Pourquoi la HIPAA est incontournable en facturation médicale
La facturation médicale traite des informations de santé protégées (PHI) à chaque étape du cycle de revenus : données démographiques, codes de diagnostic et de procédure, informations d'assurance et dossiers de paiement. La facturation devient ainsi un domaine à haut risque pour les manquements à la HIPAA. L'Office for Civil Rights (OCR) a prononcé des sanctions de plusieurs millions de dollars pour des violations de la HIPAA liées à la facturation, et même de petits cabinets ont été sanctionnés pour des manquements qu'un programme de conformité adéquat aurait permis d'éviter.
Qu'est-ce qui constitue des PHI en facturation médicale ?
En facturation, les PHI sont toute information de santé individuellement identifiable : le nom du patient, son adresse, sa date de naissance, son numéro de téléphone, son numéro de sécurité sociale, son numéro de dossier médical, son identifiant d'assurance, les codes de diagnostic et de procédure, les dates de traitement et tout autre élément qui pourrait raisonnablement identifier une personne et qui se rapporte à sa santé, à ses soins ou à son paiement. Tout cela doit être protégé.
La règle de sécurité HIPAA : mesures de protection techniques pour les ePHI
La règle de sécurité HIPAA fixe des exigences précises pour protéger les PHI électroniques (ePHI), la forme que prennent aujourd'hui pratiquement toutes les données de facturation. Les mesures de protection techniques requises comprennent des contrôles d'accès qui limitent les ePHI aux utilisateurs autorisés, des contrôles d'audit qui suivent qui a accédé à quoi et quand, des contrôles d'intégrité qui empêchent toute altération non autorisée, le chiffrement en transit et au repos, et la déconnexion automatique après inactivité. Chaque système de facturation, chaque connexion avec une chambre de compensation et chaque canal de transmission doit être conforme.
Accords de partenariat commercial (BAA)
Lorsqu'une entité couverte (votre cabinet) partage des PHI avec une organisation externe pour des fonctions de facturation, comme une société de facturation, une chambre de compensation, un service de codification ou une agence de recouvrement, cette organisation devient un partenaire commercial au sens de la HIPAA et doit signer un accord de partenariat commercial (BAA). Un BAA oblige le partenaire commercial à protéger les PHI selon la même norme que les entités couvertes et à signaler rapidement toute violation. Partager des PHI avec un fournisseur sans BAA signé constitue une violation directe de la HIPAA, qu'il y ait eu violation de données ou non.
Violations de la HIPAA les plus courantes en facturation
- Envoyer des réclamations par courriel non sécurisé ou par transfert de fichiers non chiffré
- Partager les identifiants de connexion entre les membres du personnel de facturation
- Stocker des PHI sur des appareils personnels sans chiffrement ni effacement à distance
- Ne pas conclure de BAA avec les fournisseurs, les chambres de compensation ou les agences de recouvrement
- Discuter de la facturation d'un patient à portée d'oreille d'autres personnes
- Envoyer par la poste des EOB ou des relevés à de mauvaises adresses
- Omettre la formation annuelle HIPAA du personnel de facturation
Choisir un partenaire de facturation conforme à la HIPAA
En cas d'externalisation, vérifiez que la société de facturation maintient une conformité HIPAA complète, y compris des BAA signés, une transmission de données chiffrée, des politiques de sécurité documentées, une formation annuelle du personnel et une procédure formelle de notification des violations. Renseignez-vous sur les certifications de sécurité et sur le traitement des PHI en transit, au repos et à la fin du contrat. Le manquement d'un fournisseur à la HIPAA peut s'étendre à votre cabinet si les mesures de protection n'étaient pas en place.
