Was ist HIPAA-Compliance?

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-amerikanisches Gesetz, das Datenschutz- und Sicherheitsbestimmungen zum Schutz medizinischer Informationen enthält. Es wurde 1996 mit zwei Hauptzielen in Kraft gesetzt: die Gewährleistung eines kontinuierlichen Krankenversicherungsschutzes für Arbeitnehmer, die ihren Arbeitsplatz verlieren oder wechseln, und die Verringerung des Verwaltungsaufwands und der Kosten im Gesundheitswesen durch die Standardisierung der elektronischen Übermittlung von administrativen und finanziellen Transaktionen. Weitere Ziele des HIPAA sind die Bekämpfung von Missbrauch, Betrug und Verschwendung in der Krankenversicherung und der Gesundheitsversorgung.

Unter HIPAA-Compliance versteht man den Prozess, der sicherstellt, dass Ihr Unternehmen die Regeln des HIPAA einhält. Diese Regeln dienen dem Schutz der Privatsphäre und der Sicherheit von Gesundheitsdaten. Dies kann alles umfassen, von Patientenakten bis hin zu Zahlungsinformationen. Die Nichteinhaltung kann zu hohen Geldstrafen und Bußgeldern führen, so dass es für jede Organisation, die mit geschützten Gesundheitsinformationen (PHI) zu tun hat, von entscheidender Bedeutung ist, die Einhaltung der Vorschriften zu gewährleisten.

HIPAA verstehen

Das HIPAA-Gesetz ist in zwei Hauptabschnitte unterteilt: Titel I und Titel II. Titel I des HIPAA schützt den Krankenversicherungsschutz für Personen, die ihren Arbeitsplatz verlieren oder wechseln. Außerdem verbietet es Gruppen-Krankenversicherungen, Personen mit bestimmten Krankheiten und Vorerkrankungen den Versicherungsschutz zu verweigern und lebenslange Deckungssummen festzulegen. Titel II des HIPAA, bekannt als die Bestimmungen zur Verwaltungsvereinfachung (Administrative Simplification - AS), verlangt die Festlegung nationaler Standards für elektronische Transaktionen im Gesundheitswesen und nationaler Identifikatoren für Anbieter, Krankenversicherungspläne und Arbeitgeber.

Die AS-Bestimmungen befassen sich auch mit der Sicherheit und dem Datenschutz von Gesundheitsdaten. Die Standards sollen die Effizienz und Effektivität des nationalen Gesundheitssystems verbessern, indem sie den weit verbreiteten Einsatz des elektronischen Datenaustauschs im US-Gesundheitssystem fördern.

Die Datenschutzrichtlinie

Die Privacy Rule, ein wichtiger Teil des HIPAA, legt nationale Standards fest, wann geschützte Gesundheitsinformationen (PHI) verwendet und weitergegeben werden dürfen. Sie gibt den Patienten Rechte in Bezug auf ihre Gesundheitsinformationen und legt Regeln und Grenzen dafür fest, wer die Gesundheitsinformationen eines Patienten einsehen und erhalten darf. Die Privacy Rule gilt für alle Formen von geschützten Gesundheitsinformationen, ob elektronisch, schriftlich oder mündlich.

Gemäß der Privacy Rule müssen die betroffenen Einrichtungen (zu denen Gesundheitspläne, Clearingstellen für das Gesundheitswesen und bestimmte Gesundheitsdienstleister gehören) Sicherheitsvorkehrungen zum Schutz von Patientendaten treffen. Sie müssen die Verwendung und Weitergabe von Daten auf das zur Erreichung des beabsichtigten Zwecks erforderliche Minimum beschränken. Sie müssen Verträge mit ihren Vertragspartnern und anderen Personen abschließen, die sicherstellen, dass diese die Patientendaten ordnungsgemäß verwenden und weitergeben und sie angemessen schützen. Die betroffenen Unternehmen müssen auch über Verfahren verfügen, die den Zugriff auf Patientendaten einschränken und Schulungsprogramme für Mitarbeiter zum Schutz von Patientendaten durchführen.

Die Sicherheitsvorschrift

Die Security Rule, ein weiterer Teil des HIPAA, legt Standards für die Sicherheit von Patientendaten fest. Sie legt eine Reihe von administrativen, physischen und technischen Sicherheitsvorkehrungen fest, die von den betroffenen Einrichtungen anzuwenden sind, um die Vertraulichkeit, Integrität und Verfügbarkeit elektronischer geschützter Gesundheitsinformationen (ePHI) zu gewährleisten. Diese Regeln gelten für Gesundheitspläne, Clearingstellen für das Gesundheitswesen und alle Gesundheitsdienstleister, die Gesundheitsdaten in elektronischer Form übermitteln.

