HIPAA Security Rule: Schutz elektronischer Gesundheitsinformationen

HIPAA Security Rule: Schutz von e-PHI

Im Jahr 1996 implementierte das US-Gesundheitsministerium (Department of Health and Human Services) den Health Insurance Portability and Accountability Act zum Schutz der Privatsphäre von Gesundheitsinformationen. Die Security Rule von 2005 legt zusätzliche Standards für den Schutz elektronischer Informationen fest.

Security Rule

Die Security Rule konzentriert sich ausschließlich auf den Schutz von „elektronisch geschützten Gesundheitsinformationen“ (e-PHI), was eine wichtige Überlegung darstellt, da immer mehr Gesundheitsdienstleister auf elektronische Systeme umstellen. Die HHS-Website gibt an, dass ein wichtiges Ziel der Security Rule darin besteht, „die Privatsphäre der Gesundheitsinformationen von Einzelpersonen zu schützen, während abgedeckte Einheiten neue Technologien einführen können, um die Qualität und Effizienz der Patientenversorgung zu verbessern.“ Unter die Security Rule fallen alle Gesundheitsdienstleister, Pläne oder Abrechnungsstellen, die Gesundheitsinformationen elektronisch übermitteln.

Allgemeine Regeln und Richtlinien

Die HHS-Website legt fest, dass Einheiten, die unter die Security Rule fallen, verpflichtet sind, „angemessene und geeignete verwaltungs-, technische und physische Schutzmaßnahmen“ zum Schutz von e-PHI umzusetzen und aufrechtzuerhalten. Dies bedeutet, dass Einheiten in der Lage sein müssen, die Integrität, Verfügbarkeit und Vertraulichkeit aller e-PHI, für die sie verantwortlich sind, zu gewährleisten. Zudem müssen Einheiten e-PHI schützen, indem sie „unerlaubte Nutzung oder Offenlegung“ von Informationen identifizieren und Maßnahmen ergreifen, um sich dagegen sowie gegen potenzielle Bedrohungen der Sicherheit oder Integrität der Informationen zu schützen. Die Sicherstellung der Schulung und Compliance aller Mitarbeiter mit Zugriff auf e-PHI ist eine wichtige Überlegung. Compliance-Maßnahmen sollten aufgrund von Änderungen in Technologie und Gesundheitspraxis regelmäßig dokumentiert, bewertet und aktualisiert werden.

Wer setzt die Regeln durch?

Laut der HHS-Website ist das Office of Civil Rights für die Durchsetzung der Security Rule durch „freiwillige Compliance-Aktivitäten und zivilrechtliche Geldbußen“ verantwortlich. Das OCR kann Untersuchungen bei abgedeckten Einheiten durchführen, um die Compliance sicherzustellen.