Blog

Oct 10, 2023

Come smaltire correttamente le cartelle cliniche cartacee e i dati PHI fisici ai sensi dell'HIPAA

Fonte: Getty Images, 27 dicembre 2022 - Lo smaltimento improprio delle informazioni sanitarie protette (PHI) può comportare violazioni dell'HIPAA, indagini dell'Ufficio per i diritti civili (OCR) e multe salate. Per

Fonte: Getty Images

27 dicembre 2022 - Lo smaltimento improprio delle informazioni sanitarie protette (PHI) può comportare violazioni dell'HIPAA, indagini dell'Ufficio per i diritti civili (OCR) e pesanti multe.

Ad esempio, nell'agosto 2022, l'OCR ha risolto un caso con uno studio di dermatologia con sede nel Massachusetts dopo aver scoperto che contenitori di campioni vuoti con etichette che includevano PHI erano stati gettati via in un bidone della spazzatura non protetto nel parcheggio dello studio.

Le etichette includevano nomi dei pazienti, date di nascita, date di prelievo del campione e nome del fornitore che ha prelevato il campione. Inoltre, una guardia di sicurezza di terze parti ha successivamente trovato nel parcheggio un contenitore per campioni con un'etichetta contenente PHI.

“Lo smaltimento improprio delle informazioni sanitarie protette crea un rischio inutile per la privacy dei pazienti”, ha affermato all’epoca la direttrice dell’OCR Melanie Fontes Rainer.

"Le entità regolamentate dall'HIPAA dovrebbero adottare tutte le misure necessarie per garantire che siano messe in atto misure di salvaguardia quando si smaltiscono le informazioni dei pazienti per evitare che siano accessibili al pubblico."

Lo studio ha pagato 300.640 dollari all'OCR e ha accettato di implementare un piano di azioni correttive.

Fortunatamente, HHS mantiene una grande quantità di indicazioni sulle modalità corrette e improprie per smaltire documenti fisici e PHI elettronici come richiesto dalle norme sulla privacy e sicurezza HIPAA.

Di seguito, HealthITSecurity approfondirà diverse considerazioni chiave per il corretto smaltimento delle PHI fisiche, come i registri cartacei. Un prossimo articolo discuterà il processo di smaltimento delle PHI elettroniche.

La normativa sulla privacy HIPAA "richiede che le entità coperte applichino adeguate garanzie amministrative, tecniche e fisiche per proteggere la privacy delle informazioni sanitarie protette (PHI), in qualsiasi forma", afferma HHS nelle sue domande frequenti sullo smaltimento delle PHI.

"Ciò significa che le entità interessate devono attuare ragionevoli misure di salvaguardia per limitare usi e divulgazioni accidentali ed evitare vietati di PHI, anche in relazione allo smaltimento di tali informazioni."

La norma di sicurezza HIPAA richiede alle entità interessate di implementare politiche e procedure per la rimozione delle PHI elettroniche dai supporti elettronici prima che tali supporti possano essere riutilizzati, oltre alle politiche su come le PHI elettroniche vengono archiviate ed eliminate.

L'HIPAA richiede inoltre alle entità interessate di formare i membri della forza lavoro sulle politiche di smaltimento delle PHI dell'entità.

L'HIPAA è abbastanza flessibile quando si tratta di scegliere da parte delle organizzazioni quali misure di salvaguardia implementare per garantire che le informazioni vengano smaltite correttamente. Le entità coperte devono valutare le proprie circostanze individuali e prendere decisioni su come smaltire ragionevolmente le PHI.

"Nel determinare ciò che è ragionevole, gli enti coperti dovrebbero valutare i potenziali rischi per la privacy dei pazienti, nonché considerare questioni quali la forma, il tipo e la quantità di PHI da smaltire", continua HHS.

"Ad esempio, l'eliminazione di alcuni tipi di PHI come nome, numero di previdenza sociale, numero di patente di guida, numero di carta di debito o credito, diagnosi, informazioni sul trattamento o altre informazioni sensibili può giustificare maggiore attenzione a causa del rischio che un accesso inappropriato a queste informazioni potrebbero comportare il furto di identità, l'occupazione o altre discriminazioni o danni alla reputazione di un individuo.

Quando si tratta di documenti cartacei, HHS suggerisce di “triturare, bruciare, ridurre in poltiglia o polverizzare i documenti” per garantire che il PHI sia illeggibile e non possa essere ricostruito.

Per i flaconi soggetti a prescrizione con PHI, gli enti coperti possono prendere in considerazione la possibilità di collocare i flaconi in sacchetti opachi e utilizzare un fornitore per ritirare e smaltire il PHI.

Come esemplificato dall'accordo dell'OCR, le entità coperte non dovrebbero smaltire le informazioni sanitarie protette in un cassonetto non protetto a meno che non siano state distrutte al punto da essere illeggibili. Se le informazioni sanitarie protette smaltite in modo improprio finissero per essere esposte, sarebbe considerata una violazione dei dati.

"In generale, un'entità interessata non può smaltire PHI in documenti cartacei, flaconi di prescrizione etichettati, braccialetti identificativi ospedalieri, PHI su supporti elettronici o altre forme di PHI in cassonetti, contenitori per il riciclaggio, bidoni della spazzatura o altri contenitori di rifiuti generalmente accessibili da il pubblico o altre persone non autorizzate”, sostiene HHS.