HIPAA-Datenschutzverletzungen: Strafen und Compliance

Im Dezember 2000 legte das Department of Health and Human Services (DHHS) die endgültige Datenschutzregel gemäß dem Health Insurance Portability and Accountability Act (HIPAA) fest. Die Datenschutzregeln schützen die privaten medizinischen Informationen eines Patienten, indem sie Sicherheitsvorkehrungen festlegen, die „abgedeckte Einheiten“ bei der elektronischen Übermittlung der Informationen anwenden müssen. Abgedeckte Einheiten umfassen Gesundheitsdienstleister wie Krankenhäuser und Arztpraxen sowie Krankenkassen und Gesundheitsabrechnungsstellen.

Überlegungen

Das Office for Civil Rights (OCR) des DHHS ist für die Durchsetzung der HIPAA-Datenschutzregel zuständig. Das OCR führt Untersuchungen und Compliance-Überprüfungen durch. Wenn das OCR feststellt, dass eine abgedeckte Einheit gegen die Datenschutzregel verstoßen hat, stützt es sein Urteil und seine Strafen auf einige Schlüsselfaktoren. Diese Faktoren umfassen das Datum des Verstoßes, das Wissen der abgedeckten Einheit über ihr Versäumnis, die Vorschriften einzuhalten, und ob die abgedeckte Einheit vorsätzlich nachlässig war.

Zivilrechtliche Strafen

Das OCR kann Geldbußen von 100 bis 50.000 Dollar oder mehr für einen Verstoß gegen die Datenschutzregel verhängen. In einem Kalenderjahr darf einer abgedeckten Einheit nicht mehr als 1.500.000 Dollar auferlegt werden. Wenn einer abgedeckten Einheit mitgeteilt wird, dass sie gegen die Datenschutzregel verstoßen hat, kann sie eine Geldbuße vermeiden, indem sie den Verstoß innerhalb von 30 Tagen korrigiert.

Strafrechtliche Sanktionen

Strafrechtliche Sanktionen für die Verletzung der HIPAA-Datenschutzregel variieren je nach Schwere des Verstoßes. Eine Person kann mit 50.000 Dollar bestraft und zu bis zu einem Jahr Gefängnis verurteilt werden, wenn sie wissentlich geschützte Gesundheitsinformationen erhält oder offenlegt. Wenn falsche Vorspiegelungen beteiligt waren, kann die Geldbuße auf 100.000 Dollar erhöht werden und die Gefängnisstrafe auf bis zu fünf Jahre steigen. Die schwerste Strafe wird jemandem auferlegt, der für schuldig befunden wird, geschützte Gesundheitsinformationen mit der Absicht zu erhalten oder offenzulegen, um die Informationen gegen finanzielle oder persönliche Vorteile zu verkaufen, zu übertragen oder zu nutzen oder um böswilligen Schaden anzurichten.