Der Health Insurance Portability and Accountability Act (HIPAA) schreibt Schutzmaßnahmen für geschützte Gesundheitsinformationen (PHI) vor – jede Gesundheitsinformation, die mit einer Person verknüpft ist.
Drei Schutzmaßnahmenkategorien
- Administrativ: Richtlinien/Verfahren für PHI-Nutzung/-offenlegung, Mitarbeiterschulung, Zugriffsmanagement, Notfallpläne, Business-Associate-Verträge.
- Physisch: Zutrittskontrolle zu Einrichtungen, Arbeitsplatz-/Gerätesicherheit, Medienentsorgung, Hardware-Inventur.
- Technisch: Zugriffskontrolle (eindeutige IDs, Verschlüsselung), Audit-Kontrollen, Integritätskontrollen, Übertragungssicherheit (Verschlüsselung, TLS).
Business-Associate-Verträge (BAAs)
Erforderlich mit allen Dritten, die auf PHI zugreifen. BAAs binden sie an die HIPAA-Compliance.
Individuelle Rechte
- Eigenes PHI einsehen
- Änderungen beantragen
- Einschränkungen der Nutzung/Offenlegung beantragen
- Offlegungsnachweis erhalten
- Beschwerde beim HHS Office for Civil Rights einreichen
Abgedeckte Einheiten (Anbieter, Pläne, Clearingstellen) müssen alle drei Schutzmaßnahmentypen implementieren. Nichteinhaltung birgt erhebliche Strafen.
