Sebagai organisasi layanan kesehatan, perusahaan Anda harus dapat melindungi privasi data medis klien Anda. Terutama karena hal ini merupakan sesuatu yang diatur dalam HIPAA sehingga setiap organisasi layanan kesehatan harus mematuhinya.
Pentingnya Kepatuhan terhadap HIPAA
HIPAA sendiri dibuat pada tahun 1996 yang digunakan untuk menguraikan kewajiban hukum pada peraturan khusus di dalam undang-undang. Peraturan tersebut kemudian menjadi standar pada aspek penting dalam organisasi kesehatan untuk manajemen data mereka.
Hal ini juga mencakup privasi data pasien, langkah-langkah keamanan untuk melindungi data pasien, serta persyaratan yang harus dipenuhi oleh organisasi perawatan kesehatan ketika terjadi pelanggaran yang dilakukan oleh pihak-pihak yang berniat jahat.
Jadi, fokus utama dari peraturan ini adalah perlindungan privasi data pasien. Kepatuhan terhadap HIPAA telah menjabarkan banyak bagian penting ke dalam standar yang komprehensif seperti standar enkripsi yang harus digunakan untuk melindungi data pasien, standar keamanan fisik, serta prosedur standar ketika menyimpan, mengirimkan, dan mendokumentasikan data pasien.
Siapa yang Harus Mengikuti Peraturan HIPAA?
Ada beberapa organisasi yang perlu mematuhi HIPAA dan memastikan bahwa data kesehatan pasien yang sensitif diamankan dan tidak diungkapkan kepada entitas atau individu yang tidak berwenang.
Peraturan HIPAA juga memastikan bahwa data medis pasien hanya digunakan untuk tujuan yang dimaksudkan dan tidak digunakan untuk tujuan lain. Berikut ini adalah jenis-jenis bisnis yang harus mematuhi HIPAA:
- Perusahaan yang bergerak di bidang asuransi kesehatan
- Bisnis lembaga kliring kesehatan
- Bisnis penyedia layanan kesehatan seperti rumah sakit, dokter gigi, dokter, dll.
- Rekan bisnis perusahaan untuk entitas yang tercakup misalnya perusahaan yang disewa untuk menyimpan dokumen, perusahaan yang disewa untuk melakukan penagihan, dan lain-lain.
- Otoritas Kesehatan Masyarakat
- Universitas dan Sekolah
- Apotek
- Perusahaan yang menyediakan fasilitas untuk perawatan jangka panjang
- Lembaga Penelitian
- Pengusaha
Baca Lebih Lanjut Apa itu GDPR: Panduan Komprehensif Untuk Perlindungan Data
Mengapa Perusahaan Perlu Mematuhi HIPAA?
Penting bagi perusahaan untuk mematuhi HIPAA untuk memastikan bahwa informasi perawatan kesehatan pasien bersifat rahasia dan aman. HIPAA sebenarnya adalah undang-undang federal sehingga organisasi terkait, misalnya perusahaan layanan kesehatan, harus menjaga keamanan dan privasi data pasien seperti yang disyaratkan dalam peraturan tersebut.
Penting bagi perusahaan untuk mematuhi HIPAA karena hal ini dapat membantu melindungi berbagai data sensitif, misalnya informasi asuransi pasien, rekam medis, dan banyak informasi lain yang dapat diidentifikasi yang terkait dengan pasien.
Jika perusahaan Anda tidak mematuhi peraturan tersebut, maka Anda dapat menghadapi konsekuensi serius. US HHS OCR akan mengeluarkan berbagai sanksi kepada perusahaan Anda yang dapat mencakup hukuman, denda, hukuman uang perdata, perencanaan tindakan korektif, dan banyak lagi. Selain itu, dalam beberapa kasus, perusahaan Anda dapat dikenai tuntutan pidana.
Hukuman yang dihadapi perusahaan Anda akan sangat tinggi mulai dari ratusan dolar hingga jutaan dolar per pelanggaran yang dilakukan. Ini berarti denda dapat menumpuk menjadi jumlah yang sangat besar yang dapat merusak keuangan dan reputasi perusahaan Anda.
