Vì sao HIPAA là điều không thể thương lượng trong lập hóa đơn y tế
Lập hóa đơn y tế xử lý Thông tin Sức khỏe Được Bảo vệ (PHI) ở mọi giai đoạn của chu trình doanh thu: thông tin nhân khẩu học, mã chẩn đoán và thủ thuật, thông tin bảo hiểm và hồ sơ thanh toán. Điều này khiến lập hóa đơn trở thành lĩnh vực có rủi ro cao về vi phạm HIPAA. Văn phòng Dân quyền (OCR) đã áp dụng các khoản phạt hàng triệu đô la cho các vi phạm HIPAA liên quan đến lập hóa đơn, và ngay cả các phòng khám nhỏ cũng từng bị phạt vì những sai sót mà chương trình tuân thủ phù hợp lẽ ra có thể ngăn ngừa.
Điều gì cấu thành PHI trong lập hóa đơn y tế?
Trong lập hóa đơn, PHI là mọi thông tin sức khỏe có thể nhận dạng cá nhân: họ tên, địa chỉ, ngày sinh, số điện thoại, số An sinh Xã hội, số hồ sơ bệnh án, mã số bảo hiểm, mã chẩn đoán và thủ thuật, ngày điều trị, và bất cứ thông tin nào khác có thể hợp lý để nhận dạng một cá nhân và liên quan đến sức khỏe, chăm sóc hoặc thanh toán của họ. Tất cả đều phải được bảo vệ.
Quy tắc Bảo mật HIPAA: các biện pháp bảo vệ kỹ thuật cho ePHI
Quy tắc Bảo mật HIPAA đặt ra các yêu cầu cụ thể để bảo vệ PHI điện tử (ePHI), dạng mà hầu như mọi dữ liệu lập hóa đơn ngày nay đều có. Các biện pháp bảo vệ kỹ thuật bắt buộc gồm kiểm soát truy cập giới hạn ePHI cho người dùng được ủy quyền, kiểm soát nhật ký theo dõi ai truy cập gì và khi nào, kiểm soát tính toàn vẹn ngăn chặn thay đổi trái phép, mã hóa khi truyền và khi lưu trữ, và tự động đăng xuất sau thời gian không hoạt động. Mọi hệ thống lập hóa đơn, kết nối trung tâm thanh toán bù trừ và kênh truyền tải đều phải tuân thủ.
Thỏa thuận Đối tác Kinh doanh (BAA)
Khi một thực thể được bảo hiểm (phòng khám của quý vị) chia sẻ PHI với một tổ chức bên ngoài cho các chức năng lập hóa đơn, chẳng hạn công ty lập hóa đơn, trung tâm thanh toán bù trừ, dịch vụ mã hóa hoặc đơn vị thu hồi công nợ, tổ chức đó trở thành Đối tác Kinh doanh theo HIPAA và phải ký Thỏa thuận Đối tác Kinh doanh (BAA). BAA bắt buộc Đối tác Kinh doanh bảo vệ PHI theo cùng tiêu chuẩn như các thực thể được bảo hiểm và báo cáo kịp thời mọi vụ vi phạm. Chia sẻ PHI với bất kỳ nhà cung cấp nào mà không có BAA đã ký là vi phạm HIPAA trực tiếp, dù có xảy ra rò rỉ hay không.
