Wie wirkt sich die HIPAA-Konformität auf die gemeinsame Nutzung von Daten aus?

Das Gesetz über die Übertragbarkeit und Rechenschaftspflicht von Krankenversicherungen(HIPAA) von 1996 setzen in den USA nationale Standards für den Umgang und die Weitergabe personenbezogener Gesundheitsdaten. Unter HIPAA haben Sie bestimmte Rechte, wenn es um Ihre persönlichen Gesundheitsdaten geht; Sie haben das Recht auf eine Kopie Ihrer Gesundheitsinformationen, das Recht, Fehler zu korrigieren oder Änderungen an Ihren Informationen vorzunehmen, das Recht, bestimmte Verwendungen Ihrer Informationen einzuschränken, und das Recht zu wissen, wer außer Ihnen Ihre Informationen gesehen hat. Denken Sie daran, dass nicht nur Sie und Ihr Arzt sehen können (und gesehen haben), was in dieser Akte steht. Ein Kundenbetreuer, der beispielsweise einen Computer verwendet, um Ihre Versicherungsberechtigung elektronisch zu überprüfen, hat Zugriff auf Ihre Gesundheitsinformationen, aber gemäß den HIPAA-Regeln sind die Gesundheitsinformationen, die persönlich identifizierbar sind – wir

Parteien mit rechtmäßigem Zugriff auf Ihre Krankenakten werden als „ Covered Entities “ bezeichnet und müssen die HIPAA-Regeln einhalten; Zu den erfassten Einrichtungen gehören Gesundheitsdienstleister (Ärzte, Krankenschwestern, Zahnärzte, Krankenhäuser , Kliniken, Apotheken usw.), die elektronische Gesundheitstransaktionen durchführen, Gesundheitspläne (einschließlich solcher Parteien wie Krankenversicherungsunternehmen, HMOs, Medicare und Medicaid), Gesundheitsversorgung Clearingstellen und Geschäftspartner von Drittanbietern (einschließlich solcher Parteien wie Anspruchsverarbeiter, Abrechnungsunternehmen oder IT-Spezialisten) [Quelle: HRSA ].

Die Einhaltung von HIPAA bedeutet, dass betroffene Unternehmen bestimmte Verantwortlichkeiten haben, wenn es darum geht, Ihre Daten privat und sicher zu halten.

Gemäß der HIPAA-Datenschutzregel, die 2003 vom US-Büro für Bürgerrechte durchgesetzt wurde, müssen (einige) Ihrer identifizierbaren Gesundheitsdaten vor Weitergabe oder Zugriff ohne Ihre Zustimmung geschützt werden. Ihre identifizierbaren Gesundheitsdaten, die als geschützte Gesundheitsinformationen (PHI) bezeichnet werden, umfassen alles, was Ihr Arzt oder ein anderer Gesundheitsdienstleister in Ihre Krankenakte einträgt, sowie alle Gespräche, die Ihr Gesundheitsdienstleister mit anderen Ärzten, Krankenschwestern und anderen medizinischen Fachkräften führt. Es enthält auch alle Ihre Rechnungsinformationen sowie alle identifizierbaren Informationen, die Ihr Gesundheitsplan über Sie in seinen Computersystemen hat [Quelle: HHS ].

Gemäß der HIPAA-Sicherheitsregel ist die Art und Weise geschützt, wie Ihre persönlichen Daten elektronisch gespeichert, weitergegeben und abgerufen werden. Berechtigte elektronische Transaktionen umfassen: Anspruchs- und Begegnungsinformationen, Zahlungs- und Überweisungshinweise, Anspruchsstatus, Berechtigung, Registrierungsstatus, Überweisungen und Genehmigungen, Koordination von Leistungen und Prämienzahlung [Quelle: Centers for Medicare & Medicaid Services ]. Abgedeckte Unternehmen sind gesetzlich verpflichtet, die Regeln von HIPAA-abgedeckten Transaktionen zu befolgen. Sie und diejenigen, mit denen sie Geschäfte tätigen, müssen alle einen rechtsgültigen Vertrag unterzeichnen, in dem sie sich verpflichten, Ihre Daten zu schützen, bevor sie Ihre Daten weitergeben oder darauf zugreifen – unabhängig davon, ob es sich um eine Online-Transaktion oder den Zugriff auf Ihre Aufzeichnungen auf einem Tablet handeltoder ein anderer elektronischer Verwaltungsvorgang. Betroffene Unternehmen und ihre Geschäftspartner sind auch dafür verantwortlich, nicht nur administrative Sicherheitsvorkehrungen wie dokumentierte Richtlinien und Mitarbeiterschulungen zum Schutz elektronischer Gesundheitsdaten zu haben, sondern auch technische und physische Sicherheitsvorkehrungen wie Datensicherung, Datenverschlüsselung und Sicherheitssysteme. Sie sind auch dafür verantwortlich, offenzulegen, warum der Zugriff auf Ihre Gesundheitsdaten erforderlich ist und was der beabsichtigte Zweck ist – jedes Mal.

Außerhalb der betroffenen Unternehmen gilt das HIPAA-Gesetz nicht. Das bedeutet, dass Ihr Arbeitgeber sich keine Gedanken über die Geheimhaltung Ihrer Gesundheitsdaten machen muss, ebenso wenig wie Arbeitsunfallversicherungsträger, Lebensversicherungsträger, Schulbezirke, staatliche Stellen (wie Kinderschutzdienste), Strafverfolgungsbehörden und andere kommunale Ämter. Der Account Manager, der einen Computer verwendet, um Ihre Versicherungsberechtigung elektronisch zu überprüfen, führt eine HIPAA-geschützte Aktion durch und muss die HIPPA-Vertraulichkeitsregeln einhalten – aber HIPAA gilt nur, wenn die Transaktion elektronisch erfolgt; Wenn der Kundenbetreuer das Telefon verwendet hat, um Ihre Versicherungsberechtigung mündlich zu bestätigen, würden die HIPAA-Regeln nicht für den Austausch von PHI gelten.

