Die HIPAA-Datenschutzbestimmungen verstehen

Medizinische Daten sind äußerst sensibel. Früher herrschte Unklarheit darüber, wer Zugriff darauf hat und wie dieser Zugriff geregelt wird. Diese Unsicherheit war der ausschlaggebende Grund dafür, dass der Kongress dem Health Insurance Portability and Accountability Act (HIPAA) zustimmte, der unter anderem die HIPAA-Datenschutzregel enthält. 

Die HIPAA-Datenschutzbestimmungen geben Patienten das gesetzliche Recht, Kopien ihrer Gesundheitsdaten einzusehen, indem sie diese bei Gesundheitsdienstleistern oder Krankenkassen anfordern. 

In diesem Blogbeitrag geben wir einen Überblick über die Datenschutzbestimmungen des HIPAA und gehen der Frage nach, warum der Kongress diese Regeln für notwendig erachtete und was sie für den Schutz von Gesundheitsdaten bedeuten.

Lass uns tauchen ...

Geschichte der HIPAA-Datenschutzbestimmungen

HIPAA wurde 1996 mit dem übergeordneten Ziel eingeführt, den Zugang zur Gesundheitsversorgung im ganzen Land zu verbessern. Es wurde als dreigliedrige Lösung konzipiert, die die Portabilität von Daten, steuerliche Bestimmungen und vor allem die administrative Vereinfachung gewährleistet. 

Der HIPAA-Datenschutzstandard wurde maßgeblich durch die Arbeit des US-Gesundheitsministeriums (Department of Health and Human Services, HHS) eingeführt. Diese Regelung war sehr erwünscht, da sie ein effektives System schaffen kann, in dem die digitale Übermittlung von Gesundheitsdaten sicherer erfolgt und schwerwiegende Datenschutzprobleme vermieden werden. 

Man sollte bedenken, dass sich Regierung und Behörden vor 1999 selten an die Bundesvorschriften zum Schutz der Privatsphäre von Gesundheitsdaten hielten. Angesichts der zunehmenden Verstöße wuchs jedoch der Bedarf an einem entschiedenen Vorgehen, und schließlich griff das US-Gesundheitsministerium (HHS) ein und entwickelte eine Lösung: die HIPAA-Regel.

Nach Prüfung der Rückmeldungen der Öffentlichkeit zu einer Musterverordnung für den Datenschutz nach HIPAA wurde die Common Rule dahingehend geändert, dass strenge Vorschriften für die Offenlegung und Verwendung von PHI durch CEs (Covered Entities) enthalten sind. 

Diese Version der HIPAA-Datenschutzstandards verpflichtete die meisten Gesundheitsdienstleister zur Einhaltung bis zum 14. April 2003. Hinter diesen Bestimmungen steht die Erkenntnis des Kongresses, wie viele Daten aus persönlichen Gesundheitsakten zur Durchführung unzähliger medizinischer Forschungsarbeiten beitragen.

Was ist die HIPAA-Datenschutzregel?

Die HIPAA-Datenschutzregel legt nationale Standards für die betroffenen Einrichtungen fest, um die geschützten Gesundheitsdaten von Einzelpersonen zu sichern, indem sie den Patienten bestimmte Rechte in Bezug auf ihre medizinischen Unterlagen und persönlichen Daten einräumt.

Es regelt die Offenlegung und Nutzung von personenbezogenen Gesundheitsdaten (PHI) durch Organisationen. Es gibt Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten. Die Regelung ist in 45 CFR detailliert beschrieben. Teil 160  und Unterabschnitte A und E von Teil 164. 

„Die betroffenen Einrichtungen unterliegen allen HIPAA-Regeln; Geschäftspartner werden im Rahmen ihrer Dienstleistungen für die betroffenen Einrichtungen reguliert.“ Rajiv Ranjan, ISO-Leitauditor bei Sprinto

Für strengere Datenschutzregeln eintreten

Heute wiesen verschiedene Datenschützer darauf hin, dass die USA dringend strengere Schutzmaßnahmen als die HIPAA-Regelung benötigen. Diese Forderungen beziehen sich hauptsächlich auf das Gesundheitswesen und weniger auf die medizinische Forschung.  

