Was ist HIPAA-Compliance: Leitfaden zur Einhaltung

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein US-amerikanisches Gesetz, das darauf abzielt, die Privatsphäre von Einzelpersonen zu schützen, indem es nationale Standards für die Aufbewahrung sensibler Patientengesundheitsinformationen und medizinischer Unterlagen festlegt. Die HIPAA-Compliance-Regeln beinhalten Anforderungen aus mehreren anderen gesetzlichen Akten, einschließlich des Public Health Service Act und des Health Information Technology for Economic and Clinical Health (HITECH) Act.

In diesem Artikel bieten wir einen detaillierten Einblick in die HIPAA-Anforderungen und liefern alle Details, die Ihre Organisation aus IT-Sicherheitsperspektive kennen muss, um die HIPAA-Konformität zu gewährleisten. Um mehr über die besten Praktiken zur Einhaltung zu erfahren, lesen Sie die HIPAA Compliance Checklist.

Was ist HIPAA-Konformität?

HIPAA-Compliance-Anforderungen setzen Standards zum Schutz elektronischer Patientengesundheits- und medizinischer Daten. Der Gesetzgeber hat HIPAA mit mehreren Kernzielen eingeführt:

• Verbessern Sie das Gesundheitswesen
• Schützen Sie die Privatsphäre der Patienten.
• Verpflichten Sie Einrichtungen dazu, Patienten auf Anfrage ihre medizinischen Unterlagen zur Verfügung zu stellen.
• Verbessern Sie die Portabilität der Krankenversicherung.
• Stellen Sie sicher, dass Patienten im Falle eines Gesundheits-data breachs informiert werden.

Das US-Gesundheitsministerium (HHS) überwacht HIPAA, und das Büro für Bürgerrechte (OCR) des HHS führt periodisch HIPAA-Prüfungen durch, um die Einhaltung zu bewerten.

Was sind geschützte Gesundheitsinformationen (PHI)?

Um die HIPAA-Vorschriften einzuhalten, muss eine Organisation angemessene Datensicherheitsmaßnahmen wie HIPAA-Compliance-Software für geschützte Gesundheitsinformationen implementieren.

Geschützte Gesundheitsinformationen (PHI) sind alle persönlich identifizierbaren Gesundheitsinformationen, die elektronisch, auf Papier oder mündlich übermittelt oder gespeichert werden. PHI umfasst jegliche Informationen über eine Person, die sich auf deren vergangene, gegenwärtige oder zukünftige Gesundheit beziehen; Details von Gesundheitsbehandlungen; und Zahlungsinformationen, die die Person identifizieren können. Beispiele für PHI umfassen:

• Sozialversicherungsnummer
• Name
• Geburts-, Sterbe- oder Behandlungsdaten und andere mit der Patientenversorgung zusammenhängende Daten
• Fotografien
• Kontaktinformationen
• Medizinische Aktennummern

Wer muss sich an HIPAA halten?

HIPAA reguliert Informationen für zwei Gruppen, die mit Patientengesundheitsdaten umgehen: Covered Entities und Business Associates.

Was ist eine abgedeckte Entität?

Eine abgedeckte Einrichtung ist eine Person oder Organisation, die PHI für Kunden verarbeitet und speichert. Beispiele hierfür sind Ärzte, Apotheken, Pflegeheime, Kliniken und Krankenversicherungen.

Allerdings wird nicht jede Organisation, die mit Gesundheitsinformationen umgeht, als abgedeckte Einheit betrachtet. Ein Beispiel sind Forschungsorganisationen, die keine Gesundheitsdienstleistungen anbieten und im Zusammenhang mit Transaktionen, die von einer HIPAA-Verordnung abgedeckt sind, keine Gesundheitsinformationen übermitteln.

Was ist ein Geschäftspartner?

Ein Geschäftspartner ist eine Organisation, die Dienstleistungen für abgedeckte Einheiten erbringt, um bei Gesundheitsaktivitäten und -funktionen zu helfen. Abgedeckte Einheiten dürfen PHI an Geschäftspartner weitergeben, um Unterstützung bei Gesundheitsfunktionen zu erhalten, jedoch nicht für die unabhängigen Zwecke oder die Nutzung des Geschäftspartners.

