हेल्थकेयर प्रैक्टिस या वेलनेस बिज़नेस संवेदनशील डेटा इकट्ठा करता है: मेडिकल हिस्ट्री, बीमा नंबर, दवाइयां, डायग्नोसिस। इस सबका नियमन HIPAA के तहत होता है।
HIPAA-अनुपालन वाला पेशेंट इनटेक फ़ॉर्म क्या है?
HIPAA-अनुपालन वाला पेशेंट इनटेक फ़ॉर्म क़ानूनी रूप से नियंत्रित डेटा इकट्ठा करने का औज़ार है, जो एन्क्रिप्शन, सही वेंडर समझौतों और सीमित डेटा संग्रह के ज़रिए संरक्षित स्वास्थ्य जानकारी (PHI) की रक्षा करता है। यह सिर्फ़ वही जानकारी इकट्ठा करता है जो इलाज, पेमेंट या हेल्थकेयर संचालन के लिए ज़रूरी है, इससे ज़्यादा कुछ नहीं।
HIPAA (Health Insurance Portability and Accountability Act) संघीय क़ानून है जो तय करता है कि हेल्थकेयर प्रदाता मरीज़ के डेटा को कैसे संभालें। मरीज़ की स्वास्थ्य जानकारी इकट्ठा करने वाले किसी भी फ़ॉर्म को तीन ज़रूरतें पूरी करनी होती हैं: प्राइवेसी (डेटा तक किसकी पहुंच हो), सिक्योरिटी (डेटा को स्टोरेज में और ट्रांसमिशन के दौरान एन्क्रिप्ट करना), और मरीज़ के अधिकार (मरीज़ को अपना डेटा देखने और हटाने देना)।
HIPAA फ़ॉर्म सिर्फ़ जुर्माने से बचने के बारे में नहीं है। यह मरीज़ों को दिखाने के बारे में है कि उनकी मेडिकल जानकारी सुरक्षित है। हेल्थकेयर में भरोसा प्रतिस्पर्धी बढ़त है।
समस्या: नियम न मानने पर जुर्माने और मरीज़ के डेटा का उल्लंघन
अनुपालन ग़लत किया तो जुर्माने छोटे नहीं होते। उल्लंघन पर प्रति घटना $100 से $50,000 तक, और हर उल्लंघन श्रेणी के लिए सालाना अधिकतम $1.5 मिलियन। ग़लत व्यक्ति के सामने खुला एक भी बिना एन्क्रिप्ट किया मरीज़ डेटाबेस कम से कम $50,000 का जुर्माना है। 1,000 मरीज़ रिकॉर्ड का उल्लंघन $50,000 x 1,000 घटनाएं है।
जो हेल्थकेयर प्रैक्टिस अनुपालन में रहती हैं और मरीज़ का डेटा सुरक्षित रखती हैं, वे ख़ास HIPAA के लिए बने पेशेंट इनटेक फ़ॉर्म इस्तेमाल करती हैं। ये फ़ॉर्म एन्क्रिप्शन, सुरक्षित होस्टिंग, सही डेटा हैंडलिंग और क़ानूनी समझौते इस्तेमाल करते हैं जो नियमों के दुःस्वप्न को सामान्य प्रक्रिया बना देते हैं।
यह लेख बताता है कि HIPAA असल में क्या मांगता है, अनुपालन वाले फ़ॉर्म कैसे बनाएं, कौन से सवाल पूछें और कौन से नहीं, और अनुपालन उल्लंघन का आंकड़ा बनने से कैसे बचें।
पेशेंट इनटेक फ़ॉर्म के लिए HIPAA क्या मांगता है (और यह क्यों मायने रखता है)
HIPAA 1996 में बना संघीय क़ानून है जो स्वास्थ्य जानकारी की प्राइवेसी और सिक्योरिटी की रक्षा करता है। जब मरीज़ इनटेक फ़ॉर्म भरता है, तो वह संरक्षित स्वास्थ्य जानकारी (PHI) दे रहा होता है: उसका नाम, जन्म तारीख़, बीमा नंबर, मेडिकल हिस्ट्री, मौजूदा दवाइयां, डायग्नोसिस, लक्षण और दूसरा संवेदनशील डेटा।
