قواعد الخصوصية والأمن لقانون HIPAA

تُعد قواعد الخصوصية والأمن لقانون HIPAA المعايير الفيدرالية الرئيسية في الولايات المتحدة التي تحكم استخدام المعلومات الصحية القابلة للتحديد والكشف عنها وحمايتها. صدرت قاعدة الخصوصية بموجب قانون قابلية نقل التأمين الصحي والمساءلة لعام 1996، وتحدد المعايير الوطنية لكيفية استخدام المعلومات الصحية المحمية والكشف عنها، وتمنح الأفراد حقوقًا على معلوماتهم، بينما تحدد قاعدة الأمن معايير حماية تلك المعلومات عند الاحتفاظ بها أو نقلها إلكترونيًا.

Definition

تُنشئ قاعدة خصوصية HIPAA معايير وطنية لحماية المعلومات الصحية الفردية القابلة للتحديد التي تحتفظ بها أو تنقلها الكيانات المشمولة وشركاؤها التجاريون، وتحدد الاستخدامات والإفصاحات المسموح بها وحقوق الأفراد؛ وتُنشئ قاعدة أمن HIPAA معايير للضمانات الإدارية والمادية والتقنية التي تحمي المعلومات الصحية الإلكترونية المحمية.

Scope

يشرح هذا المدخل هيكل ومفاهيم القواعد الأساسية: تعريف المعلومات الصحية المحمية، وفئات الكيانات المشمولة وشركاء الأعمال الذين تُلزمهم، والاستخدامات والإفصاحات المسموح بها ومبدأ الحد الأدنى الضروري، وحقوق الأفراد في الوصول والتعديل، والضمانات الإدارية والمادية والتقنية المطلوبة للمعلومات الإلكترونية. يتعامل هذا المدخل مع القواعد كإطار تنظيمي للرجوع والتعليم ولا يقدم تحديدات للامتثال لأي منظمة أو موقف محدد.

Core questions

• ما هي المنظمات والمعلومات التي تنطبق عليها القواعد؟
• ما هي الاستخدامات والإفصاحات للمعلومات الصحية المحمية المسموح بها دون تفويض فردي؟
• ما هي الحقوق التي يتمتع بها الأفراد على معلوماتهم الصحية؟
• ما هي الضمانات التي يجب أن تحمي المعلومات الصحية الإلكترونية المحمية؟
• كيف تعزز التزامات الإنفاذ والانتهاك القواعد؟

Key concepts

• المعلومات الصحية المحمية (PHI)
• الكيانات المشمولة وشركاء الأعمال
• الاستخدامات والإفصاحات المسموح بها
• معيار الحد الأدنى الضروري
• حقوق الأفراد في الوصول والتعديل
• الضمانات الإدارية والمادية والتقنية
• مواصفات قاعدة الأمن المطلوبة مقابل القابلة للمعالجة
• إشعار ممارسات الخصوصية

Mechanisms

تعمل قاعدة الخصوصية من خلال تعريف المعلومات الصحية المحمية ثم تحديد متى يمكن استخدامها أو الكشف عنها: يُسمح ببعض الاستخدامات (مثل العلاج والدفع وعمليات الرعاية الصحية) دون تفويض، بينما تتطلب العديد من الاستخدامات الأخرى تفويضًا كتابيًا من الفرد، وتُقيّد الإفصاحات بمبدأ الحد الأدنى الضروري. كما تمنح حقوقًا فردية، بما في ذلك الوصول إلى سجلات الفرد والقدرة على طلب التعديلات. تُكمل قاعدة الأمن ذلك من خلال مطالبة الكيانات المشمولة وشركاء الأعمال الذين يتعاملون مع المعلومات الصحية الإلكترونية المحمية بإجراء تحليل للمخاطر وتطبيق ضمانات عبر ثلاثة مجالات: إدارية (السياسات، تدريب القوى العاملة، إدارة الوصول)، مادية (ضوابط المنشأة والجهاز)، وتقنية (التحكم في الوصول، ضوابط التدقيق، السلامة، وأمن النقل). بعض مواصفات التنفيذ مطلوبة والبعض الآخر قابل للمعالجة، مما يسمح بالمرونة المتناسبة مع حجم المنظمة ومخاطرها. يُطبق مكتب الحقوق المدنية كلا القاعدتين (HHS OCR, 2013; Nass et al., 2009).