Im Allgemeinen ist eine Vereinbarung oder ein Vertrag mit einem Geschäftspartner erforderlich, wenn eine Beziehung zwischen einer abgedeckten Einheit und einem Geschäftspartner hergestellt wird. In einigen Fällen ist jedoch keine Vereinbarung notwendig, daher müssen Organisationen ihre eigene Recherche durchführen.

Wie HIPAA den Datenschutz von Patienten schützt

Die primäre Form des Patientenschutzes durch HIPAA ist die Privacy Rule. Die HIPAA Privacy Rule legt Standards für die Verwendung und Offenlegung von Gesundheitsinformationen von Individuen fest. Sie setzt auch Standards für die Privatsphärerechte der Patienten und Kontrollen über die Verwendung ihrer Gesundheitsinformationen.

Recht der Patienten auf Zugang zu ihren PHI

Einzelne Patienten haben nach der Datenschutz-Grundverordnung das Recht, ihre eigenen Gesundheitsinformationen einzusehen. Personen können auch schriftlich und mit Unterschrift festlegen, wer sonst ihre PHI einsehen darf.

Wenn ein Patient PHI anfordert, werden die Informationen normalerweise in einem festgelegten Datensatz geliefert, der Folgendes enthält:

• Abrechnungs- und Krankenakten wie Labortestergebnisse, Behandlungsunterlagen und Röntgenbilder
• Ansprüche, Einschreibung und Zahlungsinformationen für den Gesundheitsplan des Patienten
• Andere Aufzeichnungen, die für Entscheidungen über den Patienten verwendet werden

Einige Informationen sind vom festgelegten Aktenbestand ausgeschlossen, da sie nicht zur Entscheidungsfindung verwendet wurden. Dies umfasst Daten bezüglich:

• Patientensicherheitsakten
• Informationen zur Qualitätskontrolle
• Informationen, die für rechtliche Verfahren gesammelt wurden

Erfüllung von PHI-Anfragen

Eine abgedeckte Einheit kann verlangen, dass PHI-Anfragen schriftlich oder über elektronische Kommunikationsmittel wie E-Mail oder ein Webportal gestellt werden. Abgedeckte Einheiten dürfen keine unangemessenen Maßnahmen für Anfragen oder Verifizierungen erstellen, noch können sie den Zugang eines Patienten vernünftigerweise verzögern.

Anfragen können in Papierform oder elektronisch erfüllt werden, je nachdem, welche Informationen angefordert wurden. Eine abgedeckte Einheit muss die angeforderten Informationen innerhalb von 30 Kalendertagen nach der Anfrage bereitstellen.

Eine abgedeckte Einheit kann Gebühren erheben, um Kosten zu decken, die entstanden sind durch:

• Kopien erstellen
• Beschaffung von Materialien für die Anfrage
• Porto
• Vorbereitung von Zusammenfassungen der PHI, sofern vom Betroffenen zugestimmt

In bestimmten Fällen wird eine abgedeckte Einheit eine PHI-Anfrage ablehnen. Diese Umstände können beinhalten:

• Psychotherapie-Notizen
• PHI, die Teil einer laufenden Forschungsstudie ist
• Situationen, in denen der Zugriff wahrscheinlich jemandem Schaden zufügen könnte

EHR-Sicherheit und Datenschutz

Im September 2013 integrierten Gesetzgeber den HITECH Act in HIPAA mit der Omnibus-Regel. Der HITECH Act wurde entwickelt, um Gesundheitsdienstleister zur Nutzung elektronischer Gesundheitsakten (EHRs), auch bekannt als elektronisch geschützte Gesundheitsinformationen (ePHI), zu ermutigen. Der HITECH Act legte auch fest, dass Einrichtungen, die nicht HIPAA-konform sind, erheblichen Strafen unterliegen könnten.

