Ein kurzer Leitfaden zur Offenlegung von PHI

---

Wenn Sie im Gesundheitswesen tätig sind, sind Sie mit dem Schutz der Patientendaten gemäß HIPAA vertraut.

Aber seien wir ehrlich – die Umsetzung dieser Konzepte in die Praxis kann überwältigend sein, insbesondere wenn bei der Identifizierung geschützter Gesundheitsinformationen (PHI) und dem Verständnis der betroffenen Einrichtungen neue Herausforderungen auftreten.

Es ist eine Herausforderung, mit den sich ständig ändernden Vorschriften und Technologien Schritt zu halten. Aber keine Sorge! In diesem Beitrag dienen wir Ihnen als Leitfaden und helfen Ihnen, den gesamten Lebenszyklus von PHI (geschützten Gesundheitsdaten) zu verstehen – von der Erstellung bis zur endgültigen Löschung.

Also, lasst uns eintauchen…

Was versteht man unter PHI-Offenlegung?

Die Offenlegung geschützter Gesundheitsdaten (PHI) bezeichnet die Übermittlung dieser Daten an eine Person oder Organisation außerhalb der betroffenen Einrichtung. Sie kann auch die Weitergabe von PHI von einem Bereich des Gesundheitswesens an einen anderen Bereich innerhalb einer hybriden Einrichtung umfassen.

PHI ist die Abkürzung für Protected Health Information (geschützte Gesundheitsinformationen) und bezeichnet personenbezogene Gesundheitsdaten, die gemäß der HIPAA-Datenschutzregel bundesweit geschützt sind . Diese Regel stellt sicher, dass die betroffenen Einrichtungen PHI schützen und gewährt Patienten verschiedene Rechte in Bezug auf ihre Gesundheitsdaten.

Die Offenlegung von PHI (geschützten Gesundheitsdaten) bezeichnet die Weitergabe oder Übermittlung dieser Informationen an eine Person oder Organisation außerhalb der betroffenen Einrichtung. Sie kann auch erfolgen, wenn PHI von einer Einrichtung des Gesundheitswesens an eine andere Einrichtung innerhalb einer hybriden Organisation übermittelt wird.

18 PHI-Identifikatoren

Darüber hinaus umfasst es auch Informationen zur Gesundheitsverwaltung und den damit verbundenen Zahlungen. Beispiele hierfür sind Testergebnisse, Patientendaten und Versicherungsdetails.

Zum besseren Verständnis sind hier die 18 PHI-Identifikatoren aufgeführt:

• Name
• Daten (außer Jahr)
• Telefonnummern
• Geografische Daten für Untergliederungen, die kleiner als ein Bundesstaat sind
• Straßenadressen, Stadt, Landkreis, Wahlbezirk und Postleitzahl
• Die ersten drei Ziffern einer Postleitzahl mit über 20,000 Einwohnern sind keine geschützten Gesundheitsdaten (PHI).
• Landkreise mit weniger als 20,000 Einwohnern werden die ersten drei Ziffern in 000 geändert.
• Faxnummern 
• SSN
• E-mailadressen
• Nummern der Krankenakte
• Kontonummern
• Zahlen der Begünstigten des Krankenversicherungsplans
• Zertifikats-/Lizenznummern
• Fahrzeugidentifikatoren wie z. B. Kfz-Kennzeichen
• Web-URLs
• Gerätekennungen und Seriennummern
• IP-Adressen
• Fotos des gesamten Gesichts
• Biometrische Identifikatoren (z. B. Fingerabdrücke oder Netzhaut)
• Jede eindeutige Kennung oder jeder Code

Warum ist die Offenlegung von PHI für betroffene Einrichtungen und Organisationen von entscheidender Bedeutung?

Die Offenlegung von Patientendaten ist für betroffene Einrichtungen und Organisationen von entscheidender Bedeutung, da sie dem Schutz der Patientendaten dient. Stellen Sie sich vor: Wenn Sie einen Arzt aufsuchen, vertrauen Sie ihm Ihre persönlichen Daten, Ihre Krankengeschichte und Ihre Testergebnisse an. Sie erwarten, dass diese Informationen vertraulich behandelt werden, und betroffene Einrichtungen und Organisationen sind verpflichtet, dieses Vertrauen zu wahren.

