HIPAA-Datenschutz verstehen: Wesentliche Anforderungen und Compliance

Einleitung

HIPAA steht für den Health Insurance Portability and Accountability Act, der 1996 verabschiedet wurde und vom U.S. Department of Health and Human Services überwacht wird. HIPAA-Vorschriften werden vom Office of Civil Rights durchgesetzt und verhindern die Freigabe, Offenlegung oder Nutzung von Gesundheitsinformationen einer Person ohne schriftliche Erlaubnis. Es gibt jedoch Fälle, in denen bestimmte Gesundheitsinformationen ohne Erlaubnis an sogenannte „abgedeckte Stellen“ offengelegt werden können.

Abgedeckte Stellen

Eine abgedeckte Stelle wird als jede Organisation oder Dritte beschrieben, die mit dem öffentlichen Interesse zu tun hat. Das Center for Disease Control ist eine solche Stelle. Das CDC ist verpflichtet, Informationen zu sammeln und zu verbreiten, die sich auf die Gesundheit der Allgemeinheit auswirken könnten, um die Verbreitung übertragbarer Krankheiten zu minimieren oder zu verhindern. Zur Kategorie der abgedeckten Stellen gehören auch Strafverfolgungsbehörden. Wann immer eine Person in einem Krankenhaus oder bei einem Privatarzt wegen Verletzungen, die auf häusliche Gewalt, Missbrauch oder Vernachlässigung zurückzuführen sind, behandelt wird, verlangt das Gesetz, dass die örtliche Polizeibehörde benachrichtigt wird. Gerichtsmediziner und Bestattungsunternehmen sind ebenfalls verpflichtet, Krankengeschichten von Organspendern, die verstorben sind, einzuholen, und können solche Informationen ohne schriftliche Einwilligung erhalten. Abgedeckte Stellen können notwendige medizinische Informationen untereinander ohne Einwilligung austauschen.

Offenlegung gemäß HIPAA

Seit dem 14. April 2003 sind Gesundheitsdienstleister verpflichtet, Patienten bei Erstkontakt Datenschutzhinweise auszuhändigen. Sie sind auch verpflichtet, den Hinweis an einem auffälligen Ort auszuhängen, wo er von Patienten, die Versorgung suchen, gelesen werden kann. In einer Notfallsituation ist das Krankenhaus oder der medizinische Dienstleister verpflichtet, dem Patienten so bald wie möglich eine Datenschutzerklärung auszuhändigen, sobald der Zustand des Patienten stabilisiert wurde.

Jede Einrichtung, die Versorgung bereitstellt, ob direkt oder indirekt, ist verpflichtet, Patienten oder Versicherten Datenschutzhinweise auszuhändigen. Gewöhnlich wird ein Gesundheitsdienstleister ein bestimmtes Labor nutzen und eine Vereinbarung über die Verwendung eines einzelnen Formulars erreicht haben, das sowohl den Anbieter als auch das Labor abdeckt. Diese Hinweise müssen dem Patienten auf Anfrage ausgehändigt werden. Eine abgedeckte Stelle muss auch das Datenschutzhinweis-Formular auf jeder Website, die sie für Leistungsinformationen oder Kundenservice unterhält, verfügbar machen. Gesundheitsorganisationen sind verpflichtet, Datenschutzrichtlinien bereitzustellen und Planteilnehmer alle drei Jahre über die Verfügbarkeit ihrer Datenschutzrichtlinien zu informieren.

Ihre Rechte gemäß HIPAA

Sie haben das Recht, den Namen jeder abgedeckten Stelle zu kennen, an die Ihre geschützten Gesundheitsinformationen offengelegt wurden. Die Offenlegung dieser Art von Informationen ist auf sechs Jahre vor dem Datum Ihrer Anfrage begrenzt. Was nicht in dieser Offenlegung enthalten ist, sind Behandlungs- oder Zahlungsinformationen oder Informationen, die für Strafverfolgungs-, Geheimdienst- oder nationale Sicherheitszwecke eingeholt wurden.

Sie haben das Recht, den Zugriff auf Ihre persönlichen Gesundheitsinformationen einzuschränken, obwohl die abgedeckte Stelle nicht verpflichtet ist, Ihre Anfrage auf Einschränkungen anzunehmen. Wenn angenommen, müssen sie der Anfrage nachkommen, außer in einer Notfallsituation.