Das Health Insurance Portability and Accountability Act (HIPAA) von 1996 wird vom Office for Civil Rights (OCR) unter dem US-Gesundheits- und Sozialministerium durchgesetzt. Die Archivierung im Homeoffice folgt, genau wie in einem großen Konzern, spezifischen Standards gemäß der Security Rule, um sicherzustellen, dass Informationen vertraulich behandelt werden und durch administrative, physische oder technische Schutzmaßnahmen klassifiziert werden können.
Administrative Schutzmaßnahmen
- Die Security Rule des OCR definiert administrative Schutzmaßnahmen als „administrative Maßnahmen sowie Richtlinien und Verfahren zur Verwaltung der Auswahl, Entwicklung, Implementierung und Wartung von Sicherheitsmaßnahmen zum Schutz elektronischer (oder schriftlicher) geschützter Gesundheitsinformationen (PHI).“ Richtlinien und Verfahren sind erforderlich, um Verletzungen durch unbefugte Nutzung von PHI zu verhindern und zu korrigieren. Eine benannte Person zur Entwicklung und Überwachung der Sicherheitsrichtlinien ist ebenfalls erforderlich. Eine weitere administrative Schutzmaßnahme besteht darin, sicherzustellen, dass nur geeignete Personen Zugriff auf PHI haben. Eine Person ohne Notwendigkeit, die Gesundheitsinformationen einer anderen Person zu nutzen, wie ein Ehepartner oder ein Kind, hat keinen Zugriff.
Physische Schutzmaßnahmen
- Die Security Rule des OCR definiert physische Schutzmaßnahmen als „physische Maßnahmen, Richtlinien und Verfahren zum Schutz der elektronischen Informationssysteme einer abgedeckten Einheit sowie der damit verbundenen Gebäude und Ausrüstung vor natürlichen und umweltbedingten Gefahren sowie unbefugtem Eindringen.“ Richtlinien und Verfahren sind erforderlich, um den Zugang zur Einrichtung, in der PHI gespeichert wird, einzuschränken. Türschlösser, abschließbare Aktenschränke und passwortgeschützter elektronischer Zugriff auf Aufzeichnungen sind Beispiele für eingeschränkten physischen Zugang. Arbeitsstationen wie Laptops und Desktop-Computer müssen bestimmte Funktionen erfüllen. Unbefugte Nutzung einer Arbeitsstation kann zur Kompromittierung von PHI durch einen Virusangriff oder einen Verstoß gegen vertrauliche Materialien führen. Eine weitere physische Schutzmaßnahme erfordert Richtlinien, die bestimmen, wie PHI auf einem elektronischen Gerät zerstört oder aus dem Homeoffice entfernt wird.
Technische Schutzmaßnahmen
- Die Security Rule des OCR definiert technische Schutzmaßnahmen als „die Technologie sowie die Richtlinien und Verfahren für deren Nutzung, die elektronische geschützte Gesundheitsinformationen schützen und den Zugriff darauf kontrollieren.“ Technische Schutzmaßnahmen werden erreicht, indem geregelt wird, wer Zugriff auf Informationen hat, indem Anmeldeanforderungen an Arbeitsstationen festgelegt werden. Software zur Überwachung, wer PHI auf einer Arbeitsstation einsehen darf, ist ebenfalls erforderlich.