Stellen Sie sich vor, Unbefugte erhalten Zugriff auf Ihre Patientenakte. Ihre sensiblen Daten könnten in die Hände von Neugierigen gelangen, Ihre Privatsphäre gefährden und möglicherweise zu Identitätsdiebstahl oder anderen schädlichen Folgen führen. Es ist daher unerlässlich, die Sicherheit von Patientendaten zu gewährleisten – nicht nur eine rechtliche Verpflichtung, sondern eine grundlegende Pflicht zum Schutz des Wohlergehens und des Vertrauens der Patienten.

Vergessen wir auch nicht den finanziellen Aspekt. Die beteiligten Einrichtungen und Organisationen wickeln die Rechnungsstellung, Versicherungsansprüche und Zahlungen im Zusammenhang mit Gesundheitsdienstleistungen ab. 

Diese Finanztransaktionen beinhalten sensible Informationen wie Versicherungs- und Zahlungsdaten. Ohne angemessene Sicherheitsvorkehrungen könnten unbefugter Zugriff oder Manipulationen zu betrügerischen Aktivitäten, finanziellen Verlusten und rechtlichen Konsequenzen führen.

Sehen Sie sich auch dieses Video zu einigen häufigen HIPAA-Verstößen an:

Was ist im Rahmen der Offenlegung von PHI zulässig?

Hier einige Beispiele, in denen die Datenschutzbestimmungen die Offenlegung geschützter Gesundheitsdaten (PHI) ohne die Zustimmung oder Einwilligung der betroffenen Person erlauben:

Wenn gesetzlich vorgeschrieben

Verantwortliche Stellen dürfen geschützte Gesundheitsdaten ohne individuelle Einwilligung verwenden und weitergeben, wenn dies gesetzlich vorgeschrieben ist. Dies umfasst Situationen, in denen entsprechende Gesetze, Verordnungen oder Gerichtsbeschlüsse vorliegen.

Wenn dies für Aktivitäten im Bereich der öffentlichen Gesundheit erforderlich ist

Verantwortliche Einrichtungen können geschützte Gesundheitsdaten an autorisierte Gesundheitsbehörden weitergeben, die diese Daten im Rahmen von Maßnahmen zur Krankheitsprävention, Verletzungsbekämpfung oder Behindertenbetreuung erheben oder erhalten. Darüber hinaus können Daten an staatliche Stellen weitergegeben werden, die für die Entgegennahme von Meldungen über Kindesmisshandlung und -vernachlässigung zuständig sind.

Wenn es um Mitarbeiter und arbeitsbedingte Gesundheit geht

Arbeitgeber können von den betroffenen Einrichtungen geschützte Gesundheitsdaten (PHI) ihrer Beschäftigten anfordern, wenn diese eine arbeitsbedingte Krankheit oder Verletzung oder die arbeitsmedizinische Vorsorge betreffen. Dies ist erforderlich, damit Arbeitgeber Vorschriften wie die der Arbeitsschutzbehörde (OSHA), der Bergwerksbehörde (MHSA) oder ähnliche Landesgesetze einhalten können.

Bei der Meldung von Missbrauch, Vernachlässigung oder häuslicher Gewalt

In bestimmten Fällen können die betroffenen Einrichtungen geschützte Gesundheitsdaten (PHI) an die zuständigen Regierungsbehörden weitergeben, wenn es um Missbrauch, Vernachlässigung oder häusliche Gewalt geht.

Für Aktivitäten im Bereich der Gesundheitsaufsicht

Verantwortliche Einrichtungen können geschützte Gesundheitsdaten (PHI) an Aufsichtsbehörden im Gesundheitswesen für rechtlich zulässige Tätigkeiten zur Überwachung des Gesundheitssystems und staatlicher Sozialprogramme weitergeben. Dies umfasst Prüfungen und Untersuchungen.

Für gerichtliche und verwaltungsrechtliche Verfahren

In Gerichts- oder Verwaltungsverfahren dürfen betroffene Stellen geschützte Gesundheitsdaten offenlegen, wenn eine gerichtliche Anordnung, ein Antrag einer Verwaltungsbehörde, eine Vorladung oder ein anderes rechtmäßiges Verfahren vorliegt. Es können jedoch bestimmte Zusicherungen erforderlich sein, wie beispielsweise die Benachrichtigung der betroffenen Person oder eine Schutzanordnung.