HIPAA-Standardtransaktionen

HITECH befasst sich im Transaction and Code Set Rule (TCS) mit standardisierten Transaktionen. Die TCS-Regelung übernimmt Standards für die elektronische Übermittlung von Gesundheitsdaten zwischen Anbietern, Krankenversicherern und Kunden von Krankenversicherungen.

Sicherheitsmanagement für HIPAA

Die HIPAA-Sicherheitsregel

Um die Datensicherheit für elektronische Gesundheitsakten zu gewährleisten, hat die HIPAA Security Rule Sicherheitsstandards für betroffene Einrichtungen und Geschäftspartner festgelegt. Gemäß der Regel müssen betroffene Einrichtungen:

• Gewährleisten Sie die Vertraulichkeit, Integrität und Verfügbarkeit aller elektronischen PHI, die sie erstellen, empfangen, pflegen oder übermitteln.
• Identifizieren und schützen Sie sich gegen vernünftigerweise vorhersehbare Bedrohungen für die Sicherheit oder Integrität der Informationen.
• Schützen Sie sich gegen vernünftigerweise vorhersehbare, unzulässige Verwendungen oder Offenlegungen.
• Stellen Sie die Einhaltung der Vorschriften durch Ihre Belegschaft sicher.

Um die Einhaltung der HIPAA-Sicherheitsregel zu gewährleisten, kann eine Organisation den vom National Institute of Standards and Technology (NIST) festgelegten Richtlinien folgen, die Kontrollen und Richtlinienempfehlungen für Organisationen zur Umsetzung der HIPAA-Konformität beinhalten.

HIPAA-Sicherheitsvorkehrungen

NIST beschreibt drei Kategorien von EHR-Sicherheitsmaßnahmen:

• Administrative Sicherheitsmaßnahmen
• Technische Schutzmaßnahmen
• Physische Schutzmaßnahmen

Diese Sicherheitsmaßnahmen können erforderlich (müssen implementiert werden) oder adressierbar (sollten implementiert werden, wenn sie vernünftig und angemessen für die Umgebung sind).

Administrative Sicherheitsmaßnahmen

• Sicherheitsmanagementprozess: Verwenden Sie Systeme, um Sicherheitsverletzungen zu erkennen, zu verhindern, zu enthalten und zu korrigieren.
• Zugewiesene Sicherheitsverantwortung: Ernennen Sie einen Verantwortlichen für die Implementierung und Entwicklung von Richtlinien und Verfahren.
• Sicherheit der Belegschaft: Gewähren Sie nur den Mitarbeitern Zugang zu ePHI, die ihn benötigen, und verhindern Sie, dass unbefugte Benutzer Zugang erhalten.
• Informationszugriffsmanagement: Verwenden Sie Sicherheitssysteme zur Autorisierung des Zugriffs auf ePHI.
• Sicherheitsbewusstsein und Schulungen: Schulen Sie alle Mitarbeiter in Bezug auf Datenschutzpraktiken und -bewusstsein.
• Sicherheitsvorfall-Verfahren: Protokolle für Sicherheitsvorfälle etablieren.
• Notfallpläne: Entwickeln Sie Notfallmanagementpläne für Systembeschädigungen.
• Evaluation: Führen Sie regelmäßige Systembewertungen durch, um die Datensicherheit und Zuverlässigkeit zu messen.

Technische Schutzmaßnahmen

• Zugriffskontrolle: Zugang nur für Personen oder Softwareprogramme gewähren, die Zugriffsrechte erhalten haben.
• Audit-Kontrollen: Verwenden Sie Systeme, die Aktivitäten bezüglich ePHI aufzeichnen und überprüfen.
• Integrität: Wege etablieren, um den unbefugten Missbrauch von ePHI zu verhindern.
• Authentifizierung von Personen oder Entitäten: Verwenden Sie Sicherheitssysteme mit robusten Verifizierungsmaßnahmen.
• Übertragungssicherheit: Ergreifen Sie Sicherheitsmaßnahmen, um unbefugten Zugriff auf elektronisch übermittelte ePHI zu verhindern.

