HIPAA-Compliance-Strafen: Bußgelder vermeiden und Patientendaten schützen

HIPAA (Health Insurance Portability and Accountability Act von 1996) schützt die Gesundheitsdaten von Patienten und regelt das Recht der Patienten auf Herausgabe ihrer Gesundheitsdaten durch medizinische Anbieter oder andere Personen mit Zugriff auf diese Informationen. Zudem enthält das Gesetz Sicherheitsvorschriften, die festlegen, wie Anbieter mit Patientendaten umgehen, sie verwalten und schützen müssen. Zu den medizinischen Anbietern zählen Ärzte, die elektronische Formulare verwenden, Krankenversicherungen sowie Organisationen, die Gesundheitsdaten verarbeiten.

Zivil- und strafrechtliche Sanktionen bei Nichteinhaltung

Das US-Gesundheitsministerium (Department of Health & Human Services, HHS) überwacht und verwaltet die HIPAA-Standards. Die Behörde führt Untersuchungen und Compliance-Prüfungen durch, um sicherzustellen, dass die Standards eingehalten werden. HHS unterstützt Anbieter dabei, die Vorschriften zu verstehen und die Einhaltung der Regeln sicherzustellen. Es gibt zwei Arten von Sanktionen bei Nichteinhaltung von HIPAA: zivilrechtliche und strafrechtliche.

Zivilrechtliche Strafen

Die zivilrechtlichen Strafen bei Nichteinhaltung hängen von vielen Faktoren ab. Verstöße, die vor dem 18. Februar 2009 begangen wurden, haben andere Geldwerte als Verstöße nach diesem Datum. Das Wissen oder vorhersehbare Wissen des Anbieters über den Verstoß und die Frage, ob die HIPAA-Vorsätze vorsätzlich verletzt wurden, bestimmen die zivilrechtliche Geldstrafe. Bei Verstößen vor dem 18. Februar 2009 beträgt die Strafe 100 US-Dollar pro Verstoß mit einem Jahreshöchstbetrag von 25.000 US-Dollar. Bei Verstößen ab dem 18. Februar 2009 liegt die Geldstrafe bei 100 bis 50.000 US-Dollar oder mehr pro Verstoß, mit einem Höchstbetrag von 1,5 Millionen US-Dollar. Sanktionen werden nicht verhängt, wenn HHS feststellt, dass der Verstoß nicht vorsätzlich war und innerhalb von 30 Tagen korrigiert wurde, oder wenn das Ministerium bereits eine strafrechtliche Sanktion verhängt hat.

Strafrechtliche Sanktionen

Strafrechtliche Sanktionen werden vom US-Justizministerium behandelt. Jeder, der vorsätzlich gegen die Datenschutzregel verstößt, kann mit bis zu einem Jahr Freiheitsstrafe und einer Geldstrafe von bis zu 50.000 US-Dollar rechnen. Die Strafen erhöhen sich auf bis zu fünf Jahre Freiheitsstrafe und eine Geldstrafe von bis zu 100.000 US-Dollar bei Verstößen unter Vorspiegelung falscher Tatsachen sowie auf bis zu zehn Jahre Freiheitsstrafe und eine Geldstrafe von bis zu 250.000 US-Dollar, wenn der Verstoß die Übermittlung von Gesundheitsdaten zum Zwecke des Profits oder zur vorsätzlichen Schädigung beinhaltet.