Patientenprivatsphäre: Warum medizinisches Personal niemals ohne Einwilligung Informationen weitergeben darf

Die HIPAA Privacy Rule (45 CFR §164.502) verbietet abgedeckten Einheiten (Anbieter, Krankenkassen, Clearingstellen) und ihrer Belegschaft, geschützte Gesundheitsinformationen (PHI) ohne Patientenautorisierung zu nutzen oder offenzulegen – mit begrenzten Ausnahmen (Behandlung, Zahlung, Betrieb, öffentliche Gesundheit, Strafverfolgung mit Haftbefehl).

Was als PHI gilt

18 Kennzeichen in Kombination mit Gesundheitsinformationen: Name, Geburtsdatum, MRN, SSN, Gesichtsfotos, Postleitzahl, Daten, Geräte-IDs, Biometrie usw.

Häufige Verstöße

• Patienten in Aufzügen, Kantinen oder in sozialen Medien besprechen.
• Mit Familie/Freunden ohne Einwilligung teilen (außer Bevollmächtigte Entscheidungsträger).
• Akten ohne Behandlungsrolle einsehen („Neugier“).
• Unsachgemäße Entsorgung (unzerkleinerte Papiere, unverschlüsselte Geräte).

Konsequenzen

• Zivilrechtliche Strafen: $137–$68.928 pro Verstoß (gestuft nach Verschulden); max. $2M/Jahr pro Bestimmung.
• Strafrechtlich: Bis zu $250.000 + 10 Jahre Gefängnis (wissentlicher Missbrauch).
• Beruflich: Approbationsdisziplinarmaßnahme, Kündigung, Verlust von Krankenhausprivilegien.
• Reputationsschaden: Verletzungsbenachrichtigung, Medienberichterstattung, Klagen.

Richtige Reaktion auf Anfragen

„Ich kann diese Information ohne die schriftliche Autorisierung des Patienten nicht weitergeben. Wenn Sie der Patient oder dessen gesetzlicher Vertreter sind, kontaktieren Sie bitte unsere medizinische Aktenabteilung für die richtigen Freigabeverfahren.“