HIPAA-Datenschutzregel: Allgemeiner Grundsatz
Abgedeckte Einheiten müssen vor der Offenlegung geschützter Gesundheitsinformationen (PHI) an Dritte, einschließlich anderer Anbieter, eine schriftliche Autorisation des Patienten einholen – es sei denn, eine Ausnahme gilt.
Wichtige Ausnahme: Behandlungszwecke
§164.506(c)(2): Eine abgedeckte Einheit darf PHI für Behandlungsaktivitäten eines anderen Anbieters ohne Autorisation offenlegen. Dies umfasst:
- Überweisung an Spezialisten.
- Konsultation zwischen Anbietern.
- Übertragung der Versorgung (Krankenhaus zu Pflegeheim, Hausarzt zu Spezialisten).
- Versorgungskoordination (z. B. PCMH, ACO).
Bedingung: Die Offenlegung muss für die Behandlung des Empfängers des Individuums sein. Nicht für Marketing, Forschung oder Beschäftigung.
Andere häufige Ausnahmen (keine Autorisation erforderlich)
- Zahlung (Abrechnung, Inkasso).
- Gesundheitsversorgungsoperationen (Qualität, Schulung, Akkreditierung).
- Öffentliche Gesundheitsberichterstattung (infektiöse Krankheiten, Vitalstatistiken).
- Strafverfolgung (spezifische Umstände).
- Notfall / drohende Gefahr.
- Gerichtliche/verwaltungsrechtliche Verfahren (Gerichtsbeschluss, Vorladung mit Ankündigung).
„Minimum Necessary“-Standard
Selbst wenn eine Offenlegung zulässig ist, sollte nur das notwendige Minimum an PHI für den angegebenen Zweck geteilt werden.
Patientenrechte
- Einschränkung von Offenlegungen beantragen (Anbieter nicht verpflichtet zuzustimmen, außer bei Selbstzahlung in voller Höhe).
- Vertrauliche Kommunikation beantragen (alternative Adresse/Telefon).
- Eigenen Akteneinsicht (§164.524).
- Abrechnung von Offenlegungen.
- Beschwerde bei OCR (HHS) einreichen.
Best Practice für Anbieter
- Identität des anfragenden Anbieters verifizieren.
- Behandlungszweck bestätigen.
- Nur relevante Aufzeichnungen senden (nicht die gesamte Akte, es sei denn, erforderlich).
- Sicheres Fax, verschlüsselte E-Mail, Gesundheitsinformationsaustausch (HIE) oder Patientenportal verwenden.
- Offenlegung im Abrechnungsprotokoll dokumentieren.
