Sie gehen wahrscheinlich davon aus, dass Ihre Krankenakten ein Geheimnis zwischen Ihnen und Ihrem Arzt sind. Das ist ein tröstlicher Gedanke. Es ist auch weitgehend falsch.
Ihre Gesundheitsdaten, Versicherungsdetails und Finanzinformationen sind für eine lange Reihe von Unternehmen sichtbar, nach deren Einsicht Sie wahrscheinlich nie gefragt haben. Der Health Insurance Portability Act and Accountability Act (HIPAA) von 1996 schuf dafür den nationalen Rahmen. Es hat den Zugriff nicht gestoppt. Es hat nur versucht, es zu kontrollieren.
Gemäß HIPAA haben Sie Rechte. Sie können Kopien Ihrer Unterlagen anfordern. Sie können Berichtigungen verlangen. Sie können bestimmte Nutzungen einschränken. Sie können sehen, wer sonst noch gesucht hat. Aber Sehen ist nicht dasselbe wie Anhalten. Ein Account Manager, der Ihre Berechtigung auf einem Computer überprüft, hat Zugriff. Sie sind nicht Ihr Arzt. Aber sie sind im System.
Wer sieht eigentlich Ihre Gesundheitsdaten?
Das Gesetz verwendet einen spezifischen Begriff für Parteien mit legitimem Zugriff: gedeckte Unternehmen.
Das sind nicht nur Ärzte. Dazu gehören:
– Gesundheitsdienstleister (Krankenhäuser, Kliniken, Apotheken, Zahnärzte)
– Krankenversicherungen (Versicherungsgesellschaften, HMOs, Medicare, Medicaid)
– Clearingstellen für das Gesundheitswesen
– Dritte Geschäftspartner (Abrechnungsunternehmen, Schadensabwickler, IT-Spezialisten)
Diese Unternehmen müssen die HIPAA-Regeln einhalten. Das bedeutet, dass sie gesetzlich verpflichtet sind, Ihre Daten vertraulich und sicher zu behandeln. Scheitern sie, drohen ihnen Strafen. Das Bürgerrechtsbüro des US-Gesundheitsministeriums unterhält eine „Wall of Shame“ für Verstöße, von denen pro Vorfall mehr als 500 Menschen betroffen sind. Dank des HITECH Act können Sie diese Fehler tatsächlich mit dem Breach Tool nachschlagen. Es ist eine ernüchternde Liste.
Die Datenschutzregel und geschützte Gesundheitsinformationen
Die seit 2003 geltende HIPAA-Datenschutzregel schreibt vor, dass Ihre geschützten Gesundheitsinformationen (PHI) sicher bleiben.
PHI ist breit gefächert. Es enthält alles, was Ihr Arzt in Ihre Krankenakte schreibt. Es umfasst Gespräche zwischen medizinischem Personal. Es enthält Rechnungsinformationen. Dazu gehören alle identifizierbaren Daten, die Ihre Krankenversicherung auf ihren Computern speichert.
Die Regel ist einfach: Teilen oder Zugriff ohne Erlaubnis ist verboten. Aber „Erlaubnis“ ist schwierig. Sie haben es gegeben, als Sie die ersten Einverständniserklärungen unterzeichnet haben. Oder vielleicht hast du es auch nicht getan. Im Kleingedruckten wird häufig die Zustimmung zu Routineoperationen vorausgesetzt.
Die Sicherheitsregel und elektronische Transaktionen
Während die Datenschutzregel abdeckt, was geschützt wird, deckt die Sicherheitsregel ab, wie es elektronisch geschützt wird.
Dies gilt für berechtigte elektronische Transaktionen. Dazu gehören:
– Informationen zu Ansprüchen und Begegnungen
– Zahlungs- und Überweisungsberatung
– Überprüfung des Anspruchsstatus
– Berechtigungs- und Anmeldestatus
– Empfehlungen und Autorisierungen
– Koordination der Leistungen
Abgedeckte Unternehmen müssen Verträge mit ihren Geschäftspartnern unterzeichnen, bevor sie Daten weitergeben. Ganz gleich, ob es sich um eine Online-Transaktion handelt oder um die Überprüfung von Aufzeichnungen durch einen Arzt auf einem Tablet: Der Vertrag muss den Schutz gewährleisten.
