Der Health Insurance Portability and Accountability Act, allgemein bekannt als HIPAA-Vorschriften, ist ein Bundesgesetz, das sich auf den Schutz der Privatsphäre und den Schutz sensibler Patientengesundheitsinformationen konzentriert.
Verabschiedet im Jahr 1996, erließ das US-Gesundheitsministerium (Department of Health and Human Services, HHS) die HIPAA-Datenschutzregel, während die HIPAA-Sicherheitsregel einen Teil der durch die Datenschutzregel abgedeckten Informationen schützt.
Zweck von HIPAA?
Die HIPAA-Vorschriften verfolgen zwei Hauptziele: Erstens die Bereitstellung einer regulären Krankenversicherung für Personen, die von zyklischer Arbeitslosigkeit betroffen sind, was wiederum die Gesundheitskosten senkt, und zweitens die Bekämpfung von Missbrauch, Betrug und Verschwendung im Bereich der Krankenversicherung und Gesundheitsversorgung. Beide Ziele dienen dem übergeordneten Zweck, den Zugang zu Langzeitpflegeleistungen und Krankenversicherungen zu verbessern.
Beteiligte Akteure im Zusammenhang mit HIPAA-Vorschriften
- Anbieter von Gesundheitsdienstleistungen: Jeder Anbieter von Gesundheitsdienstleistungen, unabhängig von Spezialisierung oder Fachgebiet, der Kommunikationstechnologie nutzt, um Patientengesundheitsinformationen und andere Transaktionen wie Leistungsansprüche, Anfragen zur Leistungsberechtigung, Überweisungsautorisierungen usw. auszutauschen.
-
Gesundheitspläne: Organisationen oder Unternehmen, die Krankenversicherungen anbieten oder die Kosten für medizinische Versorgung für berechtigte Personen übernehmen. Die Gesundheitspläne umfassen allgemeine Gesundheitsversorgung, Zahnmedizin, Augenpflege usw. Dazu gehören sowohl öffentliche als auch private Einrichtungen wie Medicare, Medicaid usw.
-
Geschäftspartner: Einzelpersonen oder Unternehmen, die Patientengesundheitsinformationen verwenden oder offenlegen, um Dienstleistungen wie Leistungsabrechnung, Datenanalyse, Nutzungsüberprüfung und Abrechnung zu erbringen.
Diese Vorschriften wurden eingeführt, um die rechtliche Grundlage für geschützte Gesundheitsinformationen (Protected Health Information, PHI) zu schaffen. Das Gesundheitsministerium (HHS) ist die zuständige Behörde, die die Einhaltung der Vorschriften reguliert, während das Amt für Bürgerrechte (Office for Civil Rights, OCR) die Einhaltung durchsetzt und für die Untersuchung von HIPAA-Verstößen verantwortlich ist.
Was sind geschützte Gesundheitsinformationen?
Geschützte Gesundheitsinformationen können definiert werden als jegliche Information, die Ihre persönlich identifizierbaren Daten (Personally Identifiable Information, PII) und Ihre Gesundheitsinformationen enthält.
Es handelt sich um die Kombination von Identifikationsdaten einer Person, z. B. Name, Adresse, Kontaktdaten, sowie Gesundheitsinformationen wie medizinische Unterlagen oder Versicherungsinformationen.
Ebenso bezeichnet ePHI, das unter die HIPAA-Sicherheitsregel fällt, elektronische geschützte Gesundheitsinformationen (electronic protected health information) und gilt, wenn Gesundheitsinformationen elektronisch geteilt, gespeichert oder abgerufen werden.
Warum sind HIPAA-Vorschriften wichtig?
Obwohl HIPAA aus verschiedenen Gründen wichtig ist, besteht das Hauptziel darin, die Privatsphäre und Vertraulichkeit sensibler Informationen jeder einzelnen Person zu gewährleisten.
Es ermöglicht Patienten den Zugang zu ihren Gesundheitsdaten und stellt gleichzeitig deren Sicherheit und Schutz sicher. Durch diese Vorschriften soll betrügerische Aktivität reduziert und gleichzeitig die Datensysteme verbessert werden.
Für Organisationen und Gesundheitsdienstleister dient HIPAA als Rahmenwerk, das den Zugang zu Gesundheitsinformationen schützt, indem festgelegt wird, wer diese Informationen einsehen, teilen oder wer daran gehindert ist.
Organisationen, die mit PHI arbeiten, sowie Subunternehmer und andere Geschäftspartner müssen physische Sicherheitsmaßnahmen implementieren, um vollständig konform zu sein.
Diese Vorschriften zielen darauf ab, Einzelpersonen zu schützen und ihnen direkten Zugang zu ihren persönlichen medizinischen Unterlagen zu gewähren sowie verschiedene Regeln und Maßnahmen für jede Person oder Organisation hervorzuheben, die Gesundheitsinformationen erstellt, speichert, überträgt oder verwendet.
Organisationen und Gesundheitseinrichtungen sind durch diese Vorschriften rechenschaftspflichtig und müssen Gesundheitsinformationen vollständig in Übereinstimmung mit den HIPAA-Gesetzen verwalten.
