HIPAA-Konformität

HIPAA-Konformität, oder das Gesetz zur Portabilität und Verantwortlichkeit von Krankenversicherungen, schützt sensible Patientendaten. Es wurde 1996 etabliert und enthält verschiedene Regeln, die regeln, wie private Gesundheitsdaten in jeder Phase ihres Bestehens geschützt, verwendet und offengelegt werden sollten. Alle betroffenen Einrichtungen, Geschäftspartner und Dritte, die mit sensiblen Daten arbeiten, müssen diese Regeln befolgen und geschützte Gesundheitsinformationen (PHI) schützen und sichern. Dieses Gesetz betrifft die Gesundheitsindustrie in den USA. Das Gesetz besteht aus strengen Datenschutzregeln, da Patientendaten sehr attraktive Informationen für Kriminelle darstellen. HIPAA wird vom Gesundheitsministerium (HHS) reguliert und vom Amt für Bürgerrechte (OCR) durchgesetzt. Lassen Sie uns die Definitionen und Regeln näher betrachten, um zu klären, wie man HIPAA-konform wird.

Wichtige Definitionen

HIPAA hat einige wichtige Definitionen zum Verständnis. Hier werden wir sie beschreiben.

PHI oder geschützte Gesundheitsinformationen sind alle Daten im Zusammenhang mit der Gesundheitsversorgung. Dazu gehören Informationen wie Name, Adresse, Geburtsdatum, Sozialversicherungsnummer und viele andere sensible Daten wie Berichte über alle medizinischen Behandlungen, psychische Gesundheitszustände, Zahlungen usw.

ePHI oder elektronische Gesundheitsinformationen sind dieselben wie PHI, jedoch werden alle diese Informationen in elektronischer Form gespeichert, übertragen und empfangen.

Betroffene Einrichtungen sind alle, die mit PHI arbeiten. Dazu können Ärzte, Krankenschwestern, sonstiges Gesundheitspersonal mit Zugang zu Informationen, Gesundheitsversicherungs-Clearingstellen und Versicherungsagenturen gehören. Es ist erwähnenswert, dass betroffene Einrichtungen für die Meldung von Verstößen und die Zahlung von Geldbußen verantwortlich sind, falls ein Verstoß vorliegt.

Geschäftspartner sind alle, die verschiedene Dienstleistungen für betroffene Einrichtungen erbringen und Zugang zu PHI haben, z.B. Anwälte, IT-Unternehmen, Buchhalter und anderes nichtmedizinisches Personal.

Sie müssen diese Dinge wissen, um zu verstehen, wie und mit wem die HIPAA-Konformität funktioniert.

HIPAA-Datenschutz- und Sicherheitsregeln

Die HIPAA-Datenschutzregel ist eine grundlegende Regel des Gesetzes. Sie gilt nur für betroffene Einrichtungen, was bedeutet, dass jeder Gesundheitsdienstleister, jede Gesundheits-Clearingstelle und andere Gesundheitsagenturen sie einhalten müssen. Es sollte Ihr erster Schritt zur HIPAA-Konformität sein. Diese Regel legt Schutzmaßnahmen für PHI fest, begrenzt den Zugang zu Informationen und legt Bedingungen für die Nutzung und Offenlegung privater Informationen ohne Patientenvereinbarung fest. Außerdem haben Patienten besondere Rechte, z.B. Korrekturen ihrer PHI zu verlangen und eine Kopie dieser Informationen zu erhalten.

Die HIPAA-Sicherheitsregel gilt nur für ePHI und befasst sich nicht mit mündlich oder schriftlich übermittelten PHI. Diese Regel legt administrative und technische Schutzmaßnahmen fest, die betroffene Einrichtungen für den Datenschutz umsetzen sollten. Die Sicherheitsregel schützt die Vertraulichkeit, Integrität und Verfügbarkeit aller Daten, die betroffene Einrichtungen erstellen, verwalten oder übertragen. Außerdem gibt es Punkte, die besagen, dass Sie Informationssicherheitsbedrohungen identifizieren und beseitigen müssen. Auch das gesamte Personal der betroffenen Einrichtungen muss die regulatorischen Anforderungen einhalten. Die Sicherheitsregel ermöglicht es Ihnen, zu entscheiden, welche Lösungen für Sicherheitsmaßnahmen implementiert werden sollen. Dies hängt von der Größe, den Ressourcen und der Art der betroffenen Einrichtung ab.

