HIPAA-Sicherheitsbeauftragter: Schutz von Patientendaten und Compliance-Gewährleistung

Ein HIPAA-Sicherheitsbeauftragter ist dafür verantwortlich, sensible Gesundheitsdaten vor unbefugter Nutzung zu schützen. Diese Führungsposition auf Managementebene entstand mit dem Inkrafttreten der Datenschutz- und Sicherheitsstandards des Health Insurance Portability and Accountability Act (HIPAA) von 1996.

Hintergrund

Der Sicherheitsstandard verpflichtet Krankenhäuser, Krankenkassen und Abrechnungsstellen im Gesundheitswesen, einen Beauftragten zu benennen, der die Bemühungen zum Schutz von Gesundheitsdaten leitet, die für die Abrechnungsbearbeitung und andere routinemäßige Abläufe erstellt, gespeichert und übermittelt werden. Die von der U.S. Department of Health & Human Services (HHS) erarbeitete Regel trat im April 2003 in Kraft. Mit der zunehmenden elektronischen Übermittlung von Gesundheitsdaten können die Aufgaben eines HIPAA-Sicherheitsbeauftragten unter die umfassendere Rolle des Gesundheits-IT-Beauftragten einer Organisation fallen.

Gehalt

Die Vergütung hängt von der Größe, Art und dem Grad der Abhängigkeit der Organisation von Informationstechnologie ab. Laut dem U.S. Department of Labor, Bureau of Labor Statistics, betrug das Median-Gehalt für einen Gesundheitsdienstmanager mit diesen Verantwortlichkeiten im Mai 2008 80.240 US-Dollar. Die mittleren 50 Prozent verdienten zwischen 62.170 und 104.120 US-Dollar. Die untersten 10 Prozent verdienten weniger als 48.300 US-Dollar, die obersten 10 Prozent mehr als 137.800 US-Dollar, so das BLS.

Verantwortlichkeiten

Das Leitprinzip für den Austausch von Gesundheitsdaten ist die „minimum necessary“-Regel von HIPAA. Sie verlangt, dass Gesundheitsorganisationen nur den Mindestbetrag an Patienteninformationen offenlegen, der für jeden bestimmten Zweck erforderlich ist. Der HIPAA-Sicherheitsbeauftragte muss administrative Verfahren entwickeln, physische Schutzmaßnahmen festlegen und technologische Lösungen gemäß diesem Konzept implementieren, so die HHS-Richtlinien.

Administrative Verfahren

Drei fortlaufende Verantwortlichkeiten erfordern, dass der Beauftragte das Risiko einer unbefugten Offenlegung von Patientendaten bewertet, Richtlinien für die Datenverarbeitung festlegt und Notfallpläne entwickelt. Ein HIPAA-Sicherheitsbeauftragte muss Richtlinien erstellen, die festlegen, wie viel Informationen jedem Gesundheitsfachpersonal je nach Rolle oder Rang zur Verfügung gestellt werden. Zudem muss der Beauftragte sicherstellen, dass Mitarbeiter Schulungen zum Sicherheitsbewusstsein erhalten und Sanktionen für Verstöße gegen Sicherheitsrichtlinien festgelegt werden, so HHS.

Physische Schutzmaßnahmen

Ein HIPAA-Sicherheitsbeauftragter muss Richtlinien für die Gewährung und Einschränkung des Zugangs zu den Gebäuden, Arbeitsplätzen, der Hardware, Software und Datendateien der Organisation entwickeln. Physische Schutzmaßnahmen für Patientendaten umfassen auch die Richtlinie der Organisation zur Entsorgung alter Medien, beispielsweise Computerfestplatten, die Patientendaten enthalten. Neben der Platzierung von Arbeitsplätzen und Computerterminals kann der Sicherheitsbeauftragte auch Richtlinien für den Umzug von Mitarbeitern, entfernte Terminals und die Beendigung des Datenzugriffs entwickeln, so HHS.

Technische Schutzmaßnahmen

Technische Schutzmaßnahmen umfassen die Bewertung von Computersystemen, um sicherzustellen, dass sie über geeignete Sicherheitsfunktionen verfügen, einschließlich Technologie, die jeden Zugriffsversuch auf Gesundheitsdaten aufzeichnet, und die Festlegung eines Vorgehens für Sicherheitsverstöße. Die Bestimmung der Hardware und Software, die die Organisation zur Aufrechterhaltung einer „eindeutigen Kennung“ für jeden Mitarbeiter verwendet, sowie die Einrichtung automatischer Abmeldefunktionen an Computerterminals, wie es die Sicherheitsregel verlangt, gehören ebenfalls zu den Aufgaben eines HIPAA-Sicherheitsbeauftragten.