¿Cómo evitan los hospitales que los médicos malintencionados accedan a datos médicos confidenciales?

¿Doctores maliciosos? ¿Y tu principal preocupación es que lean sobre los medicamentos para la presión arterial de tu tía? Hay muy poca información interesante disponible sobre ECR.

Aparte del aspecto obvio que a nadie le importa y el inicio de sesión único con la grabación de todos los accesos, hay algunas características que pueden desanimar a los médicos a acceder a la información (ya sea para beneficio del paciente o no). Una es la función de búsqueda, generalmente el nombre del paciente no es suficiente para buscarlas y necesita más formas de identificación. Exigir una combinación de DOB, dirección y número de ID específico del hospital requiere un esfuerzo extra y puede desalentar a aquellos con intención “maliciosa”. Se abre otra barrera posible que le exige que confirme el motivo del acceso y que tenga el consentimiento (implícito) del paciente para ello. Acceder a la información sin consentimiento ya es erróneo, pero afirmar falsamente que usted había dado su consentimiento al paciente que no es suyo está falsificando ‘documentos’.

La ubicación de las computadoras también es un posible elemento de disuasión. Sospecho que si la computadora tiene una ubicación muy pública y los que están a tu alrededor pueden ver lo que estás haciendo, puede que te desaliente en comparación con tener acceso desde una habitación separada donde nadie te va a interrumpir y, si lo hacen, tendrás tiempo para cerrar el página antes de que puedan verlo.

Todos los registros y auditorías solo muestran acceso, no dicen nada sobre la intención del médico.

Por reglamento, en los Estados Unidos y otros países desarrollados, un médico solo puede acceder a la información en los registros médicos electrónicos de pacientes que figuran como sus pacientes. Esto se aplica a través de listas de control de acceso (ACL) en el registro de cada paciente. Los ACL no permiten a nadie más que al médico registrado y, por supuesto, a la enfermera ver los registros del paciente.

Cada vez que un médico ve un registro, inicia sesión usando una contraseña única con un nombre de usuario asignado, que solo conoce el médico. Si el médico no está en la LCA del paciente, el sistema bloqueará automáticamente al médico para que no vea el registro de ese paciente.

Incluso cuando el personal autorizado ve el registro del paciente, solo puede ver los datos que son pertinentes para su función de trabajo, nada más. Si no son el médico de atención primaria, solo pueden ver subconjuntos de los registros. El sistema requiere el consentimiento del paciente para que los médicos, enfermeras u otras personas del personal del hospital no autorizados puedan ver los registros.

Los hospitales tienen fuertes incentivos para asegurarse de que estas salvaguardas se apliquen debido a severas multas del gobierno. Para ignorar intencionalmente la programación y configuración del sistema, el Departamento de Salud y Servicios Humanos de la Oficina de Derechos Civiles puede imponer una multa de $ 50,000 por liberación HIPPA, por persona, por visita no autorizada.

Para más información, ver:

  • Material de orientación de la regla de seguridad (HHS)
  • Violaciones y aplicación de HIPAA (AMA)

(Si necesita asesoramiento específico, contácteme en privado).

Desde la promulgación de HIPAA -la Ley de Responsabilidad y Portabilidad de Seguros Médicos- en 1996, los hospitales han sido muy cuidadosos al proteger la privacidad de los pacientes y mantener la seguridad de la información médica; el acceso a la información médica se basa estrictamente en la “necesidad de saber”; hay sistemas implementados para evitar el acceso no autorizado. Creo que los registros electrónicos son más seguros que los antiguos registros médicos en papel, pero todos sabemos que un hacker hábil y persistente puede violar incluso los sistemas de información más seguros. En mi propia experiencia, es poco probable que los médicos, enfermeras y otros profesionales de la salud husmeen en los registros médicos, incluso si pudieran obtener acceso no autorizado; es una cuestión de ética profesional y la mayoría están ocupados con sus propios pacientes. Es mucho más probable que las amenazas a la seguridad de la información médica confidencial provengan de otros lugares.