Gemäß der Sicherheitsrichtlinie müssen die betroffenen Unternehmen technische Richtlinien und Verfahren einführen, die nur autorisierten Personen den Zugang zu elektronischen geschützten Gesundheitsinformationen (ePHI) ermöglichen. Sie müssen außerdem Hardware, Software und/oder Verfahrensmechanismen implementieren, um Zugriffe und andere Aktivitäten in Informationssystemen, die ePHI enthalten oder nutzen, aufzuzeichnen und zu überprüfen. Darüber hinaus müssen sie Maßnahmen zum Schutz vor vernünftigerweise zu erwartenden Bedrohungen oder Gefahren für die Sicherheit oder Integrität von ePHI ergreifen.

HIPAA-Anforderungen

Die Einhaltung des HIPAA beinhaltet die Erfüllung der Anforderungen des HIPAA und der dazugehörigen Vorschriften, der Privacy Rule, der Security Rule und der Breach Notification Rule. Diese Regeln verlangen von den betroffenen Einrichtungen, dass sie verschiedene Schutzmaßnahmen zum Schutz von PHI ergreifen, einschließlich administrativer, physischer und technischer Schutzvorkehrungen. Darüber hinaus müssen die betroffenen Einrichtungen einen Compliance-Beauftragten haben und ihre Mitarbeiter in der Einhaltung des HIPAA schulen.

Administrative Sicherheitsvorkehrungen umfassen die Auswahl, Entwicklung, Umsetzung und Pflege von Sicherheitsmaßnahmen zum Schutz von PHI und zur Steuerung des Verhaltens der Mitarbeiter der betroffenen Einrichtung in Bezug auf den Schutz dieser Informationen. Physische Schutzmaßnahmen umfassen physische Maßnahmen, Richtlinien und Verfahren zum Schutz der elektronischen Informationssysteme einer betroffenen Einrichtung und der zugehörigen Gebäude und Geräte vor natürlichen und umweltbedingten Gefahren sowie vor unbefugtem Eindringen. Technische Sicherheitsvorkehrungen umfassen die Technologie und die Richtlinien und Verfahren für ihre Verwendung, die PHI schützen und den Zugang zu ihnen kontrollieren.

Hinweis auf Datenschutzpraktiken

Als Teil der HIPAA-Compliance sind die betroffenen Einrichtungen verpflichtet, eine Mitteilung über die Datenschutzpraktiken (NPP) bereitzustellen. Die NPP muss die Art und Weise beschreiben, in der die betroffene Einrichtung PHI verwenden und offenlegen kann. Er muss auch die Pflichten der betroffenen Einrichtung zum Schutz der Privatsphäre, zur Bereitstellung eines Hinweises auf Datenschutzpraktiken und zur Einhaltung der Bedingungen des aktuellen Hinweises darlegen. Die NPP muss auch die Rechte des Einzelnen beschreiben, einschließlich des Rechts, sich beim HHS und bei der betroffenen Einrichtung zu beschweren, wenn sie glauben, dass ihre Datenschutzrechte verletzt wurden.

Der NPP muss jeder Person spätestens am Tag der ersten Leistungserbringung zur Verfügung gestellt werden. Außer in Notfallsituationen muss sich die betroffene Einrichtung nach Treu und Glauben bemühen, eine schriftliche Bestätigung der Person über den Erhalt der Mitteilung zu erhalten. Wenn eine Bestätigung nicht eingeholt werden kann, muss die betroffene Einrichtung ihre Bemühungen um die Bestätigung und den Grund, warum die Bestätigung nicht eingeholt wurde, dokumentieren.

Business Associate-Vereinbarungen

Eine weitere Voraussetzung für die Einhaltung des HIPAA ist die Erstellung von Business Associate Agreements (BAAs). Ein BAA ist ein Vertrag zwischen einer HIPAA-abgedeckten Einrichtung und einem HIPAA-Geschäftspartner (BA). Der Vertrag schützt PHI in Übereinstimmung mit den HIPAA-Richtlinien. Wenn eine betroffene Einrichtung einen Auftragnehmer oder einen anderen Nicht-Mitarbeiter einsetzt, um "Geschäftspartner"-Dienstleistungen oder -Aktivitäten durchzuführen, verlangt die Regel, dass die betroffene Einrichtung bestimmte Schutzmaßnahmen für die Informationen in eine Geschäftspartnervereinbarung aufnimmt.

In der Vereinbarung über die Geschäftspartnerschaft muss eine betroffene Einrichtung bestimmte schriftliche Schutzmaßnahmen für die individuell identifizierbaren Gesundheitsdaten vorsehen, die von ihren Geschäftspartnern verwendet oder weitergegeben werden. Darüber hinaus darf eine betroffene Einrichtung ihre Geschäftspartner nicht vertraglich ermächtigen, geschützte Gesundheitsdaten zu verwenden oder weiterzugeben, die gegen die Richtlinie verstoßen würden.