Les trois règles que les équipes de facturation doivent connaître
Les équipes de facturation travaillent principalement selon trois règles fédérales de la HIPAA. Cet article est une information générale, et non un avis juridique. Les obligations dépendent de votre taille, de votre État et de vos contrats ; confirmez donc les détails auprès d'un conseiller juridique qualifié en santé.
| Règle | Ce qu'elle régit | Ce que cela signifie pour la facturation |
|---|---|---|
| Règle de confidentialité | Qui peut utiliser ou divulguer des PHI, et à quelles fins | La facturation est une utilisation autorisée au titre du « paiement », mais les divulgations doivent être limitées, et les patients disposent de droits tels que l'accès à leur dossier |
| Règle de sécurité | Mesures de protection administratives, physiques et techniques pour les ePHI | Couvre les systèmes de facturation, les connexions avec les chambres de compensation, les ordinateurs portables, les lecteurs partagés et les outils infonuagiques |
| Règle de notification des violations | Réponse lorsque des PHI non sécurisées sont utilisées ou divulguées de façon non autorisée | Exige une évaluation de l'incident et, pour les violations à déclarer, un avis aux personnes touchées, au HHS et parfois aux médias |
La norme du minimum nécessaire en facturation
Pour la plupart des utilisations et divulgations, la HIPAA attend de vous que vous limitiez les PHI au minimum nécessaire. Les divulgations à des fins de traitement entre prestataires font exception. En facturation :
- Donnez au personnel un accès selon son rôle ; un préposé à l'enregistrement des paiements n'a pas besoin des notes cliniques.
- N'envoyez aux payeurs que ce qu'ils demandent, et non le dossier complet.
- Masquez les identifiants inutiles dans les exemples de formation ou d'analyse.
- Limitez les relevés des patients à ce qui explique les frais et le solde.
- Documentez les accès et examinez-les lorsque les rôles changent.
Réaliser une analyse des risques de sécurité
Une analyse des risques documentée et couvrant toute l'organisation est une exigence essentielle de la règle de sécurité et un constat fréquent dans les enquêtes de l'OCR. Répétez-la et mettez-la à jour lorsque votre environnement change.
- Inventorier où se trouvent les ePHIListez chaque système, appareil, service infonuagique, connexion avec une chambre de compensation, sauvegarde et flux de travail qui crée, stocke ou envoie des données de facturation.
- Identifier les menaces et les vulnérabilitésTenez compte des appareils perdus, de l'hameçonnage, des rançongiciels, des courriels mal adressés, des mots de passe faibles et des logiciels non corrigés.
- Évaluer la probabilité et l'impactÉvaluez chaque risque afin de traiter en premier les plus élevés.
- Examiner les mesures de protection existantesVérifiez le chiffrement, l'authentification multifacteur, la journalisation et les sauvegardes existants.
- Créer un plan de gestion des risquesAttribuez des responsables et des dates pour corriger les lacunes, et consignez tout risque résiduel accepté.
- Documenter et répéterConservez l'analyse écrite et mettez-la à jour après des changements majeurs, comme un nouveau système ou un nouveau fournisseur.
Contrôles d'accès et mesures de protection quotidiennes
- Identifiants d'utilisateur uniques : les connexions partagées compromettent les pistes d'audit.
- Authentification forte : utilisez l'authentification multifacteur pour l'accès à distance, le courriel et les systèmes de facturation.
- Moindre privilège : n'accordez que ce dont un rôle a besoin et retirez les accès rapidement lors d'un départ ou d'un changement de rôle.
- Chiffrement : protégez les ePHI en transit et au repos, y compris sur les ordinateurs portables, les téléphones et les supports amovibles.
- Journaux d'audit : examinez périodiquement les journaux d'accès pour repérer toute activité inhabituelle.
- Transmission sécurisée : utilisez des canaux sécurisés avec la chambre de compensation ou SFTP, et non le courriel ordinaire.
- Habitudes au poste de travail : déconnexion automatique, filtres de confidentialité, dossiers papier sous clé.
- Formation : formez les nouveaux employés à l'intégration, actualisez régulièrement et conservez les registres de présence.
