HIPAA-Konformität: Verständnis der Gesetze für elektronische Patientenakten

Das Health Insurance Portability and Accountability Act (HIPAA) bietet Bundesschutz für die Privatsphäre persönlicher gesundheitsbezogener Informationen. Das HIPAA-Programm untersteht dem U.S. Department of Health and Human Services. Das Gesetz erlaubt die Freigabe von Informationen unter bestimmten Umständen, beispielsweise an den Versicherungsanbieter einer Person und an andere Gesundheitsdienstleister. HIPAA hat eine spezielle Sicherheitsregel, die die Standards für den Schutz elektronisch gespeicherter medizinischer Informationen festlegt.

Elektronische persönliche Gesundheitsinformationen

• Elektronische persönliche Gesundheitsinformationen (e-PHI) sind durch die „Security Rule“ geschützt. E-PHI-Informationen dürfen nicht an Personen weitergegeben werden, die nicht berechtigt sind, sie einzusehen, oder irgendwelche Informationen aus den Aufzeichnungen offenlegen, während gleichzeitig die Aufzeichnungen für Personen verfügbar gemacht werden, die berechtigt sind, sie zu überprüfen. Die Security Rule schützt auch vor der Änderung oder Zerstörung der Daten durch unbefugte Mittel.
  Wie diese Regel implementiert wird, ist nicht reguliert. Kleine Kliniken haben möglicherweise eine andere Art, Aufzeichnungen zu führen, als ein Krankenhaus, das Filialen im ganzen Land hat.

Physischer Zugriffsbeschränkung

• Sicherheitsmaßnahmen müssen vorhanden sein, die den Zugriff auf die Aufzeichnungen durch unbefugtes Personal einschränken. Dies wird als „Facility Access and Control“ bezeichnet.
  Die „covered entity“, also der Ort, der die Aufzeichnungen besitzt, wie eine Arztpraxis, muss gemäß HIPAA Richtlinien und Verfahren für die „ordnungsgemäße Nutzung von und den Zugriff auf Arbeitsstationen und elektronische Medien“ verwenden. Dies gilt auch für das Senden von Aufzeichnungen, das Entfernen von Dateien, das Zerstören von Dateien und sogar die Wiederverwendung elektronischer Medien wie einer beschreibbaren CD.

Elektronische Sicherheit

• Richtlinien müssen für Hardware und Software erstellt und verwendet werden, um Aufzeichnungen darüber zu führen, wer auf die Informationen zugegriffen hat. Es muss ein Verfahren zum Überprüfen geben, wer auf die Aufzeichnungen zugegriffen hat. Systeme müssen vorhanden sein, um Aufzeichnungen vor Änderungen oder Zerstörung zu schützen. Zum Beispiel kann ein Backup-System verwendet werden, um die elektronischen Daten zu schützen. Während der elektronischen Übermittlung der Daten muss ebenfalls Schutz gewährleistet sein. Dies ist typischerweise ein Informationssicherheitssystem.

Unternehmerverantwortung

• Die covered entity muss auf jeden Verstoß reagieren, beispielsweise wenn eine unbefugte Person Zugriff auf private Aufzeichnungen erhält. Es müssen „angemessene Schritte“ unternommen werden, um die Situation zu lösen, so HIPAA. Es gilt als Verstoß, wenn die covered entity keine Schutzmaßnahmen wie Zugriffskontrollen eingerichtet hat.

Aktenmanagement

• Richtlinien und Verfahren müssen vorhanden sein, um die Aufzeichnungen zu pflegen. Derzeit lautet die HIPAA-Regel, dass Richtlinien- und Verfahrensaufzeichnungen sowie alle erforderlichen schriftlichen Maßnahmen sechs Jahre ab dem Erstellungsdatum oder dem „letzten wirksamen Datum“ aufbewahrt werden müssen. Die covered entity muss außerdem Überprüfungen ihrer Aufzeichnungen durchführen und nach Bedarf neue Richtlinien implementieren. Die Security Rule legt keine Aufbewahrungsfristen für die medizinischen Aufzeichnungen fest.