Um neue Erkenntnisse zu diesem Thema zu gewinnen, wurde daher im Rahmen dieser Studie eine Harris-Umfrage durchgeführt.

Nach Auswertung der Studiendaten stellte das Komitee fest, dass die Bürger der Vertraulichkeit und Sicherheit ihrer Gesundheitsdaten sehr skeptisch gegenüberstanden. Es merkte jedoch an, dass die Datenschutzbestimmungen des HIPAA diese Bedenken zwar etwas gemildert, aber nicht beseitigt hätten. 

Ein weiterer wichtiger Punkt ist, dass die meisten Umfrageteilnehmer zwar Unbehagen darüber äußerten, dass ihre Gesundheitsdaten ohne vorherige Benachrichtigung und ausdrückliche Einwilligung für Forschungszwecke verwendet werden, die meisten Befragten jedoch bereit waren, ihre Daten unter bestimmten Sicherheitsvorkehrungen preiszugeben. Der Umfang der Studie ist verfügbar. 

Obwohl die HIPAA-Datenschutzbestimmungen bereits vor über 27 Jahren eingeführt wurden, gelten sie nach wie vor als eine ihrer größten Errungenschaften unter den vom US-Gesundheitsministerium (HHS) erlassenen Vorschriften.

Für wen gelten die HIPAA-Datenschutzbestimmungen?

Die HIPAA-Datenschutzbestimmungen gelten für alle Einrichtungen, die direkt oder indirekt mit elektronischen Gesundheitsdaten (ePHI) arbeiten. Betroffene Einrichtungen wie Krankenkassen, Gesundheitsdienstleister usw. erfassen, empfangen oder verarbeiten Gesundheitsdaten direkt und müssen die HIPAA-Bestimmungen einhalten. Geschäftspartner, die im Auftrag betroffener Einrichtungen bestimmte Funktionen im Zusammenhang mit Gesundheitsdaten ausführen, sind ebenfalls verpflichtet, diese Informationen zu schützen.

Es regelt die Offenlegung und Nutzung von personenbezogenen Gesundheitsdaten (PHI) durch Organisationen. Es gibt Einzelpersonen mehr Kontrolle über ihre personenbezogenen Daten. Die Regelung ist in 45 CFR detailliert beschrieben. Teil 160  und Unterabschnitte A und E von Teil 164. 

„Die betroffenen Einrichtungen unterliegen allen HIPAA-Regeln; Geschäftspartner werden im Rahmen ihrer Dienstleistungen für die betroffenen Einrichtungen reguliert.“ Rajiv Ranjan, ISO-Leitauditor bei Sprinto

Die Datenschutzregel gilt für:

1. Gesundheitspläne

Zu den Krankenversicherungen im Kontext von Datenschutzbestimmungen gehören Krankenversicherungen von Arbeitgebern, Kirchen und staatlichen Stellen. Auch Krankenversicherungen für mehrere Arbeitgeber fallen darunter.

2. Gesundheitsdienstleister

Und hier wird es interessant: Gesundheitsdienstleister unterliegen unabhängig von ihrer Größe den Datenschutzbestimmungen. Dies gilt für alle, die geschützte Gesundheitsdaten elektronisch übermitteln, darunter Überweisungen, Genehmigungen, Versicherungsansprüche, Transaktionen oder Informationen zur Anspruchsberechtigung auf Leistungen.

Falls Sie sich fragen, was einen Gesundheitsdienstleister ausmacht, hier einige Beispiele:

• Institutionelle Anbieter
• Ärzte
• Zahnärzte und andere medizinische Fachkräfte
• Medizinische oder Gesundheitsdienstleistungen
• Person oder Organisation, die Rechnungen ausstellt

3. Geschäftspartner

Geschäftspartner sind Auftragnehmer oder externe Mitarbeiter, die möglicherweise Zugriff auf geschützte Gesundheitsdaten (PHI) benötigen. Angenommen, Sie sind beispielsweise eine Organisation im Gesundheitswesen, die IT-Dienstleistungen auslagern muss. In diesem Fall müssen Sie sicherstellen, dass Sie über eine entsprechende Berechtigung verfügen.Geschäftspartnervereinbarung„Sprechen Sie mit Ihrem Lieferanten oder Auftragnehmer, bevor Sie ihm Zugriff auf diese sensiblen Daten gewähren.“ 

4. Hybride Entitäten

Eine Einrichtung, die sowohl HIPAA-regulierte als auch nicht-regulierte Tätigkeiten ausübt, wird als „Hybrideinrichtung“ bezeichnet. Die UNC ist beispielsweise eine Hybrideinrichtung. Nehmen wir zum Beispiel das Studentische Gesundheitszentrum und die Beratungsstelle; diese sind Teil des Gesundheitssystems der UNC.

