HIPAA-Konformität: Veröffentlichung von Patienteninformationen verstehen

Was ist HIPAA?

Das Health Insurance Portability and Accountability Act (HIPAA) regelt die Regeln und Richtlinien für die Nutzung und Weitergabe persönlicher Gesundheitsinformationen von Patienten – auch als „geschützte Gesundheitsinformationen“ bekannt. Bundes- und Landesgesetze sowie individuelle Krankenhausrichtlinien legen oft strengere Standards fest als die HIPAA-Datenschutzvorschriften. Das strengste Gesetz oder die strengste Richtlinie im jeweiligen Vergleich wird stets eingehalten und umgesetzt.

Rechte der Patienten

Gemäß HIPAA müssen Patienten darüber informiert werden, wie ihre persönlichen Gesundheitsdaten genutzt werden. Sie haben das Recht, der Nutzung oder Weitergabe ihrer Informationen zu widersprechen, und dürfen entscheiden, wie die Veröffentlichung und Nutzung ihrer privaten Gesundheitsdaten eingeschränkt wird. Krankenhäuser dürfen persönliche Gesundheitsdaten eines Patienten ohne dessen Einwilligung nutzen und offenlegen – und zwar in den Fällen von Behandlung, Abrechnung und Gesundheitsversorgungsoperationen. Zudem können gemäß den HIPAA-Datenschutzvorschriften und speziellen Bestimmungen begrenzte Informationen über einen Patienten ohne dessen Einwilligung herausgegeben werden, wenn jemand den Patienten namentlich anfragt.

Krankenhausverzeichnis

Die folgenden Informationen können in ein Krankenhausverzeichnis aufgenommen werden, wenn der Patient nicht widerspricht: Name des Patienten, genauer Standort innerhalb der behandelnden Gesundheitseinrichtung, allgemeiner Gesundheitszustand ohne spezifische Angaben zum Patienten sowie religiöse Zugehörigkeit (nur an Geistliche herausgegeben, die den Patienten nicht namentlich anfragen müssen). Diese Informationen dienen ausschließlich Verzeichniszwecken und können Geistlichen oder jeder anderen Person zur Verfügung stehen, die den Patienten namentlich anfragt.

Gesundheitszustand des Patienten

Der Zustand eines Patienten kann innerhalb der von den HIPAA-Datenschutzvorschriften festgelegten Grenzen verfügbar gemacht werden. Wird ein Patient namentlich angefragt, kann eine allgemeine Beschreibung des Zustands veröffentlicht werden, ohne dass spezifische Informationen über den Patienten preisgegeben werden. Informationen über Minderjährige (Kinder unter 18 Jahren) dürfen gemäß den HIPAA-Richtlinien nur mit Zustimmung eines Elternteils oder gesetzlichen Vertreters veröffentlicht werden.

Notfälle

In Notsituationen, in denen Patienten der Nutzung oder Einschränkung ihrer Gesundheitsinformationen in Krankenhausverzeichnissen nicht widersprechen können – weil sie eine Notfallbehandlung benötigen oder nicht einwilligungsfähig sind – sehen die Datenschutzvorschriften Ausnahmen für die Nutzung oder Offenlegung dieser Informationen im Krankenhausverzeichnis vor. Dies ist nur zulässig, wenn es mit den bekannten Präferenzen des Patienten vereinbar ist oder im besten Interesse des Patienten und im Rahmen des beruflichen Ermessens des abgedeckten Gesundheitsdienstleisters erfolgt. Beide Fälle müssen zutreffend sein, damit Patienteninformationen gemäß HIPAA im Krankenhausverzeichnis verfügbar gemacht werden können. Einige Bundesstaaten haben Einschränkungen, die die Veröffentlichung jeglicher Informationen über den Status von HIV/AIDS-Patienten nicht zulassen. Auch Informationen über Patienten in Drogen- oder Alkoholbehandlungsprogrammen (ob sie nun an einem Programm teilnehmen oder nicht) sind nicht gestattet. Rettungsdienste und Krankenwagenunternehmen sind ebenfalls durch HIPAA-Vorschriften bezüglich Patienteninformationen eingeschränkt.

Katastrophenhilfe und Todesfall

In Katastrophenhilfesituationen dürfen Krankenhäuser und andere abgedeckte Stellen Gesundheitsinformationen über einen Patienten an öffentliche und private Stellen weitergeben, die gesetzlich berechtigt sind, bei Katastrophenhilfsmaßnahmen zu unterstützen, um Dienste zu koordinieren und die direkt für die Pflege des Patienten verantwortlichen Personen zu kontaktieren. Dazu gehören Familienmitglieder und persönliche Vertreter. Krankenhäuser sind gesetzlich verpflichtet, den Tod eines Patienten zu melden. Informationen über den Tod eines Patienten werden veröffentlicht, nachdem versucht wurde, Familienmitglieder/Angehörige zu benachrichtigen. Ein gesetzlicher Vertreter oder der Nächstangehörige des Verstorbenen muss der Veröffentlichung solcher Informationen, wie der Todesursache, zustimmen, bevor das Krankenhaus sie an die Öffentlichkeit weitergeben darf.