HIPAA-Verstöße: Risiken, Strafen und Vermeidung

Das Health Insurance Portability and Accountability Act schützt die Privatsphäre von medizinischen Patienten. Typischerweise beinhaltet ein HIPAA-Verstoß, dass ein Arzt oder medizinischer Forscher die Krankengeschichte eines Patienten preisgibt. Da HIPAA ein Bundesgesetz ist, sind Verstöße im ganzen Land mit denselben Strafen belegt. Solche Strafen können hohe Geldstrafen und Gefängniszeit umfassen.

Zivilrechtliche Strafen

• Eine zivilrechtliche Strafe nach HIPAA gilt als Verstoß, der durch unwissentliches Preisgeben von Patienteninformationen erfolgte. Diese Art von Verstoß hat mehrere Schweregrade. Der geringste Schweregrad liegt vor, wenn eine Person Informationen unwissentlich preisgibt, obwohl sie darauf hingearbeitet hat, dass Patienteninformationen nicht durchsickern. Der schwerwiegendste liegt vor, wenn eine Person nicht wusste, dass sie Informationen preisgibt, aber anstatt aktiv zu versuchen, es zu stoppen, geschah der Leak aufgrund von vorsätzlicher Vernachlässigung der Situation. Die Strafen variieren auch, je nachdem, ob eine Person versucht hat, die Situation zu korrigieren.

  Bei einer zivilrechtlichen Strafe beträgt die Mindestgeldstrafe 100 US-Dollar pro Verstoß, die bis zu 25.000 US-Dollar pro Kalenderjahr wiederholt werden kann. Die Höchststrafe beträgt 50.000 US-Dollar pro Verstoß, die bis zu 1,5 Millionen US-Dollar in einem Kalenderjahr wiederholt werden kann.

Strafrechtliche Strafen

• Damit ein HIPAA-Verstoß als strafbar angesehen wird, muss die Person, die den Verstoß begangen hat, dies vorsätzlich und im vollen Verständnis der Implikationen des Preisgebens der Informationen getan haben.

  Wie bei den zivilrechtlichen Strafen gibt es auch bei strafbaren Verstößen verschiedene Schweregrade. Die Mindeststrafe beträgt 50.000 US-Dollar und bis zu einem Jahr Gefängnis. Fälle, die als böswillig eingestuft werden, wie wenn jemand medizinische Informationen mit der Absicht verkauft, einem Einzelnen zu schaden oder zum persönlichen Nutzen, sind mit einer Geldstrafe von bis zu 250.000 US-Dollar und bis zu 10 Jahren Gefängnis strafbar.

Durchsetzung der Strafen

• Das Justizministerium ist dafür zuständig, die Definition des Gesetzes zu klären, wie zum Beispiel welche Strafen als zivilrechtlich und welche als strafbar angesehen werden können. Sobald das Gesetz in Kraft ist, ist das Office for Civil Rights, ein Büro im Gesundheits- und Sozialministerium, dafür verantwortlich, das Strafmaß in einem bestimmten Fall zu bestimmen. Um eine HIPAA-Untersuchung einzuleiten, muss ein Patient eine Beschwerde beim OCR einreichen, wo jede Beschwerde von OCR oder dem Justizministerium im Einzelfall untersucht wird.