Các vi phạm HIPAA phổ biến nhất trong lập hóa đơn
- Gửi claim qua email không bảo mật hoặc truyền tệp không mã hóa
- Dùng chung thông tin đăng nhập giữa các nhân viên lập hóa đơn
- Lưu PHI trên thiết bị cá nhân mà không có mã hóa hoặc khả năng xóa từ xa
- Không ký BAA với nhà cung cấp, trung tâm thanh toán bù trừ hoặc đơn vị thu hồi công nợ
- Trao đổi về hóa đơn bệnh nhân ở nơi người khác có thể nghe thấy
- Gửi EOB hoặc bảng kê qua thư đến địa chỉ sai
- Bỏ qua đào tạo HIPAA hằng năm cho nhân viên lập hóa đơn
Chọn đối tác lập hóa đơn tuân thủ HIPAA
Khi thuê ngoài, hãy xác minh rằng công ty lập hóa đơn duy trì sự tuân thủ HIPAA toàn diện, bao gồm BAA đã ký, truyền dữ liệu được mã hóa, chính sách bảo mật được ghi chép, đào tạo nhân viên hằng năm và quy trình thông báo vi phạm chính thức. Hãy hỏi về chứng nhận bảo mật và cách xử lý PHI khi truyền, khi lưu trữ và khi chấm dứt hợp đồng. Sai sót HIPAA của nhà cung cấp có thể ảnh hưởng đến phòng khám của quý vị nếu không có các biện pháp bảo vệ.
Ba quy tắc mà đội ngũ lập hóa đơn cần biết
Các đội ngũ lập hóa đơn chủ yếu hoạt động theo ba quy tắc HIPAA liên bang. Bài viết này là giáo dục chung, không phải tư vấn pháp lý. Nghĩa vụ phụ thuộc vào quy mô, tiểu bang và hợp đồng của quý vị, vì vậy hãy xác nhận chi tiết với luật sư chuyên về chăm sóc sức khỏe có trình độ.
| Quy tắc | Quy tắc này điều chỉnh gì | Ý nghĩa đối với lập hóa đơn |
|---|---|---|
| Quy tắc Quyền riêng tư | Ai được sử dụng hoặc tiết lộ PHI, và cho mục đích gì | Lập hóa đơn là việc sử dụng "thanh toán" được phép, nhưng việc tiết lộ phải được giới hạn, và bệnh nhân có các quyền như truy cập hồ sơ |
| Quy tắc Bảo mật | Các biện pháp bảo vệ hành chính, vật lý và kỹ thuật cho ePHI | Bao gồm hệ thống lập hóa đơn, kết nối trung tâm thanh toán bù trừ, máy tính xách tay, ổ đĩa dùng chung và công cụ đám mây |
| Quy tắc Thông báo Vi phạm | Phản ứng khi PHI không được bảo mật bị sử dụng hoặc tiết lộ trái phép | Yêu cầu đánh giá sự cố và, với các vi phạm phải báo cáo, thông báo cho các cá nhân bị ảnh hưởng, HHS và đôi khi là truyền thông |
Tiêu chuẩn tối thiểu cần thiết trong lập hóa đơn
Đối với hầu hết các trường hợp sử dụng và tiết lộ, HIPAA kỳ vọng quý vị giới hạn PHI ở mức tối thiểu cần thiết. Việc tiết lộ để điều trị giữa các nhà cung cấp là một ngoại lệ. Trong lập hóa đơn:
- Cấp quyền truy cập theo vai trò; nhân viên hạch toán thanh toán không cần ghi chú lâm sàng.
- Chỉ gửi cho bên chi trả những gì họ yêu cầu, không gửi toàn bộ hồ sơ.
- Che các thông tin nhận dạng không cần thiết trong các ví dụ đào tạo hoặc phân tích.
- Giới hạn bảng kê của bệnh nhân ở những gì giải thích khoản phí và số dư.
- Ghi nhận việc truy cập và xem xét lại khi vai trò thay đổi.
Thực hiện phân tích rủi ro bảo mật
Phân tích rủi ro có ghi chép, trên toàn doanh nghiệp là yêu cầu cốt lõi của Quy tắc Bảo mật và là phát hiện thường gặp trong các cuộc điều tra của OCR. Hãy lặp lại và cập nhật khi môi trường của quý vị thay đổi.
- Kiểm kê nơi ePHI tồn tạiLiệt kê mọi hệ thống, thiết bị, dịch vụ đám mây, kết nối trung tâm thanh toán bù trừ, bản sao lưu và quy trình làm việc tạo ra, lưu trữ hoặc gửi dữ liệu lập hóa đơn.
