HIPAA-Compliance am Arbeitsplatz: Ein umfassender Leitfaden

HIPAA ist ein weit verbreitetes Akronym für The Health Insurance Portability and Accountability Act. Es wurde 1996 vom US-Kongress verabschiedet. Während es Versicherungsanbietern den Zugriff auf bestimmte Patientenkrankenakten ermöglicht, ist die primäre Funktion von HIPAA der Schutz der Privatsphäre persönlicher Gesundheitsinformationen (PHI). HIPAA berechtigt den Patienten auch, Fehler in seinen Krankenakten einzusehen und zu korrigieren, und hat viele Anwendungen am Arbeitsplatz.

Offenlegung von PHI gegenüber Arbeitgebern

• Laut Health Law Advocates hat ein Arbeitgeber nur in wenigen Fällen Anspruch auf die PHI eines Mitarbeiters. Die Informationen müssen verwendet werden, um Prämienangebote von Krankenversicherern einzuholen, den Gesundheitsplan des Arbeitgebers zu ändern oder für die Zwecke der Feststellung, ob eine Person aktiv an einem Gesundheitsplan teilnimmt.

Unter HIPAA müsste ein Mitarbeiter freiwillig andere PHI an einen Arbeitgeber freigeben. Andere Gesetze, wie der Family Medical Leave Act, könnten einen Arbeitgeber ermächtigen, die Offenlegung bestimmter PHI zu verlangen. Diese Gesetze sollten nicht mit HIPAA-Anforderungen verwechselt werden.

Offenlegung von PHI durch Arbeitgeber

• Im Allgemeinen verhindert HIPAA nur, dass bestimmte Einheiten PHI freigeben. Diese Einheiten umfassen Gesundheitsdienstleister, Abrechnungsstellen im Gesundheitswesen und Gesundheitspläne. Andere Einheiten und Personen sind nicht daran gehindert, PHI unter HIPAA freizugeben. Allerdings könnte Landesrecht etwas anderes vorschreiben.

Arbeitgeber verwalten manchmal ihre eigenen Gesundheitspläne. In diesen Fällen müssen Unternehmensmitarbeiter auf Patientenakten zugreifen, um den Plan zu betreiben. Laut Health Law Advocates dürfen nur die Mitarbeiter, die direkt an der Verwaltung des Gesundheitsplans beteiligt sind, auf die PHI anderer Mitarbeiter zugreifen. Der Zugriff auf PHI muss durch angemessene Schritte eingeschränkt werden, wie Passwörter, abgeschlossene Schubladen usw.

Strafen

• Personen, die HIPAA-Vorschriften unbewusst verletzen, sind einer Geldstrafe von 100 $ pro Verstoß und bis zu 50.000 $ für wiederholte Verstöße ausgesetzt. Diese Personen können auch zu bis zu einem Jahr Gefängnis verurteilt werden. Personen, die HIPAA wissentlich verletzen wollen, sind härteren Strafen ausgesetzt. Diejenigen, die HIPAA aus „kommerziellem Gewinn“ oder „böswilliger Absicht“ verletzen, können mit bis zu 250.000 $ Geldstrafe und bis zu 10 Jahren Gefängnis belegt werden.

Laut der American Medical Association und The Privacy Rights Clearinghouse können Privatpersonen nicht wegen einer Verletzung von Rechten im Zusammenhang mit HIPAA klagen. Diese Personen können jedoch Beschwerden einreichen. Sie können möglicherweise auch gemäß strengeren Landesgesetzen klagen.