Was schützt die HIPAA-Datenschutzregel?

Der HIPAA-Datenschutzstandard schützt alle Informationen über die Gesundheit einer Person, die eine betroffene Einrichtung oder deren Geschäftspartner besitzen, unabhängig davon, ob sie mündlich, elektronisch oder in Papierform vorliegen. Im Fachjargon der Datenschutzbehörden werden diese geschützten Daten unter dem Akronym PHI (Protected Health Information) zusammengefasst. Dazu gehören unter anderem:

• Informationen über den vergangenen, gegenwärtigen oder zukünftigen Zustand des Patienten
• Informationen zur Behandlung des körperlichen oder medizinischen Zustands des Patienten
• Informationen zur Bezahlung der Diagnose oder Behandlung des Patienten

Hier ist die Liste der geschützten Gesundheitsdaten (PHI), die unter die Datenschutzbestimmungen fallen:

• Name
• Adresse
• Sozialversicherungsnummer
• Bärennummer
• Familienstand
• Geburtsdatum,
• Datum der Krankenhausaufnahme
• Termin im Krankenhaus und Entlassungsdatum
• Telefon- und Faxnummern
• E-mailadressen
• Versicherungsnummer
• Versicherungskontonummer
• Führerschein
• Demografische Daten im Zusammenhang mit Versicherungsinformationen
• Informationen über die Familie
• Unterschriften auf Formularen in jedem Gesundheitszentrum
• Das körperliche und geistige Wohlbefinden einer Person, sei es in der Vergangenheit, Gegenwart oder Zukunft
• Alle Daten, die mit einer bestimmten Person in Verbindung gebracht werden können oder von denen man vernünftigerweise annehmen kann, dass sie die Identifizierung einer Person als Patient, Student oder Mitarbeiter ermöglichen, stellen personenbezogene Daten dar.
• Ob Vergangenheit, Gegenwart oder Zukunft – die Vergütung für medizinische Leistungen ist eine geschützte Gesundheitsinformation.

Minimale, notwendige PHI-Daten für die Weitergabe an Gesundheitsbehörden

Was stellt die minimal notwendige Menge an geschützten Gesundheitsdaten (PHI) dar, und wer legt diese fest?

In den meisten Fällen legt die betroffene Stelle den minimalen Umfang der zur Bearbeitung einer Anfrage weiterzugebenden Daten fest. In bestimmten Fällen erlaubt das Datenschutzgesetz den betroffenen Stellen jedoch, die Informationen nach eigenem Ermessen offenzulegen. 

Bei solchen Beurteilungen obliegt es CE, sicherzustellen, dass diese hinreichend angemessen sind. Beispielsweise gilt eine Anfrage als angemessen, wenn sie von einem Beamten oder einer Behörde gestellt wird. 

Diese Regelung ist in Abschnitt 164.512 des HIPAA-Gesetzes enthalten. Abschnitt 164.514(d) besagt, dass „eine betroffene Stelle sich, sofern dies unter den gegebenen Umständen angemessen ist, auf eine angeforderte Offenlegung als das für den angegebenen Zweck minimal notwendige Maß stützen kann, wenn: (A) Offenlegungen gegenüber Amtsträgern vorgenommen werden, die gemäß § 164.512 zulässig sind, sofern der Amtsträger versichert, dass die angeforderten Informationen das für den/die angegebenen Zweck(e) minimal notwendige Maß darstellen“.

Wie schützt die HIPAA-Datenschutzregel Informationen?

Die HIPAA-Datenschutzregel dient dem Schutz der Privatsphäre und Sicherheit der Gesundheitsdaten von Patienten, indem sie Mindeststandards durchsetzt, Organisationen zur Implementierung von Schutzmaßnahmen verpflichtet und die Zuwiderhandelnden zur Rechenschaft zieht.