Schutzmaßnahmen sind Pflicht. Zu den administrativen Schutzmaßnahmen gehören dokumentierte Richtlinien und Mitarbeiterschulungen. Technische Schutzmaßnahmen erfordern Datenverschlüsselungs- und Sicherheitssysteme. Physische Schutzmaßnahmen umfassen Datensicherung und physische Sicherheitsmaßnahmen.
Jedes Mal, wenn jemand auf Ihre Gesundheitsdaten zugreift, muss er den Grund dafür angeben. Und sie müssen den Verwendungszweck angeben. Dies ist gesetzlich vorgeschrieben.
Wo HIPAA endet und die Realität beginnt
Hier ist der Haken. HIPAA gilt nur für abgedeckte Unternehmen und deren Geschäftspartner. Es gilt nicht überall.
Ihr Arbeitgeber? Keine Verpflichtung.
Anbieter von Arbeitnehmerentschädigungen? Nein.
Anbieter von Lebensversicherungen? Nein.
Schulbezirke? Nein.
Staatliche Behörden wie Kinderschutzdienste? Nein.
Strafverfolgung? Nein.
Gemeindeämter? Nein.
Wenn ein Account Manager einen Computer verwendet, um Ihre Versicherung zu überprüfen, gilt HIPAA. Wenn sie das Telefon benutzen? Die Regeln binden den mündlichen Austausch von PHI nicht in gleicher Weise. Das Gesetz ist an elektronische Transaktionen gebunden. Es ist eine Lücke. Eine bewusste.
Die Illusion absoluter Privatsphäre
Sie haben Rechte gemäß HIPAA. Aber diese Rechte sind administrativ. Es geht um Zugang und Korrektur. Es geht ihnen nicht um Unsichtbarkeit.
Ihre Daten bewegen sich durch ein komplexes Netz von Systemen. Clearingstellen bearbeiten Ansprüche. Abrechnungsunternehmen wickeln Zahlungen ab. IT-Spezialisten warten die Server. Bei allen handelt es sich um „gedeckte Unternehmen“. Alle sehen Ihr PHI.
Das HITECH-Gesetz sorgte für mehr Transparenz. Die Durchbruchmauer ist öffentlich. Aber Transparenz ist nicht gleichbedeutend mit Sicherheit. Es bedeutet nur, dass Sie wissen, wann etwas schief gelaufen ist.
Meistens geht nichts schief. Ihre Daten bleiben erhalten. Aber es gehört auch nie wirklich dir. Es handelt sich um ein gemeinsames Gut. Eine Belastung. Eine Ware.
Wenn Sie das nächste Mal ein Formular mit der Bitte um Einwilligung sehen, lesen Sie es. Nicht alles davon. Nur der Teil darüber, wer Ihre Geschichte sehen darf. Die Namen werden Sie vielleicht überraschen.
Wenn sich Datenschutzregeln ändern: Notfälle und begrenzte Datensätze
HIPAA ist keine totale Sperre. Unter bestimmten Umständen können Ihre geschützten Gesundheitsinformationen (PHI) ohne Ihre ausdrückliche Zustimmung weitergegeben werden. Dies ist kein Schlupfloch für gelegentliches Teilen. Es ist für Szenarien mit hohen Einsätzen reserviert. Denken Sie an eine medizinische Notfallbehandlung. Oder Bioterrorismus. Oder jede Bedrohung für die öffentliche Gesundheit, die sofortiges Handeln erfordert.
Ausnahmen umfassen auch die Überwachung der öffentlichen Gesundheit. Lokale Grippeberichte stützen sich auf diese Datenerfassung. Auch Untersuchungen sind wichtig. Wenn eine Notfallambulanz eine Schusswunde behandelt, wird dies gemeldet. Sogar einige medizinische Interventionen ermöglichen eine Forschungsnutzung.
Diese Daten fließen in einen sogenannten begrenzten Datensatz oder LDS. Ein LDS enthält persönliche Daten, diese sind jedoch auf das Wesentliche reduziert. Sie werden das Alter sehen. Es können Jahre, Monate, Tage oder sogar Stunden sein. Relevante Termine sind enthalten. Ihr Geburtsdatum. Ihr Sterbedatum. Aufnahme- und Entlassungstermine ggf. Auch grundlegende geografische Daten bleiben erhalten. Postleitzahlen. Stadt und Wohnsitzstaat.