Zum Zwecke der Strafverfolgung

Verantwortliche Stellen können geschützte Gesundheitsdaten (PHI) unter folgenden Umständen zu bestimmten Zwecken der Strafverfolgung an Strafverfolgungsbehörden weitergeben:

• Wie gesetzlich vorgeschrieben, einschließlich gerichtlicher Anordnungen, gerichtlich angeordneter Haftbefehle, Vorladungen und behördlicher Anfragen.
• Identifizieren oder lokalisieren Sie einen Verdächtigen, Flüchtigen, wichtigen Zeugen oder eine vermisste Person.
• Beantwortung einer Anfrage eines Strafverfolgungsbeamten nach Informationen über ein Verbrechensopfer oder ein mutmaßliches Opfer.
• Die Strafverfolgungsbehörden über den Tod zu informieren, wenn der Verdacht besteht, dass eine Straftat die Todesursache war.
• Wenn eine Einrichtung, die unter den Schutz des Unternehmens fällt, der Ansicht ist, dass PHI (geschützte Gesundheitsdaten) Beweismaterial für eine Straftat darstellt, die sich auf ihrem Gelände ereignet hat.
• Von einem versicherten Gesundheitsdienstleister in einem medizinischen Notfall außerhalb seiner Räumlichkeiten, um die Strafverfolgungsbehörden über das Verbrechen, seine Art, den Ort, die Opfer und den Täter zu informieren.

In Fällen, die verstorbene Personen betreffen

Verantwortliche Stellen dürfen Bestattungsunternehmen gegebenenfalls geschützte Gesundheitsdaten (PHI) offenlegen. PHI darf auch an Gerichtsmediziner oder Leichenbeschauer weitergegeben werden, um eine verstorbene Person zu identifizieren, die Todesursache festzustellen und andere gesetzlich zulässige Aufgaben zu erfüllen.

Bei einer postmortalen Organ-, Augen- oder Gewebespende

Betroffene Einrichtungen dürfen geschützte Gesundheitsdaten verwenden oder offenlegen, um die Spende und Transplantation von Leichenorganen, Augen und Gewebe zu erleichtern.

Für die Forschung

Forschung bezeichnet systematische Untersuchungen mit dem Ziel, verallgemeinerbares Wissen zu entwickeln oder dazu beizutragen. Die Datenschutzbestimmungen erlauben es den betroffenen Einrichtungen, geschützte Gesundheitsdaten (PHI) unter bestimmten Bedingungen ohne Einwilligung der betroffenen Person für Forschungszwecke zu verwenden und offenzulegen:

• Die betroffene Einrichtung muss die Genehmigung des Ethikkomitees oder des Datenschutzbeauftragten einholen, um die Einwilligung von Einzelpersonen zu ändern oder aufheben zu können.
• Alternativ kann der Forscher erklären, dass die Verwendung oder Offenlegung von PHI ausschließlich der Erstellung eines Forschungsprotokolls oder ähnlichen vorbereitenden Zwecken dient, ohne dass PHI von der betroffenen Einrichtung entfernt wird, und dass der angeforderte Zugriff auf PHI für die Forschung notwendig ist.
• Angenommen, die Forschung betrifft die Gesundheitsdaten verstorbener Personen. In diesem Fall kann der Forscher versichern, dass die Nutzung oder Weitergabe ausschließlich Forschungszwecken dient, die angeforderten Gesundheitsdaten für die Forschung notwendig sind und auf Anfrage der betroffenen Stelle die Dokumentation des Todes der betreffenden Person vorlegen.

Wenn es sich um eine ernsthafte Bedrohung für die Gesundheit oder die Sicherheit handelt

Verantwortliche Stellen dürfen geschützte Gesundheitsdaten offenlegen, wenn sie dies für notwendig halten, um eine ernsthafte und unmittelbare Bedrohung für die Gesundheit oder Sicherheit einer Person oder der Öffentlichkeit abzuwenden oder zu verringern. 

Die Weitergabe von Informationen ist auch gegenüber Personen zulässig, die zur Abwehr oder Minderung der Bedrohung beitragen können, selbst wenn die bedrohte Person selbst in der Weitergabe genannt wird. In Fällen, in denen die Informationen zur Identifizierung oder Festnahme eines Flüchtigen oder Gewalttäters benötigt werden, ist die Weitergabe an die Strafverfolgungsbehörden ebenfalls zulässig.