Liste de contrôle de l'accord de partenariat commercial (BAA)
Un BAA doit être en place avant que des PHI soient partagées avec une société de facturation, une chambre de compensation, un fournisseur de codification, une agence de recouvrement, un fournisseur informatique ou un service infonuagique qui les stocke. Un BAA solide couvre généralement les points suivants ; faites relire la formulation par un conseiller juridique :
- Les utilisations et divulgations autorisées des PHI, et l'interdiction de tout autre usage
- Les mesures de protection requises, y compris la conformité à la règle de sécurité
- Le signalement rapide des incidents et des violations dans un délai défini
- La transmission des mêmes obligations aux sous-traitants qui accèdent aux PHI
- Le soutien aux demandes d'accès et de modification des patients
- La restitution ou la destruction des PHI à la fin du contrat, ou le maintien des protections si la restitution n'est pas possible
- Votre droit de résilier en cas de manquement important
En cas de violation : étapes de réponse
La règle de notification des violations présume qu'une utilisation ou divulgation non autorisée de PHI non sécurisées constitue une violation, sauf si une évaluation documentée des risques démontre une faible probabilité de compromission.
- La contenirDésactivez le compte, rappelez le message ou récupérez l'appareil.
- Préserver les preuvesConservez les journaux et les dossiers. N'effacez pas encore les systèmes.
- Escalader en interneAvisez les responsables de la confidentialité et de la sécurité et, selon le cas, votre conseiller juridique et votre assureur cyber.
- Évaluer le risqueDocumentez la nature des PHI, qui les a reçues, si elles ont réellement été consultées ou acquises, et dans quelle mesure le risque est réduit.
- Notifier selon les exigencesS'il s'agit d'une violation à déclarer, avisez les personnes touchées sans délai déraisonnable et au plus tard 60 jours après la découverte. Déclarez-la au HHS (les violations touchant 500 personnes ou plus selon le même délai de 60 jours, les violations de moindre ampleur dans les 60 jours suivant la fin de l'année civile), et aux médias pour les violations importantes dans un seul État. Les partenaires commerciaux doivent aviser l'entité couverte. Certains États ajoutent des délais plus courts.
- Corriger et documenterCorrigez la cause profonde, reformez le personnel et mettez à jour l'analyse des risques.
Erreurs courantes et correctifs
| Erreur | Correction |
|---|---|
| Aucune analyse des risques documentée, ou une analyse vieille de plusieurs années | En réaliser une dès maintenant, puis la mettre à jour selon un calendrier et après tout changement majeur |
| Fournisseurs ayant accès aux PHI mais sans BAA | Inventorier les fournisseurs, puis signer ou mettre à jour les BAA avant que d'autres PHI ne soient transmises |
| Connexions partagées au système de facturation | Attribuer des identifiants uniques et activer la journalisation d'audit |
| Réclamations ou relevés envoyés par courriel ordinaire | Utiliser une transmission sécurisée et un portail patient ou une messagerie chiffrée |
| Ordinateurs portables et téléphones non chiffrés | Imposer le chiffrement et l'effacement à distance, et restreindre les appareils personnels |
| Les employés partis conservent leur accès | Ajouter la suppression des comptes à la liste de contrôle de départ |
| Formation donnée une seule fois, jamais documentée | Planifier des rappels et conserver les registres de présence |
Consultez un conseiller juridique. Ce survol est général. Les lois des États, les contrats avec les payeurs et votre profil de risque peuvent ajouter des exigences au-delà de la HIPAA. Faites examiner vos politiques, vos BAA et votre plan d'intervention en cas d'incident par un avocat spécialisé en santé ou un professionnel qualifié de la conformité.
Points clés à retenir
- La facturation touche chaque jour les règles de confidentialité, de sécurité et de notification des violations.
- Appliquez le minimum nécessaire et l'accès selon le rôle à chaque tâche.
- Une analyse des risques documentée et à jour est le fondement de la conformité à la règle de sécurité.
- Signez un BAA avant que tout fournisseur n'accède à des PHI.
- Conservez un plan écrit de réponse aux violations et connaissez les délais fédéraux et étatiques.