Clinical relevance

تشكل القواعد كيفية التعامل مع المعلومات اليومية في بيئات الرعاية: كيفية مشاركة السجلات للعلاج، وما يمكن للمرضى الوصول إليه، وما هي التدريبات والضوابط التي يعمل بموجبها الطاقم السريري. وقد جادل المعلقون بأن قاعدة الخصوصية تدعم، بدلاً من أن تعيق، تبادل المعلومات الصحية المناسب عند تطبيقها بشكل صحيح (McDonald, 2009). هذا المدخل هو وصف مرجعي للإطار التنظيمي وليس نصيحة قانونية أو تحديد امتثال لأي كيان محدد.

Evidence & guidelines

المصدر الموثوق هو النص التنظيمي نفسه (45 CFR Parts 160 and 164) وإرشادات مكتب الحقوق المدنية التي تفسره (HHS OCR, 2013). فحص معهد الطب كيف تؤثر قاعدة الخصوصية على الأبحاث الصحية وأوصى بإصلاحات لتحقيق توازن أفضل بين الخصوصية وفائدة البحث (Nass et al., 2009). نظرًا لأن القواعد وإرشاداتها تُعدل بشكل دوري، يجب الرجوع إلى مصادر HHS الرسمية الحالية للمتطلبات المحددة.

History

صدر قانون HIPAA في عام 1996 بشكل أساسي لمعالجة قابلية نقل التأمين وتبسيط الإجراءات الإدارية؛ وصدرت أحكامه المتعلقة بالخصوصية والأمن كقواعد في أوائل العقد الأول من القرن الحادي والعشرين، حيث دخلت قاعدة الخصوصية وقاعدة الأمن حيز التنفيذ في عامي 2003 و 2005 على التوالي. وسّع قانون HITECH لعام 2009 الالتزامات مباشرة لتشمل شركاء الأعمال، وعزز الإنفاذ، وأضاف متطلبات الإبلاغ عن الانتهاكات، ودمجت قاعدة أومنيبوس لعام 2013 هذه التغييرات. يظل الإطار هو الأساس الذي يُقاس عليه الكثير من ممارسات المعلومات الصحية في الولايات المتحدة (Nass et al., 2009).

Debates

هل توازن قاعدة الخصوصية بشكل مناسب بين حماية واستخدام البيانات الصحية؟

يرى البعض أن القاعدة تعيق بشكل غير ضروري تنسيق الرعاية والبحث، بينما يدافع آخرون عنها باعتبارها متوافقة مع التبادل المناسب للمعلومات الصحية؛ وقد أوصى معهد الطب بإصلاحات مستهدفة خصيصًا لسياق البحث.

Seminal works

• nass-2009
• mcdonald-2009

Frequently asked questions

من يجب عليه اتباع قواعد الخصوصية والأمن لقانون HIPAA؟

تُلزم القواعد الكيانات المشمولة (معظم مقدمي الرعاية الصحية، وخطط التأمين الصحي، وغرف المقاصة الصحية) وشركاء أعمالهم الذين ينشئون أو يتلقون أو يحتفظون أو ينقلون معلومات صحية محمية نيابة عنهم. وهي لا تغطي بشكل مباشر كل منظمة تتعامل مع البيانات المتعلقة بالصحة.

ما هو معيار الحد الأدنى الضروري؟

هو مبدأ قاعدة الخصوصية الذي ينص على أنه، بالنسبة لمعظم الاستخدامات والإفصاحات، يجب على الكيانات المشمولة بذل جهود معقولة لتقييد المعلومات الصحية المحمية بالحد الأدنى المطلوب لتحقيق الغرض المقصود، بدلاً من مشاركة السجلات بأكملها افتراضيًا.