Is het een HIPAA-overtreding om iemands COVID-19-vaccinatiestatus te vragen?

Nu volledig gevaccineerde mensen in de meeste omgevingen geen gezichtsmaskers meer hoeven te dragen of fysieke afstand hoeven te houden, vragen veel bedrijven klanten naar hun COVID-19-vaccinatiestatus voordat ze toegang krijgen of toestemming geven om maskerloos te zijn. Sommige mensen beweren echter dat de Health Insurance Portability and Accountability Act van 1996 (HIPAA) bedrijven verbiedt om dit te doen, wat volledig onjuist is.

Deze misvatting is gevaarlijk omdat het individuen zou kunnen misleiden die niet volledig begrijpen wat HIPAA eigenlijk inhoudt. Om te begrijpen waarom vragen naar iemands vaccinatiestatus geen privacyschending is, is het van cruciaal belang om te weten wat voor soort informatie onder HIPAA wordt beschermd, welke entiteiten zich aan de regels moeten houden en in welke omstandigheden deze bescherming van toepassing is.

Wat is HIPAA?

De HIPAA is een federale wet die tot doel heeft uw privacy te beschermen door te beperken hoe gevoelige informatie over uw gezondheid kan worden gebruikt of bekendgemaakt. Het geeft u ook het recht om uw medisch dossier in te zien en er een kopie van te krijgen.

“Als mensen verwijzen naar HIPAA, bedoelen ze meestal de privacyregel die is opgesteld door HHS op grond van toestemming van het Congres via de wet zelf”, James G. Hodge, Jr., JD, LLM, directeur van het Center for Public Health Law and Policy in Arizona State University, vertelt Verywell. “Hiervoor biedt de HIPAA-privacyregel uitgebreide privacynormen en -beschermingen voor identificeerbare gezondheidsinformatie die wordt bewaard door gedekte entiteiten.”

In tegenstelling tot wat vaak wordt gedacht, biedt HIPAA geen bescherming voor alle soorten informatie in elke situatie. Bovendien zijn niet alle personen en organisaties verplicht zich hieraan te houden.

Gedekte entiteiten

Alleen bepaalde personen en organisaties met toegang tot uw medische informatie zijn onderworpen aan de HIPAA-privacyregel, zoals:

• Zorgaanbieders, zoals eerstelijnszorgverleners, gespecialiseerde artsen of psychologen
• Gezondheidsplannen, zoals zorgverzekeraars of gezondheidsonderhoudsorganisaties (HMO’s)
• Clearinghouses voor de gezondheidszorg, waaronder openbare of particuliere entiteiten die niet-standaard gezondheidsinformatie verwerken
• Zakenpartners van gedekte entiteiten die hen helpen bij het uitvoeren van hun zorgactiviteiten en -functies, zoals medische transcriptionists of consultants

De verantwoordelijkheid om beschermde gezondheidsinformatie te beschermen ligt alleen bij die entiteiten, vertelt Michael S. Sinha, MD, JD, MPH, adjunct-faculteit aan de Northeastern University School of Law en gastwetenschapper aan het NUSL Center for Health Policy and Law, aan Verywell. Als een entiteit niet onder HIPAA valt, hoeven ze zich niet aan de privacynormen te houden.

Beschermde gezondheidsinformatie (PHI)

Gedekte entiteiten verzamelen en gebruiken routinematig gezondheidsinformatie om gezondheidszorg te verlenen. Dergelijke records zijn beschermd onder HIPAA, waaronder:

• Persoonlijke informatie, zoals uw naam, adres, burgerservicenummer, begunstigde van het gezondheidsplan, telefoonnummers of fotografische afbeeldingen
• Medische dossiers, klinische casusaantekeningen, testresultaten, diagnoses of voorschrift
• Verzekeringsinformatie
• Medische dossiersystemen bijgehouden door of voor een gezondheidsplan
• Facturatie- en betalingsgegevens

“HIPAA beschermt alleen bepaalde soorten informatie in bepaalde zorginstellingen, niet alle informatie in alle instellingen”, zegt Sinha. Vaccinatie-informatie en vaccinatiekaarten kunnen worden geclassificeerd als PHI, maar vragen naar iemands status resulteert niet automatisch in een HIPAA-overtreding.

Is het een HIPAA-overtreding om te vragen naar iemands vaccinatiestatus?

“Vraag om de [vaccination] status is op zich geen HIPAA-schending, aangezien er geen PHI is bekendgemaakt”, vertelt Jonathan Ishee, JD, MPH, MS, LLM, assistent-professor biomedische informatica aan de Universiteit van Texas, aan Verywell. Er zou alleen sprake zijn van een overtreding als een gedekte entiteit PHI zonder uw toestemming bekendmaakt aan een onbevoegde persoon.

