HIPAA-Verstöße: Mitarbeiterkonsequenzen und rechtliche Implikationen

Einführung

HIPAA ist ein Gesetz, das Unternehmen, Ärzten, Arbeitgebern und Versicherungsgesellschaften erlaubt, private Gesundheitsinformationen auszutauschen, um die Bezahlung medizinischer Versorgung zu erleichtern und der Gesundheitsbranche zu ermöglichen, effizienter mit Krankenversicherungseinheiten zusammenzuarbeiten. Die Implikationen davon sind, dass Arbeitgeber (und ihre Mitarbeiter) Zugang zu Gesundheitsinformationen haben; der Missbrauch dieser Informationen zieht verwaltungsrechtliche, zivilrechtliche und strafrechtliche Sanktionen nach sich.

Absicht

Eine Absicht von HIPAA ist es, Standards für finanzielle und administrative Transaktionen zu entwickeln, um den effizienten elektronischen Austausch administrativer Gesundheitsinformationen zu ermöglichen. HIPAA beauftragt auch das Department of Health and Human Services, Vorschriften „in Bezug auf den Schutz personenbezogener Gesundheitsinformationen“ auszuarbeiten.

Beschäftigungsentscheidungen

Arbeitgebern ist es gemäß HIPAA-Vorschriften ausdrücklich untersagt, PHI (persönliche Gesundheitsinformationen) für Beschäftigungsentscheidungen zu verwenden. HIPAA erlaubt nur die Freigabe von PHI zum Zwecke der Bezahlung einer Versicherungsleistung, zur Bereitstellung medizinisch indizierter Behandlung und im Zusammenhang mit bestimmten „Gesundheitsbetrieben“, es sei denn, der Mitarbeiter erlaubt ausdrücklich Offenlegungen aus anderen Gründen.

Vergeltungsmaßnahmen

Gemäß HIPAA-Bestimmungen können Arbeitgeber nicht gegen einen ehemaligen Mitarbeiter vorgehen, der sich beschwert hat, dass sein Arbeitgeber die PHI-Freigaberegeln verletzt hat. Die Vorschriften, wie sie in HIPAA geschrieben sind, verbieten jede derartige Vergeltungsmaßnahme; jedoch sieht das Gesetz keine spezifischen Strafen für den Arbeitgeber oder ein „privates Klagerecht“ vor. Die einzige Möglichkeit, die einem ehemaligen Mitarbeiter bleibt, ist, eine Beschwerde bei der OCR (oben) einzureichen, wenn er glaubt, dass seine Privatsphärerechte verletzt wurden. Der ehemalige Mitarbeiter muss seine Beschwerde schriftlich „innerhalb von 180 Tagen nach dem Datum, an dem der Beschwerdeführer von der Verletzung wusste oder hätte wissen müssen“ einreichen.

Strafrechtliche Sanktionen

Ein Mitarbeiter, der die PHI eines anderen Mitarbeiters erhält oder diese persönlichen Informationen offenlegt, kann eine Geldstrafe von bis zu 50.000 $, eine Freiheitsstrafe von bis zu einem Jahr oder beides erhalten. Wenn ein Mitarbeiter HIPAA „wissentlich“ verletzt, kann er zu bis zu fünf Jahren Freiheitsstrafe, einer Geldstrafe von bis zu 100.000 $ oder beidem verurteilt werden. Eine Person, die HIPAA „wissentlich“ mit der Absicht verletzt, PHI zu verkaufen oder diese Information zu ihrem kommerziellen Vorteil zu nutzen, kann zu bis zu zehn Jahren Freiheitsstrafe, einer Geldstrafe von bis zu 250.000 $ oder beidem verurteilt werden.

Zivilrechtliche Sanktionen

Zivilrechtliche Sanktionen können für HIPAA-Verstöße verhängt werden. Das Office of Civil Rights kann eine Strafe von bis zu 100 $ für jeden Verstoß gegen jede „Person“ (Mitarbeiter) verhängen, die gegen HIPAA verstößt; die maximale Geldstrafe beträgt 25.000 $ für separate Vorfälle derselben Anforderung oder desselben Verstoßes. Diese Sanktionen können jedoch nicht verhängt werden, wenn der für die Verstöße verantwortliche Mitarbeiter nicht wusste, dass er gegen HIPAA verstößt, und trotz angemessener Sorgfalt nicht von der Verwicklung gewusst hätte, oder wenn das Compliance-Versagen nicht aus vorsätzlicher Vernachlässigung erfolgt und das Versagen innerhalb von 30 Tagen ab dem Zeitpunkt, als der verantwortliche Mitarbeiter wusste (oder hätte wissen müssen), dass er nicht den HIPAA-Vorschriften entsprochen hat, behoben wird.