Zum Schutz der Privatsphäre und Sicherheit von geschützten Gesundheitsinformationen (PHI) verlangt HIPAA von abgedeckten Einheiten und Business Associates, Schutzmaßnahmen in drei Bereichen zu implementieren, die Vertraulichkeit, Integrität und Verfügbarkeit gewährleisten.
Physische Schutzmaßnahmen (§164.310)
- Einrichtungszugangskontrollen: Physische Zugriffsbeschränkung auf PHI-haltige Bereiche (Badge-Zugang, Besucherbücher, Sicherheit)
- Arbeitsplatznutzung & -sicherheit: Richtlinien für ordnungsgemäße Nutzung, Bildschirmpositionierung, automatische Abmeldung, Gerätesperre
- Geräte- & Medienkontrollen: Entsorgung, Wiederverwendung, Verantwortlichkeit und Datenentfernung für Hardware/Medien mit PHI
Technische Schutzmaßnahmen (§164.312)
- Zugriffskontrolle: Einzigartige Benutzer-IDs, Notfallzugriffsverfahren, automatische Abmeldung, Verschlüsselung/Entschlüsselung
- Audit-Kontrollen: Hardware/Software/Mechanismen zur Aufzeichnung und Prüfung von Aktivitäten in Systemen mit PHI
- Integritätskontrollen: Schutz von PHI vor unsachgemäßer Änderung oder Zerstörung (Prüfsummen, digitale Signaturen)
- Übertragungssicherheit: Verschlüsselung von PHI während der Übertragung (TLS 1.2+); Integritätskontrollen für elektronische Übertragung
Administrative Schutzmaßnahmen (§164.308)
- Sicherheitsbeauftragtenzuweisung: Benannte Person verantwortlich für Richtlinien/Verfahren
- Mitarbeiterschulung: Regelmäßige, rollenbasierte Schulung zu Datenschutz-/Sicherheitsrichtlinien und -verfahren
- Risikoanalyse: Periodische, umfassende Risikobewertung (mindestens jährlich, plus anlassbezogene Überprüfungen)
- Risikomanagement: Implementierung von Minderungsmaßnahmen für identifizierte Risiken
- Sanktionsrichtlinie: Konsequenzen für Mitarbeiterverstöße
- Informationssystemaktivitätsüberprüfung: Regelmäßige Audit-Log-Überprüfung
- Notfallplan: Datensicherung, Katastrophenwiederherstellung, Notfallbetrieb, Testung
- Business Associate Agreements (BAAs): Erforderlich für alle Anbieter, die PHI verarbeiten
Zusätzliche Anforderungen
- Datenschutzverletzungsmeldung: <60 Tage für Verstöße, die ≥500 Personen betreffen; jährlich für kleinere Verstöße
- De-Identifizierung: Safe Harbor (18 Identifikatoren entfernt) oder Expert Determination Methoden
- Regelmäßige Audits & Compliance-Überwachung: Intern und extern
Die Implementierung dieser Schutzmaßnahmen schützt PHI vor Bedrohungen, Verletzungen und unbefugtem Zugriff bei gleichzeitiger Aufrechterhaltung der HIPAA-Compliance.