इस डेटा की रक्षा तीन आयामों में होनी चाहिए: प्राइवेसी (इस तक किसकी पहुंच है), सिक्योरिटी (इसे कैसे सुरक्षित रखा जाता है) और मरीज़ के अधिकार (मरीज़ अपनी जानकारी के साथ क्या कर सकते हैं)।
प्राइवेसी की ज़रूरत: डेटा संग्रह को उतने तक सीमित रखें जितना चिकित्सकीय रूप से ज़रूरी है। आपका फ़ॉर्म सिर्फ़ वही जानकारी मांगे जो इलाज, पेमेंट या हेल्थकेयर संचालन के लिए असल में चाहिए। जो बीमा ब्योरा आप जांचते नहीं, वह न पूछें। अगर आप आपातकालीन संपर्क कभी इस्तेमाल नहीं करते, तो वह न पूछें। सोशल सिक्योरिटी नंबर तब तक न पूछें जब तक आप बीमा दावे नहीं भरते। हर अतिरिक्त डेटा पॉइंट अतिरिक्त देनदारी है।
सिक्योरिटी की ज़रूरत: डेटा को स्टोरेज में और ट्रांसमिशन के दौरान एन्क्रिप्ट करें। मरीज़ का डेटा सहेजे जाते समय एन्क्रिप्टेड होना चाहिए (स्टोरेज में एन्क्रिप्शन के लिए AES-256 मानक है) और भेजे जाते समय भी (ट्रांसमिशन में डेटा के लिए TLS 1.3 या उससे ऊपर)। इसका मतलब है कि फ़ॉर्म प्लेटफ़ॉर्म को HTTPS (https:// न कि http://) इस्तेमाल करना होगा, डेटाबेस एन्क्रिप्टेड होना चाहिए और बैकअप भी एन्क्रिप्टेड होने चाहिए।
मरीज़ के अधिकार की ज़रूरत: प्राइवेसी प्रैक्टिस का नोटिस दें और स्वीकृति लें। हर मरीज़ को प्राइवेसी प्रैक्टिस का नोटिस (NPP) मिलना चाहिए जो समझाए कि आप उसका डेटा कैसे इस्तेमाल करते और सुरक्षित रखते हैं। आपके फ़ॉर्म में स्वीकृति का चेकबॉक्स होना चाहिए: “मैंने प्राइवेसी प्रैक्टिस का नोटिस पढ़ लिया है और समझ लिया है।”
बिज़नेस एसोसिएट एग्रीमेंट (BAA) की ज़रूरत: अपने वेंडर के साथ अनुबंध। अगर आप थर्ड-पार्टी फ़ॉर्म बिल्डर या होस्टिंग सेवा इस्तेमाल करते हैं, तो वह “बिज़नेस एसोसिएट” है और उसे आपके साथ BAA पर हस्ताक्षर करने होंगे। BAA कहता है कि वे उन्हीं HIPAA मानकों के तहत PHI की रक्षा करने पर सहमत हैं। BAA के बिना, उनके उल्लंघन पर आप ज़िम्मेदार हैं। BAA के साथ, देनदारी साझा होती है।
इनमें से किसी का भी उल्लंघन करें और आप जोखिम में हैं। न्यूनतम जुर्माना प्रति घटना $100 है, पर औसत समझौता $50,000 है। कई रिकॉर्ड के डेटा उल्लंघन में सालाना जुर्माने आसानी से $1.5 मिलियन से ऊपर जा सकते हैं।
HIPAA-अनुपालन वाला पेशेंट इनटेक फ़ॉर्म कैसे डिज़ाइन करें
स्टेप 1: HIPAA-अनुपालन वाला फ़ॉर्म प्लेटफ़ॉर्म इस्तेमाल करें (आम फ़ॉर्म बिल्डर नहीं)।
इस्तेमाल न करें:
मुफ़्त आम-उद्देश्य वाले फ़ॉर्म बिल्डर (कोई एन्क्रिप्शन नहीं, कोई BAA नहीं, अनुपालन नहीं)
