blog

Oct 10, 2023

Como descartar adequadamente registros médicos em papel e PHI físicos sob HIPAA

Fonte: Getty Images 27 de dezembro de 2022 – O descarte inadequado de informações de saúde protegidas (PHI) pode resultar em violações da HIPAA, investigações do Escritório de Direitos Civis (OCR) e multas pesadas. Para

Fonte: Getty Images

27 de dezembro de 2022 - O descarte inadequado de informações de saúde protegidas (PHI) pode resultar em violações da HIPAA, investigações do Escritório de Direitos Civis (OCR) e multas pesadas.

Por exemplo, em agosto de 2022, a OCR resolveu um caso com um consultório de dermatologia com sede em Massachusetts depois de descobrir que recipientes de amostras vazios com rótulos que incluíam PHI foram jogados fora em uma lata de lixo não segura no estacionamento do consultório.

Os rótulos incluíam nomes de pacientes, datas de nascimento, datas de coleta de amostras e o nome do provedor que coletou a amostra. Além do mais, um segurança terceirizado encontrou mais tarde um recipiente de amostra com uma etiqueta contendo PHI no estacionamento.

“O descarte inadequado de informações de saúde protegidas cria um risco desnecessário à privacidade do paciente”, disse na época a diretora do OCR, Melanie Fontes Rainer.

“As entidades regulamentadas pela HIPAA devem tomar todas as medidas para garantir que sejam implementadas salvaguardas ao descartar informações de pacientes, para evitar que sejam acessíveis ao público.”

A prática pagou US$ 300.640 ao OCR e concordou em implementar um plano de ação corretiva.

Felizmente, o HHS mantém muitas orientações sobre as formas adequadas e impróprias de descartar registros físicos e PHI eletrônicos, conforme exigido pelas Regras de Privacidade e Segurança da HIPAA.

Abaixo, HealthITSecurity abordará várias considerações importantes para o descarte adequado de PHI físicas, como registros em papel. Um artigo futuro discutirá o processo de descarte de PHI eletrônicas.

A Regra de Privacidade da HIPAA “exige que as entidades cobertas apliquem salvaguardas administrativas, técnicas e físicas apropriadas para proteger a privacidade das informações de saúde protegidas (PHI), em qualquer forma”, afirma o HHS em suas Perguntas frequentes sobre o descarte de PHI.

“Isso significa que as entidades cobertas devem implementar salvaguardas razoáveis ​​para limitar usos e divulgações incidentais e proibidas de PHI, inclusive em conexão com o descarte de tais informações.”

A regra de segurança da HIPAA exige que as entidades cobertas implementem políticas e procedimentos para a remoção de PHI eletrônicas de mídia eletrônica antes que essa mídia possa ser reutilizada, além de políticas sobre como as PHI eletrônicas são armazenadas e excluídas.

A HIPAA também exige que as entidades cobertas treinem os membros da força de trabalho nas políticas de descarte de PHI da entidade.

A HIPAA é bastante flexível quando se trata de organizações que escolhem quais salvaguardas implementar para garantir que as informações sejam descartadas de maneira adequada. As entidades cobertas devem avaliar as suas circunstâncias individuais e tomar decisões sobre como descartar razoavelmente as PHI.

“Ao determinar o que é razoável, as entidades cobertas devem avaliar os riscos potenciais para a privacidade do paciente, bem como considerar questões como a forma, o tipo e a quantidade de PHI a serem eliminadas”, continua o HHS.

“Por exemplo, a eliminação de certos tipos de PHI, como nome, número de segurança social, número de carta de condução, número de cartão de débito ou crédito, diagnóstico, informações de tratamento ou outras informações sensíveis, pode justificar mais cuidado devido ao risco de que o acesso inadequado a essas informações podem resultar em roubo de identidade, emprego ou outra discriminação, ou danos à reputação de um indivíduo.”

Quando se trata de registros em papel, o HHS sugere “triturar, queimar, reduzir a polpa ou pulverizar os registros” para garantir que as PHI sejam ilegíveis e não possam ser reconstruídas.

Para frascos de prescrição com PHI, as entidades cobertas podem considerar colocar os frascos em sacos opacos e recorrer a um vendedor para recolher e eliminar os PHI.

Conforme exemplificado pelo acordo do OCR, as entidades cobertas não devem descartar PHI em uma lixeira não segura, a menos que tenha sido destruída a ponto de ficar ilegível. Se as PHI descartadas indevidamente acabarem sendo expostas, isso seria considerado uma violação de dados.

“Em geral, uma entidade coberta não pode descartar PHI em registros em papel, frascos de medicamentos rotulados, pulseiras de identificação hospitalar, PHI em mídia eletrônica ou outras formas de PHI em lixeiras, lixeiras, latas de lixo ou outros recipientes de lixo geralmente acessíveis por o público ou outras pessoas não autorizadas”, afirma o HHS.