HIPAA-Compliance: Anforderungen an schriftliche Datenschutzrichtlinien verstehen

Gesetze zum Schutz von Patientengesundheitsinformationen finden sich im Health Insurance Portability and Accountability Act von 1996 (HIPAA). Die Sicherheit, der Datenschutz und die Vertraulichkeit elektronischer Gesundheitsinformationen sind der Schwerpunkt der HIPAA-Anforderungen. Die Einhaltung dieses Gesetzes erfordert, dass alle abgedeckten gesundheitsbezogenen Organisationen schriftliche Datenschutzrichtlinien als Teil der von HIPAA genannten administrativen Anforderungen bereitstellen.

Administrative Anforderungen

Das HIPAA-Gesetz konzentriert sich auf zwei primäre Ziele zum Schutz von Gesundheitsinformationen: Datenschutz und Sicherheit. Die administrativen Anforderungen einer Organisation fallen unter die Sicherheitsregeln, die unter HIPAA festgelegt sind. Laut der University of Miami legen diese Regeln bestimmte Standards und Richtlinien für die Implementierung der administrativen Anforderungen einer Organisation fest. Schriftliche Datenschutzrichtlinien fungieren als formelle Richtlinien und Verfahren innerhalb einer Organisation, die das Gesundheitsinformationsmanagement, die Wartung, Mitarbeiterrollen und Sicherheitsmaßnahmen zum Schutz von Patientengesundheitsinformationen behandeln. In ihrer Gesamtheit bieten diese Anforderungen ein Sicherheitsframework dafür, wie Organisationen und Mitarbeiter auf Patientengesundheitsinformationen zugreifen und sie nutzen. Mitarbeiterschulung, die Benennung eines HIPAA-Sicherheitsbeauftragten und regelmäßige Überprüfungen aktueller Richtlinien sind ebenfalls Teil der administrativen Anforderungen.

Zugriffs- und Nachverfolgungsanforderungen

Schriftliche Datenschutzrichtlinien gemäß HIPAA-Gesetz erfordern von Gesundheitsorganisationen, Richtlinien und Verfahren zu erstellen, die Zugriffsberechtigungen und Methoden zur Nachverfolgung von Patientengesundheitsinformationen gemäß dem HIPAA Survival Guide umreißen. Zugriffsberechtigungen beinhalten die Identifizierung, welches Personal Zugriff auf das System benötigt, und die Festlegung von Zugriffsbeschränkungen basierend auf der Menge an Informationen, die erforderlich sind, um die Arbeitsverantwortungen eines Mitarbeiters zu erfüllen. Nachverfolgungsanforderungen beinhalten die Entwicklung von Richtlinien und Verfahren zur Überwachung von Aktivitäten in Krankenakten und die Entwicklung von Sanktionsmaßnahmen, wenn Verstöße erkannt werden. Schriftliche Datenschutzrichtlinien identifizieren auch ausgewiesene Bereiche für Computerarbeitsplätze und alle Sicherheitsmaßnahmen, die mit dem Zugriff auf diese Arbeitsplätze verbunden sind. Richtlinien und Verfahren, die Verträge mit Geschäftspartnern betreffen, sind ebenfalls für Organisationen erforderlich, die mit Drittunternehmern oder assoziierten Agenturen zusammenarbeiten.

Risikomanagementanforderungen

Im Rahmen der HIPAA-Anforderungen müssen gesundheitsbezogene Organisationen Richtlinien entwickeln, die ihre Risikomanagement- und Sicherheitsverfahren identifizieren, so der HIPAA Survival Guide. Risikomanagementverfahren beschreiben, wie eine Organisation Sicherheitsverstöße, die auftreten, erkennt, korrigiert und eingrenzt. Ein Plan zur Identifizierung von Risikobereichen und Schwachstellen innerhalb der betrieblichen Verfahren einer Organisation fällt ebenfalls unter die Anforderung des Risikomanagements. Richtlinien müssen auch das Bewusstsein der Mitarbeiter für Sicherheitsmaßnahmen in formalen Schulungsprogrammen behandeln. Schriftliche Datenschutzrichtlinien zu Sicherheitsverfahren müssen einen Notfallplan für den Zugriff auf Patienteninformationen im Falle eines Systemausfalls, Brandes oder eines Ereignisses, das ein Systemnetzwerk unbrauchbar macht, enthalten. Notfallpläne umfassen Methoden zur Sicherung von Systemdaten und zur Wiederherstellung verlorener Systemdaten sowie zur Aufrechterhaltung von Geschäftsprozessen während eines Notfallereignisses.