HIPAA प्लान के बिना सर्वे-शैली के फ़ॉर्म टूल (HIPAA के अनुपालन में नहीं)
आम फ़ॉर्म बिल्डर के मानक प्लान (अक्सर अनुपालन में नहीं, भले ही वही वेंडर HIPAA वर्ज़न बेचता हो)
BAA के बिना बुनियादी ऑनलाइन फ़ॉर्म सेवाएं (HIPAA के अनुपालन में नहीं)
बिना एन्क्रिप्शन के आपके बनाए कस्टम फ़ॉर्म (जब तक आप डेटा सहेजने से पहले उसे एन्क्रिप्ट न करें)
इस्तेमाल करें:
हेल्थकेयर-विशिष्ट इनटेक प्लेटफ़ॉर्म (पूरी तरह HIPAA अनुपालन)
हेल्थकेयर पर केंद्रित फ़ॉर्म टूल (HIPAA बिल्ट-इन)
HIPAA-विशिष्ट फ़ॉर्म बिल्डर
आम फ़ॉर्म बिल्डर के HIPAA वर्ज़न (BAA के साथ)
ऐसे HIPAA प्लान जिनमें AES-256 एन्क्रिप्शन और BAA शामिल हो
प्लेटफ़ॉर्म चुनने से पहले जांचें:
वे स्टोरेज में AES-256 एन्क्रिप्शन इस्तेमाल करते हैं
वे ट्रांसमिशन में डेटा के लिए TLS 1.3 इस्तेमाल करते हैं
वे बिना अतिरिक्त लागत के बिज़नेस एसोसिएट एग्रीमेंट देते हैं
उनके पास डेटा उल्लंघन से निपटने की योजना है
वे आपको मांग पर मरीज़ का डेटा हटाने देते हैं
वे PHI को थर्ड पार्टी को बेचते या साझा नहीं करते
स्टेप 2: सिर्फ़ ज़रूरी जानकारी इकट्ठा करें।
ज़रूरी फ़ील्ड:
पूरा नाम (ज़रूरी)
जन्म तारीख़ (रिकॉर्ड प्रबंधन के लिए ज़रूरी)
संपर्क की जानकारी: फ़ोन, ईमेल (ज़रूरी)
आपातकालीन संपर्क का नाम और रिश्ता (वैकल्पिक पर अनुशंसित)
मौजूदा दवाइयां (इलाज के लिए ज़रूरी)
ज्ञात एलर्जी (सुरक्षा के लिए ज़रूरी)
मेडिकल हिस्ट्री (संदर्भ के लिए ज़रूरी)
बीमा की जानकारी: बीमा कंपनी, पॉलिसी नंबर, ग्रुप नंबर (दावों के लिए ज़रूरी)
विज़िट का कारण या लक्षण (देखभाल के लिए ज़रूरी)
मौजूदा हेल्थकेयर प्रदाता (समन्वय के लिए अनुशंसित)
ये न पूछें:
सोशल सिक्योरिटी नंबर (जब तक आप बीमा दावे नहीं भरते; तब भी सिर्फ़ आख़िरी 4 अंक लें)
ड्राइविंग लाइसेंस नंबर (जब तक राज्य-विशिष्ट नियमों के लिए ज़रूरी न हो)
बीमा के अलावा वित्तीय जानकारी (बैंक खाता, आय)
देखभाल से जुड़ी ज़रूरत से ज़्यादा जनसांख्यिकीय जानकारी (नस्ल, जातीयता, यौन रुझान, सिर्फ़ तब जब चिकित्सकीय रूप से ज़रूरी हो और मरीज़ सहमत हो)
स्टेप 3: प्राइवेसी स्वीकृति का सेक्शन जोड़ें।
मरीज़ के सबमिट करने से पहले जोड़ें:
“मुझे प्राइवेसी प्रैक्टिस का नोटिस मिला है और मैं समझता/समझती हूं जो बताता है कि [प्रैक्टिस का नाम] मेरी स्वास्थ्य जानकारी को कैसे इस्तेमाल और सुरक्षित करता है।” [चेकबॉक्स: आगे बढ़ने के लिए ज़रूरी]
पूरे NPP का लिंक दें। चेकबॉक्स पुष्टि करता है कि उन्हें जानकारी दी गई थी।
स्टेप 4: ट्रांसमिशन और स्टोरेज को सुरक्षित करें।
आपकी तरफ़ से:
