HIPAA-Konformität: Ein umfassender Leitfaden zu Datenschutz und Sicherheit

HIPAA-Konformität

Der Health Insurance Portability and Accountability Act wurde 1996 während der Clinton-Administration implementiert. HIPAA wurde zunächst geschaffen, um Personen vor dem Verlust der Krankenversicherung beim Arbeitsplatzwechsel zu schützen. Das endgültige Gesetz schuf jedoch sieben verschiedene Titel oder Regeln, die verschiedene Themen von Krankenversicherungsplänen und -anbietern abdecken. Die bekanntesten Teile von HIPAA betreffen den Datenschutz und die Sicherheit von Patientengesundheitsinformationen. Das United States Department of Health and Human Services beaufsichtigt HIPAA. Das DHHS verlangt nicht, dass Organisationen oder Personen zertifiziert sind, noch gibt es eine offizielle staatliche „HIPAA-Zertifizierung“ oder eine zugelassene Organisation, die HIPAA-Zertifizierungen anbietet. Das DHHS verlangt jedoch, dass „abgedeckte Einheiten“ die HIPAA-Konformität einhalten.

Was Sie benötigen

• HIPAA Privacy and Security Toolkit

Anleitung

1. Bestimmen Sie, ob Ihre Organisation eine „abgedeckte Einheit“ ist. HIPAA definiert „abgedeckte Einheiten“ unter Kategorien: Gesundheitspläne, die Versicherungsschutz für medizinische Versorgung bieten, Gesundheitsdienstleister, die für Gesundheitsversorgung bezahlt oder in Rechnung gestellt werden, und Gesundheits-„Clearingstellen“, die den Informationsaustausch zwischen Anbietern und Versicherungsgesellschaften erleichtern. Wenn Ihre Organisation eine der Kategorien „abgedeckte Einheit“ erfüllt, müssen Sie das HIPAA-Gesetz befolgen.

2. Schulen Sie Mitarbeiter in Bezug auf Datenschutz versus Sicherheit. HIPAA Title II, oder „Administrative Simplification“, befasst sich teilweise mit Maßnahmen zum Schutz der Sicherheit und Privatsphäre von Patientengesundheitsinformationen. Datenschutzmaßnahmen schützen „individuell identifizierbare Gesundheitsinformationen“, indem sie sie nur unter bestimmten Anforderungen freigeben. Sicherheitsmaßnahmen schützen elektronische Gesundheitsinformationen, wie elektronische Patientenakten und E-Mails, vor unbefugter Offenlegung und Verletzung.

3. Ernennen Sie einen HIPAA-Beauftragten. HIPAA verlangt, dass jede abgedeckte Einheit einen „HIPAA-Beauftragten“ ernennt. HIPAA-Beauftragte stellen sicher, dass die Einrichtung HIPAA-konform ist, indem sie Richtlinien und Verfahren erstellen, implementieren und aufrechterhalten, Mitarbeiter schulen und andere HIPAA-Konformität koordinieren.

4. Überprüfen Sie die HIPAA-Anforderungen. HIPAA legt strenge Anforderungen fest, die von „abgedeckten Einheiten“ erfüllt werden müssen. Um die Datenschutzanforderungen zu erfüllen, müssen Organisationen verstehen, wann geschützte Gesundheitsinformationen freigegeben werden dürfen und an wen. Außerdem müssen Organisationen die Freigabe von „minimal notwendiger“ Offenlegung implementieren, was bedeutet, dass nur die geringste Menge an Informationen freigegeben werden kann, die benötigt wird. Für die Sicherheit müssen Organisationen sicherstellen, dass elektronische Patientendaten sicher sind, beispielsweise durch Schlösser auf Computerräumen, Passwortimplementierung, Audit-Trails und Informationsverschlüsselung.

5. Verstehen Sie HIPAA-Sanktionen. Das DHHS Office of Civil Rights ist für die Durchsetzung der HIPAA-Regeln und -Vorschriften verantwortlich. Die HIPAA-Durchsetzung umfasst sowohl zivilrechtliche als auch strafrechtliche Sanktionen. Obwohl die Absichten der OCR nicht darin bestehen, Organisationen zu bestrafen, die Fehler machen, werden Sanktionen für vorsätzliche Nichteinhaltung verhängt. Sanktionen umfassen Geldbußen und/oder Gefängnisstrafen, manchmal bis zu 25.000 $ und zehn Jahren Gefängnis für schwere Verstöße.

6. Entscheiden Sie, ob Sie eine interne oder externe Evaluierung wünschen. Denken Sie daran, dass das DHHS keine offizielle HIPAA-Zertifizierung hat und auch keine anderen als offizielle HIPAA-Zertifizierungsorganisationen anerkennt. Es gibt jedoch immer noch Unternehmen, die auf HIPAA-Anforderungen spezialisiert sind. Gegen eine Gebühr werden diese Organisationen Ihre Richtlinien, Verfahren und Aktivitäten überprüfen, um sicherzustellen, dass Sie HIPAA-konform sind. Gesundheitsorganisationen, die von ihrem eigenen Verständnis von HIPAA überzeugt sind, können interne Audits durchführen.