HIPAA-Compliance: Datenschutzanforderungen verstehen

Die persönlichen Gesundheitsinformationen einer Person sind vertraulich. Der Health Insurance Portability and Accountability Act (HIPAA) ist ein Programm des US-Gesundheitsministeriums, um die Standards zum Schutz individueller Gesundheitsinformationen durchzusetzen. HIPAA enthält auch eine Bestimmung zum Schutz elektronischer medizinischer Informationen, da immer mehr medizinische Informationen elektronisch gespeichert und übermittelt werden. Im Allgemeinen definiert HIPAA, welche Daten geschützt sind und welche Anforderungen zum Schutz der Daten bestehen.

Definition geschützter Daten

Jegliche Informationen, die von Gesundheitsdienstleistern wie Ärzten und Krankenschwestern in Ihre Krankenakten eingetragen werden, sind geschützte Daten, ebenso wie jede Diskussion zwischen Ärzten und anderen Gesundheitsdienstleistern. Jegliche Abrechnungsinformationen sind geschützt, ebenso wie Informationen, die von Ihrer Versicherungsgesellschaft gehalten werden. Diese Informationen werden als Protected Health Information (PHI) bezeichnet. PHI-Informationen umfassen auch Informationen wie Sozialversicherungsnummer, Adresse, Telefonnummer oder Geburtsdatum. HIPAA schützt für „vergangene, gegenwärtige oder zukünftige körperliche oder geistige Gesundheitszustände“.

Richtlinien zum Datenschutz

Die Einrichtung, die Ihre Aufzeichnungen verwahrt, wie eine Arztpraxis oder ein Krankenhaus, wird als „covered entity“ bezeichnet. Gemäß HIPAA-Regeln muss die covered entity Methoden zum Schutz Ihrer persönlichen Gesundheitsinformationen einrichten. Sie müssen jede Offenlegung von medizinischen Informationen auf das beschränken, was als angemessen gilt. Covered entities müssen sicherstellen, dass Personen, die mit der Organisation vertraglich gebunden sind, die Informationen nach denselben Standards schützen. Verfahren zum Datenschutz und Schulungen zu den Verfahren müssen entwickelt und angewendet werden, um die Daten vor dem Zugriff unbefugter Personen zu schützen.

Zusammen mit der Nicht-Offenlegung von PHI müssen physische Aufzeichnungen in einem Bereich mit eingeschränktem Zugriff aufbewahrt werden. Sicherheitsmaßnahmen zur Verhinderung des Zugriffs unbefugter Personen müssen vorhanden sein. Diese Bestimmung wird als „Facility Access and Control“ bezeichnet.

Anforderungen an elektronische Daten

HIPAA hat eine separate Bestimmung für elektronische medizinische Aufzeichnungen, die gespeichert oder übermittelt werden. Es wird die „Security Rule“ für persönliche Gesundheitsinformationen oder e-PHI genannt. Wie ein Krankenhaus oder eine Klinik e-PHI schützen soll, ist nicht spezifisch definiert. Im Allgemeinen muss die covered entity die Integrität der elektronischen Daten sowie die Vertraulichkeit und Verfügbarkeit schützen. Die covered entity muss sich gegen „vernünftigerweise erwartete Bedrohungen“ schützen.

Beispiele für Schutzmaßnahmen können Hardware-Backup-Systeme, Firewalls und Sicherheitskennwörter für den Zugriff auf die Daten sein.

Allgemeine Richtlinien zu Daten

Das Gesundheitszentrum oder die Versicherungsgesellschaft muss Richtlinien und Verfahren erstellen, um zu identifizieren, wer auf physische und elektronische Daten zugegriffen hat. Wenn ein Verstoß auftritt, müssen „vernünftige Schritte“ zur Behebung der Situation unternommen werden. Die covered entity muss die Richtlinien und Verfahren erstellen, die sie verwenden möchte, und diese Aufzeichnungen müssen sechs Jahre ab dem letzten Datum, an dem sie wirksam waren, aufbewahrt werden.