Sie sollten die folgenden Maßnahmen ergreifen, um die Informationen zu schützen:

• Technischer Schutz bezieht sich auf den Schutz und den gewährten Zugriff auf die Informationen. Wenn Sie HIPAA-konform sein möchten, müssen Sie sicherstellen, dass die Daten in allen Phasen ihres Bestehens durch die Umsetzung von Richtlinien und Verfahren sicher sind. Dieser Schutz besteht aus 4 Kategorien: Zugriffskontrolle, Audit-Kontrolle, Integritätskontrollen und Übertragungssicherheit.
• Physischer Schutz bezieht sich auf die Verhinderung des physischen Zugriffs auf die ePHI, unabhängig davon, wo sie sich befindet. Nur autorisierte Personen sollten Zugriff auf diese Informationen und deren Standort haben.
• Administrativer Schutz bezieht sich auf die Umsetzung von Richtlinien und Verfahren. Datenschutz- und Sicherheitsbeauftragte sind verantwortlich für die Schulung des Personals, die Analyse und Identifizierung von Sicherheitsrisiken usw.

Häufige Verstöße

Um HIPAA-konform zu sein, müssen Sie verstehen, dass die meisten Verstöße intern sind. Wenn jemand versehentlich ein Papier mit Patienteninformationen an einem falschen Ort ablegt oder den Arbeitsplatz unverschlossen lässt – all dies sind dennoch Verstöße. Hier sind einige häufige Verstöße:

• Gestohlene Geräte mit PHI oder ePHI;
• Cyberangriffe (Malware, Ransomware-Angriffe usw.);
• Einbruch ins Büro;
• Versenden von PHI an die falsche Person oder den falschen Partner;
• Diskutieren von PHI in der Öffentlichkeit;
• Veröffentlichen von PHI in sozialen Medien.

Um sich zu schützen, müssen Sie die Natur Ihres Geschäfts und die Partner, mit denen Sie arbeiten, analysieren. Es ist wichtig, nur mit Partnern zu arbeiten, die ebenfalls HIPAA-konform sind. Dies hilft Ihnen, die Möglichkeit von Bußgeldern im Falle eines Verstoßes zu verringern.

Die HIPAA-Verstoßmelderegel

Zunächst müssen wir klären, was gemäß HIPAA ein Datenschutzverletzung ist. Hier haben wir, dass ein Verstoß “eine unzulässige Nutzung oder Offenlegung ist, die die Sicherheit oder Privatsphäre der geschützten Gesundheitsinformationen beeinträchtigt”. Mit anderen Worten, ein Datenschutzverstoß ist einfach ein unbefugter Zugriff auf PHI. Sie können Datenschutzverletzungen verhindern, indem Sie robuste Sicherheitsmaßnahmen, Schulungen und Software zur Erkennung von Angriffen und Bedrohungen verwenden.

Die Verstoßmelderegel hat 2 Arten von Verstößen, die sich in der Anzahl der betroffenen Personen unterscheiden. Wenn ein Verstoß weniger als 500 Personen betrifft, muss eine betroffene Einrichtung das HHS einmal im Jahr benachrichtigen, spätestens 60 Tage vor Ende des Kalenderjahres, in dem der Verstoß entdeckt wurde. Außerdem müssen die betroffenen Personen innerhalb von 60 Tagen nach Eintritt des Verstoßes benachrichtigt werden.

Wenn ein Verstoß mehr als 500 Personen betrifft, muss eine betroffene Einrichtung das HHS und OCR innerhalb von 60 Tagen nach Entdeckung des Verstoßes benachrichtigen. Darüber hinaus müssen Sie die lokalen Strafverfolgungsbehörden benachrichtigen. Alle bedeutenden Verstöße werden zudem im U.S. Department of Health and Human Services Portal veröffentlicht.