- Xác định mối đe dọa và điểm yếuCân nhắc thiết bị bị mất, lừa đảo qua mạng, mã độc tống tiền, email gửi nhầm, mật khẩu yếu, phần mềm chưa vá lỗi.
- Đánh giá khả năng xảy ra và mức độ tác độngXếp hạng từng rủi ro để xử lý những rủi ro cao nhất trước.
- Xem xét các biện pháp bảo vệ hiện cóKiểm tra mã hóa, xác thực đa yếu tố, nhật ký và sao lưu hiện có.
- Lập kế hoạch quản lý rủi roGiao người phụ trách và ngày hoàn thành để khắc phục các lỗ hổng, và ghi lại mọi rủi ro còn lại được chấp nhận.
- Ghi chép và lặp lạiLưu bản phân tích bằng văn bản và cập nhật sau các thay đổi lớn như hệ thống hoặc nhà cung cấp mới.
Kiểm soát truy cập và các biện pháp bảo vệ hằng ngày
- Mã người dùng riêng: đăng nhập dùng chung làm hỏng dấu vết kiểm toán.
- Xác thực mạnh: dùng xác thực đa yếu tố cho truy cập từ xa, email và hệ thống lập hóa đơn.
- Đặc quyền tối thiểu: chỉ cấp những gì một vai trò cần và thu hồi kịp thời khi chấm dứt hoặc đổi vai trò.
- Mã hóa: bảo vệ ePHI khi truyền và khi lưu trữ, bao gồm máy tính xách tay, điện thoại và phương tiện lưu trữ di động.
- Nhật ký kiểm toán: xem xét định kỳ nhật ký truy cập để phát hiện hoạt động bất thường.
- Truyền tải an toàn: dùng kênh trung tâm thanh toán bù trừ an toàn hoặc SFTP, không dùng email thông thường.
- Thói quen tại máy trạm: tự động đăng xuất, màn hình chống nhìn trộm, khóa hồ sơ giấy.
- Đào tạo: đào tạo nhân viên mới khi tiếp nhận, nhắc lại định kỳ và lưu hồ sơ tham dự.
Danh sách kiểm tra Thỏa thuận Đối tác Kinh doanh
Nên có BAA trước khi chia sẻ PHI với công ty lập hóa đơn, trung tâm thanh toán bù trừ, nhà cung cấp mã hóa, đơn vị thu hồi công nợ, nhà cung cấp CNTT hoặc dịch vụ đám mây lưu trữ PHI. Một BAA vững chắc nhìn chung bao gồm các nội dung sau; hãy nhờ luật sư xem xét câu chữ:
- Các mục đích sử dụng và tiết lộ PHI được phép, và cấm mọi mục đích sử dụng khác
- Các biện pháp bảo vệ bắt buộc, bao gồm tuân thủ Quy tắc Bảo mật
- Báo cáo kịp thời các sự cố và vi phạm trong khung thời gian xác định
- Chuyển tiếp các nghĩa vụ tương tự cho nhà thầu phụ tiếp xúc với PHI
- Hỗ trợ các yêu cầu truy cập và sửa đổi của bệnh nhân
- Trả lại hoặc hủy PHI khi chấm dứt hợp đồng, hoặc tiếp tục bảo vệ nếu không thể trả lại
- Quyền chấm dứt hợp đồng của quý vị khi có vi phạm nghiêm trọng
Nếu xảy ra vi phạm: các bước ứng phó
Quy tắc Thông báo Vi phạm mặc định rằng việc sử dụng hoặc tiết lộ trái phép PHI không được bảo mật là vi phạm, trừ khi đánh giá rủi ro có ghi chép cho thấy khả năng bị xâm phạm thấp.
- Ngăn chặnVô hiệu hóa tài khoản, thu hồi thư đã gửi hoặc lấy lại thiết bị.
