Definition HIPAA | Health Insurance Portability and Accountability Act Was ist HIPAA?

Anbieter zum Thema

FTAPI Software GmbH

valvisio international AG

HIPAA ist ein US-amerikanisches Gesetz zum Schutz von Daten des Gesundheitswesens. Es definiert Regeln, die im Umgang mit geschützten Patienteninformationen (Protected Health Information - PHI) von Einrichtungen des Gesundheitswesens wie Ärzten, Krankenhäusern, Pflegeeinrichtungen, Versicherungen, Abrechnungsstellen und ihren Partnern und Dienstleistern einzuhalten sind. HIPAA soll den unbefugten Zugriff auf Gesundheitsdaten sowie die unbefugte Weitergabe dieser Daten an Dritte verhindern.

HIPAA ist das Akronym für Health Insurance Portability and Accountability Act. Es handelt sich um ein 1996 in der der Amtszeit von Bill Clinton verabschiedetes Gesetz des US-Departments of Health and Human Services. Ziel des Gesetzes ist der Schutz privater, personenbezogener Patientendaten. Unbefugter Zugriff auf diese Gesundheitsdaten und die unbefugte Weitergabe von Informationen an Dritte sollen verhindert werden. Zu diesem Zweck definiert HIPAA Regeln, die es beim Zugriff auf die Daten sowie bei der Nutzung und Weitergabe der geschützten Patienteninformationen, als Protected Health Information (PHI) bezeichnet, einzuhalten gilt.

Einrichtungen und Leistungserbringer des Gesundheitswesens wie Krankenhäuser, Pflegeeinrichtungen, Ärzte, Versicherungen und Abrechnungsstellen sowie ihre Partner, Dienstleister und Subunternehmer müssen die Vorgaben des Health Insurance Portability and Accountability Act zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit der PHI umsetzen. Das US Department of Health and Human Services ist für die Durchsetzung des Gesetzes verantwortlich und ahndet Verstöße gegen das Gesetz.

ie Nichteinhaltung der Gesetzesvorgaben oder Sicherheitsverletzungen wie Datenlecks können mit hohen Geldstrafen verbunden sein. Es drohen auch zivil- oder strafrechtliche Konsequenzen. Darüber hinaus werden Verstöße ab einer gewissen Schwere und Relevanz dauerhaft in der sogenannten "HIPAA Wall of Shame" eingetragen. Es handelt sich dabei um ein für die Öffentlichkeit zugängliches Breach Report Portal. Der Health Insurance Portability and Accountability Act ist in fünf Abschnitte unterteilt und wurde durch das im Jahr 2009 verabschiedete HITECH-Gesetz (Health Information Technology for Economic and Clinical Health) ergänzt.

Im Rahmen von HIPAA geschützte Daten

Der Health Insurance Portability and Accountability Act nennt die zu schützenden Daten Protected Health Information. Sind die Gesundheitsdaten elektronisch erfasst, werden sich auch als ePHI bezeichnet. Unter PHI oder ePHI fallen neben personenbezogenen Daten der Patienten auch Informationen über ihren Gesundheitszustand oder über ihre medizinische Versorgung oder über Behandlungskosten. Beispiele für PHI sind Namen und Adressen, Geburtsdatum, Sterbedatum, Befunde, Rezepte, ärztliche Verordnungen, Rechnungen, Fotos, Kontaktdaten wie Telefonnummern oder E-Mail-Adressen, Identifikationsnummern wie Sozialversicherungsnummern, Zahlungsdaten wie Kontonummern und einiges mehr.

Von HIPAA betroffene Organisationen

Das HIPAA-Gesetz betrifft Organisationen mit Zugang zu privaten Gesundheitsdaten in den USA. Zu diesen Organisationen zählen zunächst die typischen Institutionen und Leistungserbringer des Gesundheitswesens der USA wie Krankenhäuser, Pflegeeinrichtungen, Ärzte, Apotheken, Krankenkassen und Abrechnungsstellen. Darüber hinaus haben auch Geschäftspartner und Dienstleister sowie Subunternehmer, die selbst keine medizinischen Leistungen erbringen, aber Patientendaten speichern, verarbeiten oder weitergeben, HIPAA-Vorgaben einzuhalten. Zu diesen Partnern und Dienstleistern zählen Steuerberatungsgesellschaften, Rechtsanwälte oder IT-Dienstleister. IT-Dienstleister wie Cloud-Anbieter sind beispielsweise vom Health Insurance Portability and Accountability Act betroffen, sobald eine betroffene Institution des Gesundheitswesens ihre Leistungen in Anspruch nimmt oder wenn ein Partner der Institutionen den Cloud-Anbieter als Subunternehmer mit der Verarbeitung von PHI beauftragt. Auch Unternehmen außerhalb der USA können deshalb den HIPAA-Vorgaben unterliegen.

Regeln des Health Insurance Portability and Accountability Act

Wichtiger Bestandteil des Health Insurance Portability and Accountability Act sind verschiedene Regeln. Sie geben unter anderem vor, welche Daten zu schützen sind, welche Datenschutzanforderungen bestehen, welche Ausnahmen es gibt, welche Daten weitergegeben werden dürfen oder welche Maßnahmen bei Datenlecks zu ergreifen sind. Zu den Regeln des HIPAA zählen:

• Privacy Rule: Legt die zu schützenden Daten und die Pflichten der Leistungserbringer fest, enthält Rechte und Befugnisse der Patienten bezüglich ihrer Gesundheitsdaten und definiert zum Beispiel Ausnahmen, bei denen Patientendaten ohne Zustimmung weitergegeben werden können.

• Security Rule: Enthält Vorgaben (organisatorisch, technisch und physisch) zur Sicherstellung der Vertraulichkeit, Integrität und Verfügbarkeit der ePHI.

• Breach Notification Rule: Enthält einzuhaltende Meldepflichten bei Zwischenfällen und Sicherheitsverletzungen.

• Omnibus Rule: Enthält Regelungen zu Verträgen mit Geschäftspartnern und integriert den Genetic Information Nondiscrimination Act (GINA) sowie den Health Information Technology for Economic and Clinical Health Act (HITECH).

• Enforcement Rule: Enthält Durchsetzungsrechte und -pflichten der Behörden, Definitionen verschiedener Arten von HIPAA-Verstößen und Festlegungen von Strafen bei Verstößen.

• Transactions Rule: Enthält Regeln für die Identifizierung und Kodierung von ePHI-Transaktionen.

• Identifiers Rule: Enthält Regeln für eindeutige Nummern zur Identifizierung der Einrichtungen des Gesundheitswesens.

(ID:49530947)