1. Grenzen der zulässigen Nutzung und Offenlegung

Der HIPAA-Datenschutzstandard legt Beschränkungen für die Nutzung und Offenlegung von PHI Um diese Daten vor unbefugtem Zugriff zu schützen, dürfen betroffene Einrichtungen nur die minimal notwendigen Informationen für Zwecke wie Behandlung, Abrechnung oder sonstige erforderliche Abläufe im Gesundheitswesen verwenden, weitergeben oder anfordern. Die Weitergabe von Gesundheitsdaten ist nur mit Einwilligung des Patienten zulässig.

2. Patientenrechte

Die HIPAA-Datenschutzbestimmungen gewähren Patienten bestimmte Rechte, um mehr Kontrolle über ihre Daten zu gewährleisten und ihre Privatsphäre zu schützen. Zu diesen Rechten gehören das Auskunftsrecht, das Recht auf Berichtigung, das Recht auf Einschränkung der Datenverarbeitung, das Beschwerderecht usw.

3. Schutzmaßnahmen

Die Regelung verpflichtet die betroffenen Einrichtungen außerdem, technische, physische und administrative Sicherheitsvorkehrungen zu treffen, um die Vertraulichkeit, Integrität und Verfügbarkeit von PHI zu gewährleisten und sicherzustellen, dass nur autorisierte Benutzer Zugriff darauf haben.

Sprint Sprinto unterstützt Sie mühelos bei der Einhaltung dieser Sicherheitsvorkehrungen, indem es Ihnen hilft, ein umfassendes HIPAA-Programm mit Datenschutz- und Sicherheitsbewertungen, HIPAA-konformen Richtlinien, HIPAA-Schulungen, Vereinbarungen mit Geschäftspartnern und vielem mehr zu implementieren. Gewährleisten Sie mit Sprinto die kontinuierliche Überwachung und die fortlaufende Einhaltung der Vorschriften. Buchen Sie eine Demo.

4. Verantwortlichkeit

Die HIPAA-Datenschutzregel sieht vor, dass Organisationen bei Verstößen gegen die Informationssicherheit zur Rechenschaft gezogen werden und je nach Schwere des Verstoßes zivil- und strafrechtliche Sanktionen verhängt werden.

5. Für welche Dienstleistungen benötigen Dienstleister eine Einwilligung?

Zunächst einmal sind alle Gesundheitsdienstleister verpflichtet, Ihre Privatsphäre zu schützen! Daher müssen sie Ihre Einwilligung einholen, bevor sie Ihre Gesundheitsdaten verwenden oder weitergeben, um Behandlungen durchzuführen, Zahlungen abzuwickeln oder den Geschäftsbetrieb zu gewährleisten.

6. Offenlegung von PHI gegenüber Gesundheitsbehörden

Der Schutz der Privatsphäre der Patienten hat zwar höchste Priorität, es ist aber auch wichtig, den Gesundheitsbehörden den Zugang zu den notwendigen Informationen zu ermöglichen, damit diese ihre Aufgaben erfüllen können. 

Die Datenschutzbestimmungen tragen dieser Notwendigkeit Rechnung, indem sie die Weitergabe von PHI an diese Behörden erlauben, damit diese effektiv zum Gemeinwohl beitragen können. Es ist wichtig zu verstehen, wofür die HIPAA-Datenschutzbestimmungen stehen!

Verstöße gegen die HIPAA-Datenschutzbestimmungen und deren Strafen

Ein Verstoß gegen die HIPAA-Datenschutzbestimmungen hat sowohl finanzielle als auch reputationsbezogene Folgen in Form von Bußgeldern, Strafen, Klagen, genauer Überprüfung und einer Beeinträchtigung des öffentlichen Ansehens.

Folgendes passiert, wenn man gegen die Regeln verstößt:

1. Zivilrechtliche Sanktionen

Die zivilrechtlichen Strafen für Verstöße gegen HIPAA reichen von 137 US-Dollar bis zu 68928 US-Dollar pro Verstoß. Sie können sich auf bis zu 2067183 US-Dollar erhöhen, wenn vorsätzliche Fahrlässigkeit vorliegt, die nicht innerhalb von 30 Tagen nach dem Verstoß behoben wird. Kosten der HIPAA-ZertifizierungDiese Strafzahlungen rechtfertigen in der Regel die anfänglichen Investitionen in die Einhaltung der Vorschriften um ein Vielfaches für jede Einrichtung, die relevante Mengen an PHI verarbeitet.