Das System der Geldstrafen und Strafen

Egal wie gut Sie für die HIPAA-Konformität vorbereitet sind, Sie sollten sich immer der Geldstrafen und Strafen bewusst sein. HIPAA hat zwei Kategorien von Strafen: Angemessener Grund und Vorsätzliche Vernachlässigung. Die Mindeststrafe für einen Verstoß aus einem angemessenen Grund beträgt 100 US-Dollar pro Vorfall, und die Höchststrafe für beide Fälle beträgt 50.000 US-Dollar pro Vorfall.

Die Höhe hängt von Ihrem Wissen über den Verstoß und dem Grad der Vernachlässigung ab. Wenn Sie nichts von dem Verstoß gewusst haben und ihn nicht verhindern konnten, beträgt die Mindeststrafe 100 US-Dollar pro Verstoß. Die nächste Stufe ist, wenn die Einrichtung hätte wissen sollen, aber aus irgendeinem Grund nicht verhindern konnte. Dies wird die Einrichtung bis zu 50.000 US-Dollar kosten. Wenn die Einrichtung fahrlässig war und den Verstoß innerhalb von 30 Tagen nicht behoben hat, beträgt die Mindeststrafe 50.000 US-Dollar pro Verstoß. Es kann zudem zu einer Strafe in Form einer Freiheitsstrafe kommen.

HIPAA und COVID-19

Seit der Pandemie hat sich die Situation in der Gesundheitsbranche verändert. Und HIPAA hat sich ebenfalls verändert. Es gibt neue Bulletins, Richtlinien und andere verschiedene Dinge, um Einrichtungen und Geschäftspartnern zu helfen, während dieser Zeit die Konformität durchzuführen. Das Wichtigste für die Konformität zu dieser Zeit ist Fernarbeit und Telemedizin. PHI wird an verschiedenen Orten, sogar auf den Geräten der Patienten, aufbewahrt. Deshalb wurden die Strafen und Bußgelder für eine Weile ausgesetzt.

Unabhängig von diesem Umstand sollten alle medizinischen Anbieter die Informationen der Patienten sichern und zusätzliche Maßnahmen ergreifen, um sensible Informationen zu schützen. Sie müssen alle Verfahren und Richtlinien überprüfen, um das Risiko eines Verstoßes zu dieser Zeit zu verringern. Zudem wird die aktive Schulung des Personals zu den Regeln, wie PHI bei der Arbeit von zu Hause aus geschützt wird, Ihnen helfen, die Chancen auf eine Datenschutzverletzung zu verringern. Dies kann eine zusätzliche Schulung neben der jährlichen Pflichtschulung sein. Außerdem können Sie Zwei-Faktor-Authentifizierung oder biometrische Verfahren für Geräte mit PHI implementieren.

HIPAA ist eine der strengsten und komplexesten Vorschriften zum Schutz sensibler Daten. Es wurde speziell geschaffen, um die PHI der Patienten unter allen Umständen privat zu halten. Um HIPAA-konform zu sein, müssen Sie alles schriftlich festhalten. Sie müssen alle Verstöße, jede Organisation, mit der PHI geteilt wird, und alle Abhilfemaßnahmen dokumentieren. Auch alle Lücken, die geschlossen wurden, und die Daten, an denen dies geschah, sollten dokumentiert werden. Unser DataSunrise Database Regulatory Compliance (DDRC) wird Ihnen helfen, die Einhaltung der meisten Gesetze umzusetzen, einschließlich HIPAA. Unser Maskierungsfeature verschleiert sensible Daten, sodass Cyberkriminelle nicht an die Originalinformationen gelangen. Wir haben auch eine Sicherheitsrisikobewertung, die Ihnen dabei hilft, Schwachstellen zu finden und zu beheben und so einigen Cyberangriffen zu entgehen. Mit einem Datenbank-Audit können Sie die Datenbankaktivitäten überwachen und verschiedene Zugriffsebenen vergeben. Darüber hinaus können wir bei DataSunrise sensible Daten überall finden und verstecken.