HIPAA-Konformität beim E-Mail-Versand von Patientendaten: Ein umfassender Leitfaden

Zugriff auf elektronisch gespeicherte Patientendaten

HIPAA rät davon ab, unnötig auf elektronisch gespeicherte personenbezogene Gesundheitsdaten zuzugreifen. Die Vorschriften verlangen zudem detaillierte Informationen über den Mitarbeiterzugriff auf Patientendaten. Callcenter müssen beispielsweise prüfen, wer auf elektronisch gespeicherte Patientendaten zugreift. Das Prüfprotokoll muss Zeitpunkt und Datum des Zugriffs sowie den Mitarbeiternamen oder die Mitarbeiternummer angeben.

E-Mail-Format und Verschlüsselung

Mitarbeiter sollten Patientendaten bei der Nutzung von E-Mails einschränken. HIPAA verlangt eine Verschlüsselung von E-Mails, die Patientendaten enthalten und über das Internet übermittelt werden. Spezielle Software ermöglicht es Nutzern, verschlüsselte E-Mails mit einem sicheren Passwort abzurufen.

Verletzungsmeldung

Bei unbefugtem Zugriff, Gebrauch oder Offenlegung von Patientendaten verlangt HIPAA eine Benachrichtigung. Wenn ein Sicherheitsverstoß 500 oder mehr Teilnehmer eines Gesundheitsplans betrifft, muss ein Arbeitgeber die Nachrichtenmedien und das HHS benachrichtigen und die betroffenen Personen innerhalb von 60 Tagen über den Verstoß informieren; die Mitteilung an die betroffenen Personen muss enthalten: (1) Informationen zum Datum des Verstoßes und wie der Verstoß erfolgte, (2) Informationen über die Art der offengelegten Daten, (3) Möglichkeiten für betroffene Patienten, Schäden durch den Verstoß zu verhindern, (4) eine Beschreibung der Untersuchung und der ergriffenen Maßnahmen, um weitere Offenlegungen zu verhindern, (5) Kontaktinformationen für Personen mit weiteren Fragen.

Zustellung der Mitteilung

HIPAA legt spezifische Anforderungen für die Zustellung der Mitteilung an Personen fest, die von einer unbefugten Nutzung oder Offenlegung betroffen sind. Die Vorschriften verlangen, dass Unternehmen betroffene Personen per Erstklasspost an deren letzte bekannte Adresse benachrichtigen. Ist die Person verstorben, muss die Benachrichtigung an die nächsten Angehörigen gesendet sein. Kann eine Einrichtung keine Adresse für eine betroffene Person finden, ist eine andere Form der Benachrichtigung erforderlich. Zudem muss, wenn eine andere Form der Benachrichtigung für 10 oder mehr betroffene Patienten benötigt wird, die Einrichtung einen Hinweis auf ihrer Website veröffentlichen oder eine Nachrichtenorganisation informieren.

Durchsetzung und Strafen

Das Office for Civil Rights des Gesundheits- und Humanressourcenministeriums setzt HIPAA durch und untersucht Verstöße. HIPAA-Vorschriften sehen zivilrechtliche Geldstrafen und strafrechtliche Sanktionen für die Offenlegung von Patientendaten vor; HIPAA sieht zivilrechtliche Strafen von 100 $ für jeden Verstoß mit einem Höchstbetrag von 25.000 $ pro Kalenderjahr für alle Verstöße vor. Zivilstrafen dürfen nicht verhängt werden, wenn der Verstoß auf „vernünftigen Grund und nicht auf vorsätzliche Vernachlässigung“ zurückzuführen war. (Referenz 2)