Aber die Liste dessen, was in einem LDS nicht sein darf, ist lang. Die Datenschutzbestimmungen verbieten ausdrücklich 16 Arten identifizierbarer Informationen. Namen sind raus. Die Sozialversicherungsnummern sind verschwunden. Physische Straßenadressen kommen nicht in Frage. Ausgenommen sind Telefonnummern und Faxnummern. E-Mail-Adressen werden entfernt. URLs und IP-Adressen werden entfernt.
Fahrzeugkennzeichnungen sind ebenfalls verboten. Dazu gehören Seriennummern und Nummernschilder. Vollgesichtsfotos sind verboten. Vergleichbare Bilder sind ebenfalls verfügbar. Biometrische Identifikatoren wie Fingerabdrücke können nicht berücksichtigt werden.
Kontonummern sind tabu. Krankenaktennummern sind ausgeschlossen. Die Zahlen der Krankenkassen-Begünstigten liegen vor. Zertifikatslizenznummern sind weg. Gerätekennungen, einschließlich Seriennummern, sind strengstens untersagt.
Die Vertrauenslücke und die Folgen von Verstößen
Trotz dieser Schutzmaßnahmen ist das Vertrauen gering. 83 Prozent der Amerikaner haben immer noch Bedenken hinsichtlich der Privatsphäre und Sicherheit ihrer Krankenakten. Fast 70 Prozent möchten überhaupt nicht, dass ihre Gesundheitsinformationen digitalisiert werden.
Was passiert also, wenn diese Ängste bestätigt werden? Wann kommt es zu einem Verstoß?
BPHI-Verstöße sind häufig die Folge von Computerdiebstahl. Die Regel zur Meldung von Verstößen tritt in Kraft. Die betroffenen Patienten müssen benachrichtigt werden. Der Vorfall wird dem Minister des US-Gesundheitsministeriums (HHS) gemeldet.
Wenn Sie eine Datenschutzverletzung vermuten, können Sie diese melden. Melden Sie sich bei der betroffenen Stelle oder dem verantwortlichen Geschäftspartner. Oder melden Sie sich beim HHS. Sie können beides tun.
HIPAA-Verstöße haben Gewicht. Zu den zivilrechtlichen Sanktionen zählen Geldstrafen. Diese werden als zivilrechtliche Geldstrafen bezeichnet. Die Strafen sind härter. Dazu gehören Geld- und Freiheitsstrafen.
Sicherstellung der HIPAA-Konformität
Um Compliance sicherzustellen, bedarf es mehr als nur guter Absichten. Sie müssen die HIPAA-Datenschutz- und Sicherheitsregeln genau verstehen. Es müssen Richtlinien und Verfahren entwickelt werden. Diese stellen die Einhaltung dieser Regeln sicher.
Ausbildung ist nicht verhandelbar. Die Mitarbeiter müssen über die Richtlinien geschult werden. Sie müssen die Abläufe kennen. Diese Schulung stellt die Einhaltung der Datenschutz- und Sicherheitsregeln sicher.
Was ist überhaupt HIPAA-Konformität? Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-amerikanisches Gesetz. Es verlangt, dass betroffene Unternehmen die Privatsphäre und Sicherheit von PHI wahren. Zu den abgedeckten Einrichtungen gehören Krankenversicherungen. Clearingstellen für das Gesundheitswesen. Bestimmte Gesundheitsdienstleister.
Häufig beantwortete Fragen
Wie stellen Sie die HIPAA-Konformität sicher?
Es gibt verschiedene Möglichkeiten. Eine Möglichkeit besteht darin, die HIPAA-Datenschutz- und Sicherheitsregeln klar zu verstehen. Eine andere Möglichkeit besteht darin, Richtlinien und Verfahren zu entwickeln, die die Einhaltung der HIPAA-Datenschutz- und Sicherheitsregeln gewährleisten. Schließlich ist es wichtig, die Mitarbeiter in den Richtlinien und Verfahren zu schulen, die entwickelt wurden, um die Einhaltung der HIPAA-Datenschutz- und Sicherheitsregeln sicherzustellen.
Was ist HIPAA-Konformität?
Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-Gesetz, das versicherte Unternehmen dazu verpflichtet, die Privatsphäre und Sicherheit geschützter Gesundheitsinformationen (PHI) zu wahren. Zu den abgedeckten Unternehmen gehören Krankenversicherungen, Clearingstellen für das Gesundheitswesen und bestimmte Gesundheitsdienstleister.