Alasan mengapa hukuman besar ini dilakukan adalah karena ketika data sensitif pasien dicuri maka akan melanggar privasi data medis mereka. Data yang dicuri kemudian dapat digunakan untuk penipuan keuangan atau pencurian identitas yang dapat menyebabkan penggunaan manfaat yang tidak sah atau kerugian finansial. Selain itu, data medis pasien dapat digunakan untuk menargetkan pasien itu sendiri untuk pelecehan atau memeras mereka.
Untuk Siapa Kepatuhan HIPAA Berlaku?
Kepatuhan terhadap HIPAA berlaku untuk semua individu atau organisasi yang menyimpan, menerima, mengirimkan, atau membuat ePHI. Ini juga mencakup berbagai penyedia layanan kesehatan seperti rumah sakit, perusahaan asuransi, dokter, pabrik kesehatan, dan banyak perusahaan lain yang bekerja di industri kesehatan.
Selain itu, peraturan ini juga berlaku untuk rekanan perusahaan seperti penyedia IT, transkripsi, perusahaan penagihan, dan banyak rekanan terkait lainnya. Secara keseluruhan, setiap entitas yang menyimpan, menerima, mengirimkan, atau membuat ePHI mengikuti peraturan kepatuhan HIPAA.
Namun, tidak semua perusahaan yang bekerja dalam hubungan dekat dengan industri perawatan kesehatan diharuskan untuk mematuhi HIPAA jika mereka tidak menyimpan, menerima, mengirim, atau membuat ePHI seperti restoran dan peritel di fasilitas kesehatan.
Namun, beberapa organisasi yang tidak terlibat langsung di dalam industri ini juga dapat tunduk pada peraturan HIPAA. Sebagai contoh, penyedia penyimpanan awan yang digunakan untuk menyimpan informasi perawatan kesehatan harus mematuhi HIPAA.
Aturan Utama Kepatuhan HIPAA yang Harus Dipatuhi Semua Perusahaan
Aturan Privasi
Peraturan ini digunakan untuk menetapkan standar nasional tentang privasi dan hak-hak data medis pasien. Hal ini juga membantu menetapkan kerangka kerja yang mendefinisikan ePHI, metode yang digunakan untuk melindunginya, cara yang tidak dapat dan dapat digunakan, metode yang dapat digunakan untuk menyimpan dan mengirimkannya. Ada juga aturan privasi data medis tambahan untuk dokumen serta pengabaian yang diperlukan untuk pihak yang menangani ePHI.
Menurut aturan ini, definisi ePHI pada data medis yang dapat diidentifikasi dari pasien harus dilindungi oleh semua entitas terkait dan semua rekanan bisnis. Info kesehatan yang dilindungi juga termasuk:
- Dokumentasi masa depan, saat ini, dan masa lalu dari kondisi mental dan fisik pasien.
- Catatan perawatan pasien.
- Catat referensi pembayaran perawatan kesehatan di masa depan, sekarang atau masa lalu.
Di dalam peraturan tersebut juga mengatur satu skenario spesifik ketika perusahaan diizinkan untuk mengungkapkan data medis pasien yang melibatkan situasi penelitian, hukum, atau perawatan yang sangat spesifik.
Aturan Keamanan
Setelah aturan sebelumnya mendefinisikan ePHI dan privasi, maka aturan selanjutnya ini digunakan untuk melindungi privasi data medis. Aturan ini digunakan untuk menetapkan standar nasional mengenai metode dan mekanisme yang diperlukan dalam melindungi data ePHI.
Mekanisme itu sendiri akan diperluas ke seluruh operasi perusahaan medis yang mencakup administrasi, teknologi, serta perlindungan fisik perangkat dan komputer atau apa pun yang dapat berdampak pada keamanan ePHI.