Iedereen kan uw zorgverlener vragen naar uw vaccinatiestatus, maar het zou alleen een overtreding zijn als ze het zonder toestemming bekendmaken. Wanneer niet-gedekte entiteiten zoals familie of vrienden u rechtstreeks vragen naar uw status, is dat geen overtreding. U mag die informatie ook zelf vrijgeven.

“Amerikanen denken vaak dat de HIPAA-privacyregel de privacy van hun gezondheidsgegevens beschermt in veel situaties waarin deze niet van toepassing is”, zegt Hodge. “Als je je buurman vertelt over je vaccinatiestatus tegen COVID-19, is de regel niet van toepassing. Als je het aan je werkgever vertelt, is de Regel opnieuw niet direct van toepassing.”

Een ander punt om te onthouden is dat de HIPAA niet verhindert dat bedrijven, bedrijven, scholen of luchtvaartmaatschappijen vragen of u al dan niet bent gevaccineerd. Als ze je vaccinatiestatus vragen voordat ze je toestemming geven om een ​​faciliteit binnen te gaan, lessen bij te wonen of persoonlijk naar je werk te komen, of zelfs een vlucht te boeken, is dat geen overtreding. Het is nog steeds aan jou of je die informatie wilt delen.

“Werkgevers hebben het recht om werknemers te vragen naar de vaccinatiestatus of om een ​​vaccinatiebewijs te eisen als voorwaarde voor voortzetting van het dienstverband”, zegt Sinha. “Op dezelfde manier kunnen hogescholen en universiteiten een vaccinatiebewijs eisen voor docenten, personeel en studenten. Dat betekent dat een persoon zijn baan kan verliezen of zijn toelating tot de universiteit kan verliezen als hij weigert zijn vaccinatiestatus bekend te maken. HIPAA speelt geen rol in die uitwisseling van informatie.”

Onder welke omstandigheden zal er een HIPAA-overtreding zijn?

Er zou alleen sprake zijn van een HIPAA-schending als een gedekte entiteit de vaccinatiestatus van een persoon bekendmaakt aan een niet-gedekte entiteit zonder hun toestemming. Zo mag een zorgaanbieder de vaccinatiestatus van iemand niet zonder toestemming aan zijn werkgever bekendmaken.

“Als een arts de media vertelt over de COVID-vaccinatiestatus van haar beroemde patiënt, zonder schriftelijke toestemming van de patiënt, is er waarschijnlijk een overtreding opgetreden”, zegt Hodge. “Als een mediawebsite dezelfde informatie over een beroemdheid biedt, is er geen schending van de HIPAA-privacyregel ontstaan ​​omdat de mediawebsite geen ‘gedekte entiteit’ is onder de regel. De site heeft mogelijk andere privacynormen geschonden, of deze nu wettelijk, regelgevend of gerechtelijk zijn opgelegd, maar niet de privacyregel zelf.”

In sommige situaties die het algemeen belang ten goede komen, zoals gerechtelijke en administratieve procedures, essentiële overheidsfuncties of volksgezondheidsactiviteiten, kunnen gedekte entiteiten PHI gebruiken of openbaar maken aan een niet-gedekte entiteit zonder toestemming. Als ze iemands vaccinatiestatus delen met een onbevoegde persoon – een vriend, buurman of collega – buiten deze toegestane onthullingen, is dat waarschijnlijk een HIPAA-overtreding.

“Hoewel de HIPAA-privacyregel een solide basis biedt voor privacybescherming in instellingen voor gezondheidszorg, biedt het geen faalveilige privacybescherming buiten deze specifieke instellingen”, zegt Hodge.

Tijdens deze COVID-19-pandemie is het begrijpelijk dat u de behoefte voelt om uw privacy en gezondheidsinformatie te beschermen. Houd er echter rekening mee dat de HIPAA niemand verhindert om naar uw vaccinatiestatus te vragen, aangezien het de medische privacy of individuele rechten niet schendt. U kunt nog steeds weigeren uw vaccinatiestatus bekend te maken.

“HIPAA is niet iets dat een persoon kan gebruiken als schild als werkgevers of scholen vragen naar de vaccinatiestatus”, zegt Sinha. “Het is een handig – en vaak verkeerd gespeld – modewoord, maar het is in deze context niet relevant.”

De informatie in dit artikel is actueel op de vermelde datum, wat betekent dat er nieuwere informatie beschikbaar kan zijn wanneer u dit leest. Ga voor de meest recente updates over COVID-19 naar onze nieuwspagina over het coronavirus.