Eine effiziente Bearbeitung von Gesundheitsansprüchen und die Reduzierung übermäßiger Bürokratie tragen zu verbesserten Geschäftsprozessen und Systemen bei, können Milliarden von Steuergeldern einsparen und verbessern den Service für Anbieter, Versicherer und die Allgemeinheit.
Zu ergreifende Maßnahmen gemäß HIPAA
Administrative Anforderungen: Regeln, die sicherstellen, dass die erfassten Patientendaten korrekt sind und autorisierten Parteien zugänglich gemacht werden, und die formelle Datenschutzverfahren in schriftlicher Form verlangen.
- Ernennung eines verantwortlichen Leiters zur Überwachung der Datensicherheit und HIPAA-Konformität.
- Liste der Mitarbeiter, die Zugriff auf Patientendaten haben.
- Schulung und Sensibilisierung der Mitarbeiter bezüglich der Datenschutzrichtlinien der jeweiligen Organisation.
- Abschluss formeller Verträge mit externen Parteien, die bei Zugriff auf geschützte Patientendaten die HIPAA-Sicherheitsregeln einhalten müssen.
- Pflege eines Backup-Datenarchivs und eines Notfallplans für den Fall von Naturkatastrophen oder menschlichen Einflüssen, die zu Informationsverlust führen könnten.
- Einrichtung eines technischen Support-Teams, das komplexe IT-Systemprobleme identifiziert und behebt.
Physische Sicherheitsanforderungen: Regeln, die Organisationen helfen, physischen Diebstahl und Verlust von Geräten mit Patientendaten zu verhindern.
- Aufstellung von Computern außerhalb des Zugriffs der Öffentlichkeit, mit begrenztem Zugang und sicheren Arbeitsplätzen.
- Zugangsbeschränkungen zu sicheren Bereichen und vertraulichen Dokumenten durch Anmeldepflicht für berechtigte Personen.
- Vorsicht bei der Aufrüstung oder Entsorgung von Hardware und Software, um Informationsverluste zu vermeiden.
Technische Sicherheitsanforderungen: Maßnahmen zum Schutz von Netzwerken und Geräten vor Datenverletzungen:
- Ernennung eines verantwortlichen Leiters zur Überwachung der Datensicherheit und HIPAA-Konformität.
- Liste der Mitarbeiter, die Zugriff auf Patientendaten haben.
- Schulung und Sensibilisierung der Mitarbeiter bezüglich der Datenschutzrichtlinien der jeweiligen Organisation.
- Abschluss formeller Verträge mit externen Parteien, die bei Zugriff auf geschützte Patientendaten die HIPAA-Sicherheitsregeln einhalten müssen.
- Pflege eines Backup-Datenarchivs und eines Notfallplans für den Fall von Naturkatastrophen oder menschlichen Einflüssen, die zu Informationsverlust führen könnten.
- Einrichtung eines technischen Support-Teams, das komplexe IT-Systemprobleme identifiziert und behebt.
Strafen gemäß HIPAA-Datenschutzregel
Gemäß der HIPAA-Datenschutzregel kann jede Verletzung von Gesundheitsdaten oder das Versäumnis, Patienten Zugang zu ihren PHI zu gewähren, zu einer Geldstrafe durch das OCR führen. Die Strafen variieren je nach Schwere des Verstoßes und fallen in vier Hauptkategorien:
-
Unbewusste Verletzung von HIPAA: 100 USD pro Verstoß, mit einem jährlichen Höchstbetrag von 25.000 USD für wiederholte Verstöße.
-
Verletzung mit begründetem Anlass: 1.000 USD pro Verstoß, mit einem jährlichen Höchstbetrag von 100.000 USD für wiederholte Verstöße.
-
Verletzung aufgrund vorsätzlicher Vernachlässigung, die innerhalb eines bestimmten Zeitraums behoben wird: 10.000 USD pro Verstoß, mit einem jährlichen Höchstbetrag von 250.000 USD für wiederholte Verstöße.
-
Vorsätzliche Vernachlässigung ohne Korrektur: bis zu 50.000 USD pro Verstoß, mit einem jährlichen Höchstbetrag von 1,5 Millionen USD für wiederholte Verstöße.
Obwohl es keine offizielle HIPAA-Konformitätszertifizierung gibt, bieten verschiedene Schulungsunternehmen und Weiterbildungsprogramme Zertifikate an, die belegen, dass eine Person die Regeln und Vorschriften des Gesetzes versteht.
Unternehmen können HIPAA-Schulungsprogramme wählen, bei denen das OCR als direkter Akteur durch Bildungsprogramme zur Einhaltung der Datenschutz- und Sicherheitsregeln anleitet.
Gesundheitsdienstleister und Organisationen haben die Freiheit, eigene Schulungsprogramme zu entwickeln, die sich auf die aktuellen HIPAA-Datenschutz- und Sicherheitsrichtlinien, Mobile Device Management (MDM)-Prozesse und andere anwendbare Richtlinien konzentrieren.