PHI = individuell identifizierbare Gesundheitsinformationen, die von abgedeckten Entitäten (Anbieter, Pläne, Clearingstellen) oder Business Associates gehalten/übermittelt werden.
Erlaubte Offenlegungen (keine Autorisierung erforderlich)
- Behandlung: Weitergabe an andere Anbieter zur Versorgungsabstimmung.
- Zahlung: Abrechnung mit Versicherern, Schadensbearbeitung, Anspruchsberechtigungsprüfung.
- Gesundheitswesen-Operationen: Qualitätsverbesserung, Training, Akkreditierung, Compliance.
- Öffentliche Gesundheit: Krankheitsmeldung, Vitalstatistiken, FDA-Nebenwirkungen.
- Strafverfolgung: Gerichtsbeschlüsse, Durchsuchungsbeschlüsse, Identifizierung von Verdächtigen/Opfern (eingeschränkt).
- Missbrauch/Vernachlässigung: Pflichtmeldung (Kinder, ältere Menschen, schutzbedürftige Erwachsene).
- Leichenbeschauer/Medizinische Untersucher, Organspende, Forschung (IRB-erlassen), Arbeitsunfallversicherung.
Offenlegungen, die eine Patientenautorisierung erfordern
- Die meisten nicht-behandlungs-/zahlungs-/betriebsbezogenen Nutzungen (Marketing, Forschung, Lebensversicherung, Arbeitgeber).
- Psychotherapie-Notizen (besonderer Schutz).
- Verkauf von PHI.
Patientenrechte
- Einsicht und Kopie eigener Unterlagen (30 Tage, eine 30-tägige Verlängerung).
- Änderungsantrag stellen.
- Abrechnung der Offenlegungen (6 Jahre).
- Einschränkungsantrag (nicht verpflichtet zuzustimmen, außer bei Selbstzahlung in voller Höhe).
- Vertrauliche Kommunikation (alternative Adresse/Telefon).
- Beschwerde beim OCR (HHS).
Minimum-Necessary-Standard
Abgedeckte Entitäten müssen PHI auf das für den beabsichtigten Zweck notwendige Minimum beschränken (außer Behandlung, Patienteneinsicht, HIPAA-geboten).
Datenschutzverletzungsmeldung
- Verletzung ungesicherter PHI → Benachrichtigung von Personen, HHS, Medien (wenn >500 betroffen in Staat/ Gerichtsbarkeit) innerhalb von 60 Tagen.
