couvertes et à leurs partenaires commerciaux afin de :

• Déployer des mesures de protection
• Limiter l'utilisation et la divulgation
• Limiter l'accès
• Mettre en place des formations pour les employés

Quels sont les droits des patients concernant leurs informations de santé ?

Les patients disposent des droits suivants en ce qui concerne leurs informations de santé :

• Obtenez une copie
• Assurez-vous que c'est correct
• Limitez l'utilisation ou le partage, avant que cela ne se produise.
• Limiter la manière dont il est utilisé ou divulgué
• Obtenez un rapport indiquant quand et pourquoi il a été partagé

Les patients peuvent également déposer une plainte auprès du HHS s'ils estiment que leur droit de connaître et de contrôler leurs propres informations de santé est bafoué.

Quelles sont les utilisations autorisées des renseignements sur la santé?

Les informations de santé peuvent être utilisées et partagées aux fins suivantes :

• Faciliter la coordination des traitements et des soins
• Payer les prestataires pour vos traitements
• Permettre à la famille, aux amis et à d'autres personnes de soutenir ou de gérer les soins d'un patient
• Garantir des soins de qualité
• S'assurer que les établissements de soins sont propres et sûrs
• Protéger la santé publique
• Signaler aux forces de l'ordre

Sauf disposition légale contraire, les patients décident qui a accès à leurs informations.