Für wesentliche Regierungsfunktionen

Für einige staatliche Aufgaben ist keine Genehmigung zur Nutzung oder Weitergabe von Gesundheitsdaten erforderlich. Zu diesen Aufgaben gehören:

• Sicherstellung der ordnungsgemäßen Durchführung militärischer Missionen.
• Durchführung von nachrichtendienstlichen und nationalen Sicherheitsaktivitäten im Rahmen der gesetzlichen Bestimmungen.
• Bereitstellung von Schutzdiensten für den Präsidenten.
• Feststellung der medizinischen Eignung von Mitarbeitern des US-Außenministeriums.
• Gewährleistung der Gesundheit und Sicherheit von Gefangenen oder Mitarbeitern in Justizvollzugsanstalten.
• Feststellung der Anspruchsberechtigung für bestimmte staatliche Sozialprogramme und Erleichterung der Anmeldung.

Für Zwecke der Arbeiterunfallversicherung

Verantwortliche Stellen können geschützte Gesundheitsdaten (PHI) gemäß den Gesetzen zur Arbeiterunfallversicherung und ähnlichen Programmen offenlegen. Dies ermöglicht die notwendige Offenlegung von PHI zur Erfüllung der Anforderungen dieser Programme, die Leistungen bei arbeitsbedingten Verletzungen oder Erkrankungen vorsehen.

Welche Anforderungen gelten für die Offenlegung von PHI (geschützten Gesundheitsdaten)?

Gemäß der HIPAA-Datenschutzregel muss eine betroffene Stelle nur in zwei spezifischen Situationen geschützte Gesundheitsdaten (PHI) offenlegen. Schauen wir uns das genauer an:

Einzelanfragen

Eine Einrichtung, die dem Datenschutz unterliegt, muss geschützte Gesundheitsdaten (PHI) an Einzelpersonen (oder deren Vertreter) weitergeben, wenn diese ausdrücklich Zugriff auf ihre PHI verlangen oder eine Aufstellung der Weitergaben ihrer Daten wünschen. Es geht darum, Einzelpersonen die Kontrolle über ihre Gesundheitsdaten zu ermöglichen und ihnen zu verdeutlichen, wie diese verarbeitet werden.

Beteiligung des US-Gesundheitsministeriums (HHS)

Die zweite Situation, in der PHI offengelegt werden muss, ist, wenn das US-Gesundheitsministerium (Department of Health and Human Services, HHS) eine Untersuchung, Überprüfung oder Durchsetzungsmaßnahme durchführt. Dies trägt dazu bei, dass eine angemessene Aufsicht und Durchsetzung zum Schutz der Vertraulichkeit von Gesundheitsdaten gewährleistet ist.

Worin besteht der Unterschied zwischen der Nutzung und der Weitergabe von PHI (geschützten Gesundheitsdaten).

Der entscheidende Unterschied besteht darin, dass die „Nutzung“ innerhalb der HIPAA-konformen Bereiche einer Organisation erfolgt, während die „Offenlegung“ die Weitergabe von Informationen an Organisationen oder Einzelpersonen außerhalb dieser konformen Bereiche beinhaltet. 

Um es genauer zu erklären:

Verwendung von PHI

Offenlegung von PHI

Unter „Nutzung“ versteht man die Art und Weise, wie PHI innerhalb der verschiedenen, unter HIPAA fallenden Bereiche einer Einrichtung geteilt oder verwendet wird. Es ist vergleichbar mit der Weitergabe von Informationen innerhalb einer Familie. Im Mittelpunkt steht, wie die Einrichtung selbst die PHI intern für ihre gesundheitsbezogenen Aktivitäten nutzt.

„Offenlegung“ bedeutet, dass geschützte Gesundheitsdaten (PHI) über den Geltungsbereich der Organisation hinausgehen und an Personen oder Stellen außerhalb dieses Bereichs weitergegeben werden. Das ist vergleichbar mit dem Teilen von Familiengeheimnissen mit Außenstehenden. Wichtig ist hierbei, dass die Informationen an Organisationen oder Einzelpersonen weitergegeben werden, die nicht zu den HIPAA-konformen Bereichen der Organisation gehören.

Was ist für die Offenlegung von PHI nicht erforderlich?