Durchsetzung und Sanktionen bei Nichteinhaltung

Das Office for Civil Rights (OCR) setzt die HIPAA Privacy Rule und die HIPAA Security Rule durch. Das OCR untersucht Beschwerden, die bei ihm eingereicht werden, und führt Compliance-Prüfungen durch, um festzustellen, ob die betroffenen Einrichtungen die Vorschriften einhalten. Darüber hinaus sorgt sie für Aufklärung und Information, um die Einhaltung der Vorschriften zu fördern. Das OCR arbeitet auch mit dem Justizministerium zusammen, um mögliche strafrechtliche Verstöße gegen die Vorschriften aufzudecken.

Die Strafen für die Nichteinhaltung des HIPAA können schwerwiegend sein. Die Strafen für die Nichteinhaltung richten sich nach dem Grad der Fahrlässigkeit und können zwischen $100 und $50.000 pro Verstoß (oder pro Datensatz) liegen, mit einer Höchststrafe von $1,5 Millionen pro Jahr für Verstöße gegen eine identische Bestimmung. Verstöße können auch strafrechtlich geahndet werden, was zu Gefängnisstrafen führen kann.

Reklamationen

Personen, die der Meinung sind, dass eine betroffene Einrichtung ihre Datenschutzrechte (oder die einer anderen Person) verletzt hat oder einen anderen Verstoß gegen die Datenschutz-, Sicherheits- oder Benachrichtigungsvorschriften begangen hat, können beim OCR eine Beschwerde einreichen. Beschwerden müssen schriftlich eingereicht werden, entweder auf Papier oder elektronisch, und sie müssen die Einrichtung benennen, von der angenommen wird, dass sie die Rechte verletzt hat, und die Handlungen oder Unterlassungen beschreiben, von denen angenommen wird, dass sie gegen die geltenden Anforderungen verstoßen.

OCR kann jede Beschwerde untersuchen, die im Rahmen dieses Verfahrens eingereicht wird. Eine Beschwerde wegen Vergeltung kann jedoch unabhängig davon eingereicht werden, wann die Vergeltungsmaßnahme stattgefunden hat. Die OCR kann auch eine Überprüfung der Einhaltung der Vorschriften einleiten, um eine betroffene Einrichtung zu untersuchen.

Strafen

Die Strafen für die Nichteinhaltung des HIPAA können schwerwiegend sein. Die Strafen für die Nichteinhaltung richten sich nach dem Grad der Fahrlässigkeit und können zwischen $100 und $50.000 pro Verstoß (oder pro Datensatz) liegen, mit einer Höchststrafe von $1,5 Millionen pro Jahr für Verstöße gegen eine identische Bestimmung. Verstöße können auch strafrechtlich geahndet werden, was zu Gefängnisstrafen führen kann.

Es gibt vier Kategorien von Verstößen, die ein zunehmendes Maß an Schuld widerspiegeln, und vier entsprechende Stufen von Strafbeträgen, mit einer Höchststrafe von $1,5 Millionen pro Jahr für Verstöße gegen eine identische Bestimmung. In einigen Fällen können Personen, die wissentlich personenbezogene Gesundheitsdaten unter Verstoß gegen die Datenschutzbestimmungen erlangen oder weitergeben, mit einer Strafe von bis zu $50.000 und einer Freiheitsstrafe von bis zu einem Jahr belegt werden. Die strafrechtlichen Sanktionen erhöhen sich auf $100.000 und bis zu fünf Jahre Haft, wenn das unrechtmäßige Verhalten eine Vortäuschung falscher Tatsachen beinhaltet, und auf $250.000 und bis zu zehn Jahre Haft, wenn das unrechtmäßige Verhalten die Absicht beinhaltet, identifizierbare Gesundheitsinformationen zu verkaufen, weiterzugeben oder für einen kommerziellen Vorteil, persönlichen Gewinn oder böswilligen Schaden zu verwenden.

Fazit

Die Einhaltung des HIPAA ist ein wichtiger Aspekt des Gesundheitswesens in den Vereinigten Staaten. Angesichts der zunehmenden Digitalisierung von Gesundheitsakten und des hohen Werts von Gesundheitsinformationen für böswillige Akteure ist die Gewährleistung des Datenschutzes und der Sicherheit von Patientendaten wichtiger denn je. Indem sie die Anforderungen des HIPAA verstehen und einhalten, können Gesundheitsorganisationen ihre Patienten besser schützen und die erheblichen Strafen vermeiden, die bei Nichteinhaltung drohen.

Bitte beachten Sie, dass dieser Artikel zwar einen umfassenden Überblick über die Einhaltung des HIPAA gibt, aber nicht erschöpfend ist. HIPAA ist eine komplexe Gesetzgebung mit vielen Nuancen und Besonderheiten, die den Rahmen dieses Artikels sprengen würden. Es wird daher empfohlen, dass Organisationen des Gesundheitswesens sich von Rechts- und Compliance-Experten beraten lassen, um sicherzustellen, dass sie alle Aspekte des HIPAA vollständig einhalten.