2. Kriminelle Strafen

Die strafrechtlichen Sanktionen können Geldstrafen zwischen 50000 und 250000 US-Dollar sowie Freiheitsstrafen von einem bis zehn Jahren umfassen, abhängig von der Schwere des Verstoßes.

3. Regulatorische Kontrolle

Verstöße gegen die HIPAA-Regeln können auch behördliche Kontrollen seitens des US-Gesundheitsministeriums (Department of Health and Human Services, HHS) nach sich ziehen und zu Durchsetzungsmaßnahmen der Behörde wie Strafen und der Anordnung von Korrekturmaßnahmen führen. 

5. Negative öffentliche Wahrnehmung

Ein Verstoß gegen die HIPAA-Datenschutzbestimmungen kann aufgrund negativer Publicity Ihren Vertriebsprozess verlangsamen. Der Reputationsschaden kann zu einem Vertrauensverlust der Kunden in den Schutz ihrer persönlichen Daten führen und Ihre Geschäftstätigkeit beeinträchtigen.

Welche Rechte haben Patienten gemäß der HIPAA-Datenschutzregel?

Die HIPAA-Datenschutzregel besagt, dass Gesundheitsorganisationen (abgedeckte Einrichtungen) Einzelpersonen auf Anfrage Zugang zu PHI gewähren müssen. 

Dies umfasst die Einsichtnahme in oder die Beschaffung von Kopien der von Gesundheitseinrichtungen verwalteten PHI sowie die Übermittlung dieser PHI an einen von Ihnen benannten Dritten. 

Dieses Recht gilt für alle erstellten Informationen, unabhängig davon, ob sie elektronisch oder physisch vor Ort, extern oder in Archiven erzeugt oder gespeichert werden. Alle Daten fallen unter diese Rechte, unabhängig davon, wann sie erstellt wurden oder wo sie gespeichert sind (elektronisch, physisch vor Ort oder extern in Archiven).

Wie Sprinto Ihnen bei der Einhaltung der HIPAA-Regeln helfen kann

Die Einhaltung der HIPAA-Bestimmungen kann sehr aufwendig sein. Glücklicherweise Sprint Die Lösung ist die Compliance-Automatisierungsplattform. Sie optimiert Arbeitsabläufe für die HIPAA-Datenschutzbestimmungen und mehr.

Wir ebnen Ihnen den Weg zum Erfolg, indem wir Ihre HIPAA-bezogenen Aufgaben automatisieren – von der Risikobewertung bis zur Beurteilung Ihrer Compliance-Situation.

• HIPAA-Anforderungen zentral erfassen und verwalten
  Führen Sie qualitative Risikobewertungen durch und leiten Sie konkrete Maßnahmen zur Risikominderung ab, die Sie umsetzen können.
• Führen Sie vorgefertigte HIPAA-Richtlinien unternehmensweit ein und stellen Sie sicher, dass diese bestätigt werden.
• Veröffentlichen Sie HIPAA-Schulungsmodule und erfassen Sie die Abschlussquoten.
• Nutzen Sie detaillierte automatisierte Prüfungen und Warnmeldungen, um Abweichungen von der Compliance einzudämmen.
• Erhalten Sie automatisch erfasste Nachweise, um HIPAA-Prüfungen problemlos zu bestehen.

Unsere Kunden werden innerhalb weniger Wochen HIPAA-konform und gewährleisten die dauerhafte Einhaltung der Vorschriften. Erfahren Sie, wie Neurosynaptic sie in nur 5 Sitzungen HIPAA-konform gemacht hat.

Sparen Sie sich Zeit und Mühe, damit Sie sich auf das Wesentliche konzentrieren können: das Wachstum Ihres Unternehmens. Wenden Sie sich an unsere Compliance-Experten. Und wir werden die HIPAA-Konformität schnell und unkompliziert umsetzen.

Häufig gestellte Fragen