Physische Schutzmaßnahmen

• Zugangskontrolle für Einrichtungen: Beschränken Sie den physischen Zugang zu ePHI.
• Nutzung von Arbeitsstationen: Festlegen von Arbeitsabläufen und Konfigurationsanforderungen für Arbeitsstationen, auf denen ePHI zugegriffen wird.
• Sicherheit von Arbeitsstationen: Beschränken Sie die Nutzung der Arbeitsstation auf autorisierte Benutzer.
• Geräte- und Medienkontrolle: Steuern Sie den Empfang und die Entfernung von Hardware und Medien, die ePHI enthalten.

Analyse von Datenrisiken

Gemäß den Richtlinien des Security Management Process verlangt die Security Rule eine Risikoanalyse, oder Risikobewertung und -management.

NIST-Leitfaden zur Datenrisikoanalyse umfasst mehrere Schritte, zu denen gehören:

1. Identifizierung von Schwachstellen und Bedrohungen.
2. Bewertung der aktuellen Datensicherheit.
3. Bestimmung der Wahrscheinlichkeit von Bedrohungen und möglichen Auswirkungen.

Kosten von HIPAA-Verstößen

Verletzungsbenachrichtigung

Ein Verstoß ist jede unbefugte Nutzung oder Offenlegung von PHI gemäß der Datenschutz-Grundverordnung. In einigen Fällen kann eine Organisation eine geringe Wahrscheinlichkeit eines kompromittierten PHI auf der Grundlage einer Risikoanalyse nachweisen.

Wenn es zu einem Datenleck kommt, muss eine Organisation betroffene Personen per Post oder E-Mail benachrichtigen, die Medien alarmieren und innerhalb von 60 Tagen einen Bericht an den HHS-Sekretär über ein Online-Formular einreichen.

HIPAA-Strafen und Bußgelder

Wenn Verstöße zu HIPAA-Verletzungen führen, regelt die HIPAA Enforcement Rule Untersuchungen, Anhörungen und Strafen. Häufige Ursachen für HIPAA-Strafen sind der Verlust oder Diebstahl nicht verschlüsselter Geräte, mangelnde Mitarbeiterschulung, Datenbankverstöße und Büroklatsch über Patienteninformationen.

Das HITECH-Gesetz legt vier Strafstufen für Verstöße fest:

• Stufe A: Verstoß, bei dem eine Person oder Entität nicht wusste, dass sie einen Verstoß begangen hat.
• Stufe B: Verstoß aufgrund eines vertretbaren Grundes, jedoch ohne vorsätzliche Vernachlässigung.
• Stufe C: Verstoß aufgrund von vorsätzlicher Vernachlässigung, jedoch kann die Person oder Entität die Situation bereinigen.
• Stufe D: Verstoß gegen Stufe C, wenn die Situation nicht innerhalb von 30 Tagen behoben wird.

Das HHS OCR veröffentlicht Verstöße auf seiner "Wall of Shame"-Website. Andere Seiten veröffentlichen Bußgelder und Links zu Vergleichen. Aktuelle Beispiele umfassen:

• Im September 2020 wurde Premera Blue Cross zu einer Geldstrafe von 6.850.000 Dollar verurteilt, um einen Datenverstoß beizulegen, der über 6 Millionen Personen betraf.
• Im Juli 2020 wurde das Lifespan Health System mit einer Geldstrafe von über 1 Million Dollar belegt, weil ein gestohlenes Laptop nicht verschlüsselt war.
• Im Oktober 2019 wurde Elite Dental Associates zu einer Geldstrafe von 10.000 Dollar verurteilt, weil Patienteninformationen über soziale Medien preisgegeben wurden.

Eine praktische Checkliste zu diesen Schritten finden Sie in unserer HIPAA-Compliance-Checkliste, oder erfahren Sie, wie das Identity- und Data-Security-Portfolio von Netwrix Ihnen hilft zu sehen, wer Zugriff auf PHI hat, und dies bei HIPAA-Audits nachzuweisen, auf unserer Seite HIPAA-Compliance-Lösungen.