Aturan ini diuraikan lebih lanjut ke dalam 3 kelompok perlindungan seperti:
- Kelompok upaya perlindungan administratif
Grup ini mengatur kebijakan dan prosedur yang akan berdampak pada ePHI termasuk desain sistem, teknologi, pemeliharaan, dan manajemen risiko yang terkait dengan metode keamanan lainnya. Selain itu juga mencakup berbagai aspek administrasi yang dilakukan oleh industri kesehatan seperti pelatihan karyawan dan sumber daya manusia. - Kelompok perlindungan fisik
Kelompok ini mengatur keamanan fisik dan akses peralatan fisik yang meliputi penyimpanan data, switch, router, dan komputer. Perusahaan medis diharuskan untuk mengamankan tempat dan hanya mengizinkan individu yang berwenang untuk mengakses data yang disimpan. Selain itu, perusahaan medis juga harus memastikan bahwa pembuangan perangkat dan media yang terkait dengan ePHI dilakukan dengan metode yang aman. - Kelompok upaya perlindungan teknis
Kelompok ini mengatur aspek teknologi keamanan siber seperti keamanan perangkat, keamanan jaringan, enkripsi, komputer perangkat bergerak, dan hal lain yang terkait dengan teknologi yang digunakan dalam berkomunikasi dan menyimpan PHI.
Perusahaan diharuskan untuk menerapkan kontrol integritas, kontrol audit, kontrol verifikasi, serta langkah-langkah lain yang dapat digunakan untuk melindungi ePHI.
Aturan Pemberitahuan Pelanggaran
Aturan ini mengatur apa yang harus dilakukan ketika terjadi pelanggaran keamanan. Hal ini diperlukan karena tidak mungkin untuk selalu melindungi data dengan efektivitas 100%. Oleh karena itu, perusahaan perlu menyiapkan rencana yang dapat digunakan untuk mengirimkan pemberitahuan kepada korban pelanggaran dan publik untuk memberi tahu mereka tentang hal-hal yang terjadi serta langkah perusahaan selanjutnya.
Aturan Omnibus
Peraturan ini digunakan untuk memperluas jangkauan peraturan HIPAA ke organisasi yang lebih luas di luar industri medis. Melalui peraturan ini, kewajiban untuk mematuhi HIPAA sekarang tidak hanya diwajibkan oleh perusahaan industri medis tetapi juga kontraktor dan rekanan bisnis.
Hal ini berarti perusahaan industri medis juga bertanggung jawab atas setiap pelanggaran yang berpotensi dilakukan oleh kontraktor dan rekanan bisnis mereka sehingga mereka perlu melakukan pembaruan terhadap penilaian risiko, prosedur kepatuhan, dan analisis kesenjangan yang sesuai.
Cara Memenuhi Persyaratan Kepatuhan HIPAA
Ada beberapa hal yang dapat dilakukan perusahaan Anda untuk mematuhi HIPAA dan mengikuti semua persyaratannya, seperti:
- Membuat rencana kepatuhan privasi dan keamanan HIPAA untuk melindungi privasi data medis pasien.
- Membuat prosedur dan kebijakan yang akan digunakan untuk melindungi dan menangani PHI dengan cara yang aman.
- Menerapkan perlindungan teknis, administratif dan fisik yang diperlukan untuk melindungi PHI.
- Berikan pelatihan kepada karyawan tentang protokol HIPAA dan praktik terbaik yang perlu mereka lakukan untuk menjalankan protokol tersebut sebagai standar.
- Buatlah karyawan untuk menghela napas pengakuan HIPAA serta mengonfirmasi bahwa mereka benar-benar memahami kewajiban dan tanggung jawab mereka.
- Memastikan bahwa semua kontraktor bisnis, rekanan, dan vendor telah menandatangani BAA dan mereka juga mematuhi persyaratan HIPAA.
- Menerapkan prosedur untuk mengaudit, meninjau, dan memperbarui kepatuhan terhadap HIPAA secara berkala.
- Mendokumentasikan dan mencatat semua tindakan privasi dan keamanan PHI.
- Membuat rencana respons untuk insiden yang akan digunakan saat terjadi kehilangan atau pelanggaran data.
- Memantau keamanan PHI secara teratur untuk memastikan bahwa PHI tetap mematuhi persyaratan HIPAA.
Kesimpulan
Privasi data medis adalah hal yang sangat penting bagi semua individu sehingga merupakan kewajiban perusahaan layanan kesehatan untuk melindungi dan mengamankannya dengan mematuhi HIPAA. Itulah sebabnya, penting bagi perusahaan Anda untuk mengikuti peraturan kepatuhan HIPAA dengan cermat untuk memastikan bahwa data aman.
Tags: Privasi data medis, kepatuhan HIPAA, privasi data pasien, peraturan HIPAA, persyaratan HIPAA