HIPAA-Compliance: Datenschutz- und Sicherheitsregeln verstehen

Einleitung

Das Health Insurance Portability and Accountability Act, das 1996 verabschiedet wurde, ist bekannt für seine Datenschutz- und Sicherheitsregeln, die die Privatsphäre der gesundheitsbezogenen Informationen einer Person schützen und regeln, wer Zugang zu den vertraulichen medizinischen Informationen eines Patienten hat. Innerhalb des Department of Health and Human Services wird HIPAA vom Office of Civil Rights überwacht, das die Untersuchung von Beschwerden und die Durchsetzung des Gesetzes übernimmt.

Schutzmaßnahmen

Laut HHS wirkt das HIPAA-Gesetz als Schutz für die medizinischen und gesundheitsbezogenen Informationen eines Patienten in vielen Formen. Zusätzlich zur Sicherung von medizinischen Aufzeichnungen schützt HIPAA auch Gespräche über die Gesundheit eines Patienten, die Ärzte mit anderen Gesundheitsfachkräften wie Krankenschwestern führen könnten, Informationen in den Händen eines Versicherers oder dessen Computersystem sowie Abrechnungsunterlagen bezüglich jeglicher erhaltenen Behandlung. Das Gesetz verlangt, dass jeder, der Zugang zu den Gesundheitsinformationen eines Patienten hat, ein System einrichtet, um dessen Schutz entlang aller Glieder der Verantwortungskette zu gewährleisten.

Zugang

Abgedeckte Entitäten sind jene Organisationen und Institutionen, die die HIPAA-Vorschriften bezüglich der Privatsphäre von Gesundheitsinformationen befolgen müssen. Dazu gehören Gesundheitspläne wie Medicare, Medicaid, HMOs, Krankenversicherungsunternehmen und betriebsinterne Gesundheitspläne; Gesundheitsdienstleister wie Ärzte, Zahnärzte und Apotheker – im Grunde jedes Unternehmen, das elektronisch einen Gesundheitsversicherungsplan abrechnet; und Gesundheitsabwicklungsstellen, die medizinische Aufzeichnungen von einem Format in ein anderes übertragen, wie ein Unternehmen, das Hardcopies von Patientenakten in digitale Form einscannt. Laut HHS gibt es einige Organisationen, die nicht verpflichtet sind, den HIPAA-Datenschutzvorschriften zu folgen, wie private Arbeitgeber, Schulbezirke, Lebensversicherer und Strafverfolgungsbehörden.

Patientenrechte

Unter HIPAA hat ein Patient das Recht auf eine Kopie seiner medizinischen Unterlagen, Korrekturen an seinen Unterlagen hinzuzufügen, Berichte über die potenzielle Weitergabe und Nutzung von Unterlagen zu erhalten und die Erlaubnis für die Weitergabe der Unterlagen zu erteilen.

Beschwerden

Wenn ein Patient den Verdacht hat, dass eine abgedeckte Entität seine Privatsphäre oder die einer anderen Person verletzt hat, können Beschwerden beim OCR eingereicht werden. Die Behörde verlangt, dass Beschwerden schriftlich eingereicht werden – per Post, E-Mail oder Fax; die Organisation nennen, die des Verstoßes verdächtigt wird, und die Art des angeblichen Verstoßes beschreiben; und innerhalb von 180 Tagen nach dem angeblichen Verstoß eingereicht werden. Die 180-tägige Meldefrist kann verlängert werden, wenn der Beschwerdeführer „guten Grund“ für die Verzögerung nachweisen kann, so HHS.

Durchsetzung

Sobald eine Beschwerde über einen HIPAA-Verstoß eingereicht wurde, beginnt das OCR eine Untersuchung, indem es zunächst den Beschwerdeführer und die in der Beschwerde genannte abgedeckte Entität benachrichtigt. Das OCR hört sich beide an, sammelt Beweise und Informationen und entscheidet entweder für oder gegen den Beschwerdeführer. Wenn die abgedeckte Entität für einen Verstoß befunden wird, kann das OCR Korrekturmaßnahmen gegen die Entität ergreifen, was zu zivilrechtlichen Strafen führen kann, die an die US-Bundesregierung zu zahlen sind. Wenn das OCR die Handlungen der Entität als kriminell einstuft, kann der Fall dem Justizministerium zur weiteren Untersuchung übergeben werden.