Lassen Sie uns die Regeln für die Nutzung und Weitergabe von Patientendaten verständlich und ohne Fachjargon erklären. Denken Sie daran: Organisationen müssen strenge Richtlinien zum Schutz der Patientendaten einhalten. Hier die wichtigsten Punkte:

Verkauf von Patientendaten

Der Verkauf von Patientendaten ist grundsätzlich unzulässig, es sei denn, er erfüllt eine bestimmte Voraussetzung (§164.508(a)(4)). Verkauf bedeutet die Offenlegung geschützter Gesundheitsdaten (PHI), wenn die verantwortliche Stelle oder der Geschäftspartner direkt oder indirekt eine Vergütung vom Empfänger erhält.

Aber Moment mal; es gibt Ausnahmen von dieser Regel. Der Verkauf von PHI (geschützten Gesundheitsdaten) beinhaltet keine Offenlegung in den folgenden Situationen:

Der Verkauf von PHI (geschützten Gesundheitsinformationen) beinhaltet keine Offenlegung in den folgenden Situationen

• Zwecke des öffentlichen Gesundheitswesens
• Forschungszwecke (gegen angemessene Vergütung, die die Kosten für die Aufbereitung und Übermittlung der Gesundheitsdaten deckt)
• Behandlungs- und Zahlungszwecke
• Verkauf, Übertragung, Fusion oder Zusammenschluss eines betroffenen Unternehmens (oder eines Teils davon)
• Geschäftspartner, die im Auftrag einer betroffenen Organisation Dienstleistungen erbringen
• Offenlegung gegenüber Einzelpersonen
• Gesetzlich vorgeschriebene Offenlegungen

Genetische Informationen und Risikoprüfung

Die Verwendung oder Weitergabe genetischer Informationen zu Versicherungszwecken (im Zusammenhang mit Krankenversicherungen) ist grundsätzlich nicht zulässig. Es gibt jedoch Ausnahmen, in denen diese Informationen zur Bestimmung folgender Punkte verwendet werden dürfen:

• Änderungen bei Leistungen, Versicherungsschutz oder Selbstbehalten (z. B. die Durchführung einer Gesundheitsrisikobewertung zur Anpassung der Selbstbehalte)
• Prämien- oder Beitragsbeträge (z. B. Rabatte für die Teilnahme an einem Wellnessprogramm)
• Anwendung von Ausschlussklauseln für Vorerkrankungen
• Andere Aktivitäten beziehen sich auf die Schaffung, Erneuerung oder den Ersatz von Krankenversicherungen oder -leistungen.

Diese Regeln schützen die Privatsphäre der Patienten und gewährleisten, dass Patientendaten nicht missbraucht oder ohne entsprechende Genehmigung weitergegeben werden. Es geht darum, die Vertraulichkeit zu wahren und die Richtlinien zum Schutz der Rechte und des Wohlergehens der Patienten einzuhalten.

Sind Sie bereit, Ihre Gesundheitsdaten zu schützen?

Die Offenlegung von PHI (geschützten Gesundheitsdaten) umfasst im Allgemeinen die Übermittlung von PHI an Personen oder Organisationen außerhalb der betroffenen Einrichtung. Es ist unerlässlich, PHI mit größter Sorgfalt zu behandeln, um sensible Daten zu schützen und das Vertrauen in Ihre Organisation zu erhalten.

Die Einhaltung der HIPAA-Richtlinien bei gleichzeitigem Unternehmenswachstum kann sich wie ein Balanceakt anfühlen. Nicht einfach, oder? Keine Sorge! Sprinto hilft Ihnen dabei.

Wir haben die perfekte Lösung, um Sie auf den richtigen Weg zu bringen. Mit unserem automatisierten HIPAA- System übernehmen wir alle Compliance-Aufgaben, die Sie belasten können. Unser System erledigt alles von Risikobewertungen bis hin zur Überprüfung Ihres Compliance-Status. Es ist, als hätten Sie einen persönlichen Assistenten, der sich ausschließlich darum kümmert, dass Ihr Unternehmen HIPAA-konform bleibt.

Unser System ist intelligent. Es erkennt potenzielle Probleme, die Ihre Compliance-Ziele gefährden könnten, und sorgt dafür, dass Sie stets auf dem neuesten Stand sind. Darüber hinaus bieten wir Schulungslösungen an, damit Sie und Ihr Team sich schnell einarbeiten und dieselben Fehler in Zukunft vermeiden können.

Schreiben Sie uns, um mehr zu erfahren!

Häufig gestellte Fragen