फ़ॉर्म HTTPS इस्तेमाल करता है (ब्राउज़र में पैडलॉक आइकन दिखता है)
फ़ॉर्म प्लेटफ़ॉर्म डेटा एन्क्रिप्टेड डेटाबेस में सहेजता है
फ़ॉर्म प्लेटफ़ॉर्म HIPAA-अनुपालन वाले बैकअप रखता है
मांग पर मरीज़ का डेटा हटाने की आपके पास प्रक्रिया है (30 दिन के भीतर)
आप मरीज़ का डेटा बिना एन्क्रिप्ट किए ईमेल से आगे नहीं भेजते
स्वास्थ्य जानकारी के बारे में बात करने के लिए आप पेशेंट पोर्टल इस्तेमाल करते हैं (ईमेल नहीं)
स्टेप 5: डेटा हैंडलिंग पॉलिसी बनाएं।
दर्ज करें कि आप मरीज़ का डेटा कैसे संभालते हैं:
रिकॉर्ड कितने समय रखते हैं (सुझाव: आख़िरी विज़िट के कम से कम 5 साल बाद तक, राज्य के क़ानून के अनुसार)
मरीज़ के रिकॉर्ड तक किसकी पहुंच है (सिर्फ़ वे स्टाफ़ जिन्हें अपनी भूमिका के लिए ज़रूरत है)
डेटा उल्लंघन पर आप क्या करते हैं (24 घंटे के भीतर तुरंत सूचना, क़ानूनी सलाह)
मरीज़ों के अपना डेटा देखने या हटाने के अनुरोधों को आप कैसे संभालते हैं (30 दिन के भीतर)
आप पहुंच का ऑडिट कैसे करते हैं ताकि कोई अनधिकृत देखना न हो
यह पॉलिसी क़ानूनी दस्तावेज़ नहीं है, पर ऑडिट होने पर यह दिखाती है कि आपने पूरी सावधानी बरती।
HIPAA फ़ॉर्म की आम ग़लतियां (और उनसे कैसे बचें)
ग़लती 1: अनुपालन में न आने वाला फ़ॉर्म प्लेटफ़ॉर्म इस्तेमाल करना। सबसे बड़ी अकेली ग़लती। मुफ़्त फ़ॉर्म बिल्डर, बुनियादी सर्वे टूल या बिना एन्क्रिप्शन के कस्टम फ़ॉर्म बहुत बड़ी देनदारी हैं। अगर किसी मरीज़ के रिकॉर्ड खुल जाते हैं, तो उल्लंघन के लिए आप ज़िम्मेदार हैं, भले ही आपको पता न था कि ऐसा हो सकता है। HIPAA-अनुपालन वाला प्लेटफ़ॉर्म इस्तेमाल करें, बस।
ग़लती 2: मरीज़ का डेटा ईमेल से भेजना। मरीज़ की जानकारी कभी ईमेल से न भेजें, मरीज़ों को भी नहीं। ईमेल डिफ़ॉल्ट रूप से एन्क्रिप्टेड नहीं होता। इसकी जगह पेशेंट पोर्टल या सुरक्षित मैसेजिंग इस्तेमाल करें। अगर ब्योरा ईमेल करना ही पड़े, तो संदेश एन्क्रिप्ट करें या सुरक्षित पोर्टल का लिंक भेजें।
ग़लती 3: बिज़नेस एसोसिएट एग्रीमेंट न होना। आप अपने फ़ॉर्म वेंडर का HIPAA प्लान इस्तेमाल करते हैं, पर आपने उनसे BAA पर हस्ताक्षर नहीं कराए। इसके बिना, उल्लंघन की ज़िम्मेदारी अकेले आपकी है। BAA के साथ, देनदारी साझा होती है और डेटा की रक्षा के लिए उन पर अनुबंध की बाध्यता होती है।
ग़लती 4: ऐसी जानकारी इकट्ठा करना जो आपको नहीं चाहिए। हर अतिरिक्त फ़ील्ड अतिरिक्त देनदारी है। अगर आप बीमा लाभ जांचते नहीं, तो बीमा ब्योरा न पूछें। अगर आप आपातकालीन संपर्कों से संपर्क नहीं करते, तो उन्हें न पूछें। उसी तक सीमित रहें जो आप असल में इस्तेमाल करते हैं।
