HIPAA-Konformität für Mitarbeiter in Arztpraxen
HIPAA steht für das Health Insurance Portability and Accountability Act, das von der Bundesregierung im Jahr 1996 erlassen wurde. HIPAA wurde am 14. April 2003 implementiert, mit Ausnahme von kleinen Gesundheitsgruppen, die 2004 online gingen. Laut Privacy Rights Clearinghouse „gilt HIPAA nur für medizinische Aufzeichnungen, die von Gesundheitsdienstleistern, Gesundheitsplänen und Gesundheits-Clearingstellen geführt werden – und nur, wenn die Einrichtung Aufzeichnungen in elektronischer Form führt und übermittelt.“
Anforderungen an Codesätze
- Mit dieser Gesetzgebung kamen Anforderungen an Codesätze. Laut der HIPAA Information Series der Centers for Medicare and Medicaid Services „sind Codesätze die Codes, die verwendet werden, um spezifische Diagnosen und klinische Verfahren auf Anspruchsformularen und Behandlungsbögen zu identifizieren.“ Diese Codesätze variieren je nach Leistungserbringer, Art der Produkte und der beteiligten medizinischen Umgebung. Siehe die unten stehenden Referenzen für spezifische Details zu den Anforderungen an Codesätze.
Durchsetzung
- Das US Department of Health and Human Services (HHS) ist für die Durchsetzung der HIPAA Privacy Rule und der HIPAA Security Rule über sein Office for Civil Rights (OCR) verantwortlich. Die HIPAA Privacy Rule schützt alle persönlich identifizierbaren Gesundheitsinformationen. Die HIPAA Security Rule legte Standards für die elektronische Übermittlung von durch HIPAA geschützten Informationen fest. Laut dem Office of Civil Rights des HHS „haben die von OCR von abgedeckten Einheiten erworbenen Korrekturmaßnahmen zu systemischen Veränderungen geführt, die den Datenschutz von Gesundheitsinformationen für alle von ihnen betreuten Personen verbessert haben.“ Beschwerden über HIPAA-Verstöße müssen innerhalb von 180 Tagen nach dem Vorfall eingereicht werden. OCR untersucht, ob eine Datenschutz- oder Sicherheitsregel verletzt worden sein könnte und ob ein mögliches Verbrechen begangen worden sein könnte. Jedes mögliche kriminelle Vergehen wird an das Justizministerium zur gemeinsamen Untersuchung und Lösung weitergeleitet.
Überarbeitungen
- Nachdem HIPAA 2003 implementiert wurde, beklagten sich einige über mangelnde Durchsetzung. Daher wurden im Februar 2009 große Überarbeitungen im American Recovery and Reinvestment Act von 2009 (Public Law 111-5) angenommen. Bekannt als das Konjunkturgesetz, forderte es eine strengere Durchsetzung und strengere Strafen für Verstöße gegen die HIPAA-Datenschutz- und Sicherheitsregeln.
Anwendung
- Drei Einrichtungen, die offensichtlich den HIPAA-Regeln unterliegen: Praktizierende, Gruppenkrankenversicherungspläne und Gesundheits-Clearingstellen, die Gesundheitsabwicklungen von einem Format in ein anderes transformieren. Weniger klar ist, welche Unternehmen, die mit diesen drei Gruppen interagieren, ebenfalls den HIPAA-Regeln unterliegen. Wenn andere Unternehmen mit privaten Gesundheitsinformationen aus diesen drei Quellen in Kontakt kommen, können sie ebenfalls den HIPAA-Regeln unterliegen. Typischerweise wären dies Personen, die in irgendeiner Form der medizinischen Abrechnung beteiligt sind.