Verstöße gegen Gesundheitsinformationen – Die „Wall of Shame“

Das Bürgerrechtsbüro des US-Gesundheitsministeriums hält eine „Wall of Shame“ für Verstöße gegen Gesundheitsinformationen aufrecht, die die geschützten Daten von mehr als 500 Personen (pro Vorfall) offenlegen oder beeinträchtigen – und aufgrund des HITECH Act (Health Information Technology for Economic and Clinical Health) Act unter HIPAA können Sie diese Liste der gemeldeten Verstöße in ihrem Breach Tool einsehen .

Unter bestimmten Umständen erlaubt HIPAA, dass einige Ihrer geschützten Gesundheitsinformationen ohne Ihre Erlaubnis weitergegeben werden. Ihre PHI können in einer Notfallsituation ohne Ihre Genehmigung weitergegeben werden – einschließlich medizinischer Notfallbehandlung, aber auch im Falle von Bioterrorismus oder einer Bedrohung der öffentlichen Gesundheit. Ausnahmen von HIPAA umfassen auch Fälle wie die Überwachung der öffentlichen Gesundheit (z. B. das Sammeln von Informationen für lokale Grippeberichte), Untersuchungen (z. B. ein medizinisches Notfallzentrum, das eine Schusswunde meldet) und Forschung – sogar in einigen Gesundheitssituationen wie Interventionen [Quelle : CDC]. Diese Informationen werden in einem sogenannten „Limited Data Set“ (LDS) gesammelt; Begrenzte Datensätze enthalten begrenzte, aber persönliche Informationen über Sie: Ihr Alter (in Jahren, Monaten, Tagen oder Stunden), relevante Daten (einschließlich Ihres Geburts- und Todesdatums sowie gegebenenfalls Aufnahme- und Entlassungsdaten) und Ihre Grunddaten geografische Daten (Postleitzahl oder Wohnort und Bundesland).

Die Liste der Informationen, die in einem begrenzten Datensatz nicht erlaubt sind, ist viel größer. Gemäß den Datenschutzbestimmungen von HIPAA dürfen die folgenden 16 identifizierbaren Informationen nicht in ein LDS aufgenommen werden: Namen, Sozialversicherungsnummern, physische Adressen (Straßenadressen) und Telefonnummern (einschließlich Faxnummern), E-Mail-Adressen, URLs und IP-Adressnummern, Fahrzeugkennungen (einschließlich Seriennummern und Nummernschilder) sowie Vollgesichtsfotos (oder vergleichbare Bilder) und biometrische Identifikatoren (z. B. Ihre Fingerabdrücke). Darüber hinaus dürfen in einem begrenzten Datensatz keine Kontonummern, Nummern von Krankenakten, Nummern von Begünstigten des Gesundheitsplans, Lizenznummern von Zertifikaten oder Gerätekennungen (einschließlich Seriennummern) enthalten sein [Quelle: Johns Hopkins Medicine ].

Trotz dieser geltenden HIPAA-Regeln in Bezug auf unsere Krankenakten haben 83 Prozent der Amerikaner immer noch datenschutz- und sicherheitsbezogene Bedenken, wenn es um ihre Krankenakten geht, und fast 70 Prozent möchten ihre Gesundheitsinformationen nicht digitalisieren, Punkt [Quelle: Xerox ]. Was passiert also, wenn diese Befürchtungen bestätigt werden – was passiert, wenn es einen Verstoß gibt?

Wenn oder wenn ein PHI-Verstoß auftritt, der häufig das Ergebnis eines Computerdiebstahls ist, muss gemäß der Breach Notification Rule der betroffene Patient (oder die betroffenen Patienten) benachrichtigt und der Vorfall dem Minister des US-Gesundheitsministeriums gemeldet werden & Menschliche Dienste (HHS). Wenn eine Person eine Verletzung der Privatsphäre melden möchte, kann sie die Verletzung entweder dem zuständigen betroffenen Unternehmen (oder Geschäftspartner) oder dem HHS melden – oder beiden. Abhängig von den Umständen können HIPAA-Verstöße zu zivilrechtlichen Strafen wie Geldstrafen (genannt zivile Geldstrafen) oder zu strafrechtlichen Strafen führen, die nicht nur Geldstrafen, sondern auch Freiheitsstrafen umfassen.

Anmerkung des Autors: Wie wirkt sich die HIPAA-Konformität auf die gemeinsame Nutzung von Daten aus?

Die sichere Aufbewahrung Ihrer Gesundheitsdaten ist wie die sichere Aufbewahrung Ihrer Sozialversicherungsnummer: In den falschen Händen kann dies zu Identitätsdiebstahl führen – oder, wenn es darum geht, Ihre Leiden zu heilen, zu unsachgemäßer Behandlung, weil jemand anderes Ihre Akte entwendet hat. Wenn Sie also das nächste Mal Ihren Arzt (oder Krankenhaus oder Apotheke) besuchen, legen Sie die HIPAA-Broschüre, die Sie bei Ihrem Besuch erhalten haben, nicht einfach beiseite; Dieses Papier enthält wichtige Informationen darüber, wie Ihre Krankenakten sicher aufbewahrt werden.

Zum Thema passende Artikel

Weitere tolle Links