ग़लती 5: प्राइवेसी प्रैक्टिस की मरीज़ की स्वीकृति न लेना। प्राइवेसी नोटिस ज़रूरी है, पर कई प्रैक्टिस उसे दीवार पर लगा देती हैं जहां कोई नहीं पढ़ता। इसकी जगह उसे चेकबॉक्स के साथ इनटेक फ़ॉर्म में रखें। इससे साबित होता है कि मरीज़ को जानकारी दी गई थी।
ग़लती 6: मरीज़ से फ़ॉर्म सबमिट कराना और डेटा आप हाथ से ट्रांसफ़र करना। सिस्टमों के बीच हाथ से ट्रांसफ़र में ग़लतियां होती हैं और जोखिम बढ़ता है। इंटीग्रेशन या सीधे कनेक्शन इस्तेमाल करें ताकि डेटा बिना हाथ से भरे फ़ॉर्म से आपके EHR (इलेक्ट्रॉनिक हेल्थ रिकॉर्ड) सिस्टम तक सुरक्षित रूप से जाए।
मेट्रिक और अनुपालन की निगरानी
फ़ॉर्म पूरा करने की दर। कितने प्रतिशत मरीज़ पूरा इनटेक फ़ॉर्म भरते हैं? (लक्ष्य: 90%+। अगर 80% से नीचे है, तो फ़ॉर्म बहुत लंबा या उलझाऊ है)। अगर पूरा करने की दर कम है, तो बेकार फ़ील्ड घटाएं।
डेटा की सटीकता दर। इकट्ठा किए गए डेटा का कितना प्रतिशत हाथ से सुधारे बिना सही और इस्तेमाल लायक़ है? (लक्ष्य: 95%+)। अगर 90% से नीचे है, तो वैलिडेशन जोड़ने पर विचार करें (जन्म तारीख़ का फ़ॉर्मेट, फ़ोन नंबर का फ़ॉर्मेट, बीमा नंबर की जांच)।
ऑडिट और एक्सेस लॉग। हर बार जब कोई मरीज़ के रिकॉर्ड तक पहुंचता है, उसे दर्ज करें (आपका EHR सिस्टम यह अपने आप करे)। हर महीने लॉग देखें कि सिर्फ़ अधिकृत स्टाफ़ ने डेटा देखा। कोई भी असामान्यता तुरंत रिपोर्ट करें।
डेटा उल्लंघन पर प्रतिक्रिया का समय। अगर उल्लंघन होता है, तो आप प्रभावित मरीज़ों और OCR (Office for Civil Rights) को कितनी जल्दी सूचित करते हैं? (लक्ष्य: 24 घंटे के भीतर)। उल्लंघन होने से पहले प्रतिक्रिया की योजना तैयार रखें।
मॉड्यूल का सार: हेल्थकेयर फ़ॉर्म को अलग क्या बनाता है
हेल्थकेयर फ़ॉर्म सिर्फ़ डेटा इकट्ठा करने के बारे में नहीं हैं। वे मरीज़ का भरोसा बनाए रखते हुए संवेदनशील जानकारी की रक्षा करने के बारे में हैं। फ़ॉर्म आपके अनुपालन सिस्टम का एक हिस्सा है, पर वह मायने रखता है। अनुपालन वाला प्लेटफ़ॉर्म इस्तेमाल करें, सिर्फ़ ज़रूरी डेटा इकट्ठा करें, सब कुछ एन्क्रिप्ट करें और अपनी प्रक्रिया दर्ज करें। इससे नियमों की बारूदी सुरंग आपकी इनटेक प्रक्रिया का सामान्य हिस्सा बन जाती है।
अक्सर पूछे जाने वाले सवाल
HIPAA का पालन न करने पर क्या जुर्माना है?
क्या मुझे ऐसे वेलनेस बिज़नेस के लिए HIPAA अनुपालन चाहिए जो हेल्थकेयर प्रदाता नहीं है?
बिज़नेस एसोसिएट एग्रीमेंट क्या है और क्या मुझे उसकी ज़रूरत है?
क्या मैं मुफ़्त फ़ॉर्म बिल्डर इस्तेमाल कर सकता हूं?
अगर डेटा उल्लंघन हो जाए तो मुझे क्या करना चाहिए?
[/wemasy-accordion]