- Bảo toàn bằng chứngGiữ lại nhật ký và hồ sơ. Chưa xóa dữ liệu hệ thống.
- Báo cáo nội bộThông báo cho các cán bộ phụ trách quyền riêng tư và bảo mật, và khi thích hợp là luật sư và công ty bảo hiểm an ninh mạng của quý vị.
- Đánh giá rủi roGhi lại bản chất của PHI, ai đã nhận, thông tin có thực sự bị xem hoặc bị thu thập hay không, và rủi ro đã được giảm ở mức nào.
- Thông báo theo yêu cầuKhi đó là vi phạm phải báo cáo, hãy thông báo cho các cá nhân bị ảnh hưởng không chậm trễ vô lý và không muộn hơn 60 ngày sau khi phát hiện. Báo cáo cho HHS (các vi phạm ảnh hưởng từ 500 người trở lên theo cùng thời hạn 60 ngày, các vi phạm nhỏ hơn trong vòng 60 ngày sau khi kết thúc năm dương lịch), và báo cáo cho truyền thông đối với các vi phạm lớn trong một tiểu bang. Các đối tác kinh doanh phải thông báo cho thực thể được bảo hiểm. Một số tiểu bang quy định thời hạn ngắn hơn.
- Khắc phục và ghi chépKhắc phục nguyên nhân gốc rễ, đào tạo lại nhân viên, cập nhật phân tích rủi ro.
Các sai lầm thường gặp và cách khắc phục
| Sai lầm | Cách khắc phục |
|---|---|
| Không có phân tích rủi ro có ghi chép, hoặc đã lỗi thời nhiều năm | Hoàn thành ngay một bản, sau đó cập nhật theo lịch và sau các thay đổi lớn |
| Nhà cung cấp có quyền truy cập PHI nhưng không có BAA | Kiểm kê các nhà cung cấp, rồi ký hoặc cập nhật BAA trước khi chuyển thêm PHI |
| Đăng nhập dùng chung vào hệ thống lập hóa đơn | Cấp mã người dùng riêng và bật ghi nhật ký kiểm toán |
| Claim hoặc bảng kê gửi qua email thông thường | Dùng truyền tải an toàn và cổng thông tin bệnh nhân hoặc tin nhắn mã hóa |
| Máy tính xách tay và điện thoại không mã hóa | Bắt buộc mã hóa và xóa từ xa, và hạn chế thiết bị cá nhân |
| Nhân viên đã nghỉ việc vẫn giữ quyền truy cập | Thêm việc xóa tài khoản vào danh sách kiểm tra khi nhân viên rời đi |
| Đào tạo một lần, không bao giờ được ghi chép | Lên lịch đào tạo nhắc lại và lưu hồ sơ ký danh |
Hãy trao đổi với luật sư. Tổng quan này mang tính chung. Luật tiểu bang, hợp đồng với bên chi trả và hồ sơ rủi ro của quý vị có thể bổ sung các yêu cầu ngoài HIPAA. Hãy nhờ luật sư chuyên về chăm sóc sức khỏe hoặc chuyên gia tuân thủ có trình độ xem xét các chính sách, BAA và kế hoạch xử lý sự cố của quý vị.
Những điểm chính cần nhớ
- Lập hóa đơn liên quan đến các quy tắc Quyền riêng tư, Bảo mật và Thông báo Vi phạm hằng ngày.
- Áp dụng nguyên tắc tối thiểu cần thiết và quyền truy cập theo vai trò cho mọi tác vụ.
- Phân tích rủi ro có ghi chép và cập nhật là nền tảng của việc tuân thủ Quy tắc Bảo mật.
- Ký BAA trước khi bất kỳ nhà cung cấp nào tiếp cận PHI.
- Lưu giữ kế hoạch ứng phó vi phạm bằng văn bản và nắm rõ thời hạn liên bang và tiểu bang.