Einleitung
Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) legt die rechtlichen Anforderungen für den Schutz personenbezogener Gesundheitsinformationen fest. HIPAA betrifft Organisationen, die elektronische Speicherung und Übermittlung von Gesundheitsdaten von Einzelpersonen nutzen. Die Arten von Organisationen, die HIPAA entsprechen müssen, umfassen Gesundheitsdienstleister, Versicherungsanbieter, Krankenkassen, Gesundheitsabrechnungsstellen und die Geschäftspartner dieser Organisationen. Einige Arbeitgeber müssen ebenfalls HIPAA-Anforderungen entsprechen.
Sicherheit und Zugang zu Patientendaten
- Krankenhäuser und andere Gesundheitsdienstleister müssen die Privatsphäre von „individuell identifizierbaren Gesundheitsinformationen“ schützen, sei es auf Papier, mündlich kommuniziert oder in elektronischer Form. Organisationen müssen Richtlinien haben, um rollenbasierten Zugang zu personenbezogenen Gesundheitsinformationen für Behandlungs-, Zahlungs- oder Betriebszwecke festzulegen. Nur Mitarbeiter, die bestimmte Informationen kennen müssen, können Zugang zu elektronischen Patientenakten erhalten.
Öffentliches Interesse und nutzbringende Aktivitäten
- Organisationen müssen sich mit festgelegten nationalen Prioritäten vertraut machen, die die Freigabe geschützter Gesundheitsinformationen ohne Zustimmung des Patienten oder seines Vertreters erlauben. HIPAA identifiziert 12 „Zwecke des öffentlichen Interesses“, von denen jeder Einschränkungen und Bedingungen hat, die darauf abzielen, öffentliches Interesse mit privater Privatsphäre auszugleichen. Einige der zulässigen Offenlegungen, die als Zwecke des öffentlichen Interesses aufgeführt sind, umfassen Rückrufe von von der FDA zugelassenen Medizinprodukten, den Schutz von Opfern häuslicher Gewalt, Missbrauch und Vernachlässigung, Fälle mit Verdacht auf kriminelle Aktivitäten und Reaktionen auf Gerichtsbeschlüsse.
Arbeitgeber
- Arbeitgeber können geschützte Gesundheitsinformationen über eine arbeitsbedingte Verletzung eines Mitarbeiters erhalten. Wenn ein Arbeitgeber eine betriebsinterne Gesundheitskraft für Mitarbeiter bereitstellt, ein Mitarbeiter-Wellness-Programm anbietet oder eine selbstversicherte Krankenversicherung hat, muss der Arbeitgeber denselben Schutz der Privatsphäre und Sicherheit für persönliche Gesundheitsakten bieten wie für Akten in Krankenhäusern und Arztpraxen.
Laufende Schulung
- Arbeitgeber, die HIPAA unterliegen, müssen Neueinstellungen schulen und Schulungen zu HIPAA-Updates bereitstellen, wenn diese implementiert werden. Arbeitgeber müssen auch Schulungen nach jeglichen HIPAA-Verstößen bereitstellen.
Organisationen, die Flexible Spending Accounts anbieten
- Wenn ein Arbeitgeber ein Flexible Spending Account (FSA) anbietet, das es Mitarbeitern ermöglicht, steuerfreie Dollar für außerklinische medizinische Ausgaben zurückzulegen, muss der Arbeitgeber sicherstellen, dass der Administrator des FSA den HIPAA-Konformitätsrichtlinien entspricht. Arbeitgeber benötigen möglicherweise auch eine HIPAA-konforme „Geschäftspartner“-Vereinbarung mit dem FSA-Administrator.
Schriftliches Verfahren zur Beschwerdeuntersuchung
- Organisationen sollten einen schriftlichen Plan für die Untersuchung von HIPAA-Beschwerden haben. HIPAA-Regeln schreiben kein schriftliches Verfahren vor; jedoch können Organisationen ihre schriftlichen Pläne als Teil ihrer Dokumentation der unternommenen Schritte zur Untersuchung, Behebung und Lösung von Beschwerden verwenden. Die Untersuchungsdokumentation kann auch ein Wiederauftreten problematischer Prozesse verhindern. HIPAA kann Organisationen 30 Tage Zeit geben, einen unbeabsichtigten HIPAA-Verstoß zu korrigieren.
Bußgelder
- Organisationen, die nicht den HIPAA-Vorgaben zum Schutz der Privatsphäre und Sicherheit geschützter Gesundheitsinformationen entsprechen, können mit Bußgeldern von 100 bis 50.000 US-Dollar oder mehr pro Verstoß belegt werden. Das Office for Civil Rights muss die Organisation über die Nichteinhaltung der HIPAA-Anforderungen benachrichtigen, und die Organisation erhält Gelegenheiten, Beweise vorzulegen, die die Strafe reduzieren könnten.
