Welche Sicherheitsvorkehrungen sind zum Schutz geschützter Gesundheitsinformationen vorgesehen, die erstellt, verarbeitet, gespeichert, übertragen oder zerstört werden?

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein Bundesgesetz, das die Privatsphäre der Gesundheitsdaten von Einzelpersonen schützt. HIPAA verlangt, dass betroffene Einrichtungen wie Gesundheitsdienstleister, Krankenversicherungen und Clearingstellen für das Gesundheitswesen Sicherheitsvorkehrungen zum Schutz der Privatsphäre geschützter Gesundheitsinformationen (Protected Health Information, PHI) treffen.

PHI sind alle Informationen, die sich auf die Gesundheit einer Person beziehen, einschließlich demografischer Daten, Krankengeschichte, Testergebnissen und Finanzinformationen. HIPAA-Sicherheitsmaßnahmen sollen den Zugriff auf, die Verwendung oder die Offenlegung personenbezogener Daten ohne die Genehmigung einer Person verhindern.

Die HIPAA-Datenschutzregel verlangt, dass betroffene Unternehmen die folgenden Sicherheitsvorkehrungen zum Schutz von PHI treffen:

* Administrative Sicherheitsmaßnahmen: Zu diesen Schutzmaßnahmen gehören Richtlinien und Verfahren, die regeln, wie betroffene Unternehmen PHI verwenden und offenlegen. Beispielsweise müssen betroffene Unternehmen über eine schriftliche Datenschutzrichtlinie verfügen, die beschreibt, wie PHI verwendet und offengelegt wird.

* Physische Sicherheitsvorkehrungen: Zu diesen Schutzmaßnahmen gehören Maßnahmen, die PHI vor unbefugtem Zugriff, unbefugter Nutzung oder Offenlegung schützen. Beispielsweise müssen betroffene Unternehmen physische Sicherheitsmaßnahmen wie Schlösser, Sicherheitskameras und Alarme implementieren, um PHI zu schützen.

* Technische Sicherheitsvorkehrungen: Zu diesen Schutzmaßnahmen gehören Maßnahmen, die PHI vor unbefugtem Zugriff, unbefugter Nutzung oder Offenlegung schützen, wenn sie elektronisch übertragen oder gespeichert werden. Beispielsweise müssen betroffene Unternehmen Verschlüsselungs- und andere Sicherheitsmaßnahmen implementieren, um PHI zu schützen, wenn diese über das Internet übertragen werden.

Abgedeckte Unternehmen müssen außerdem Geschäftspartnervereinbarungen mit allen Dritten abschließen, die Zugang zu PHI haben. Geschäftspartnervereinbarungen erfordern, dass Dritte zustimmen, die Privatsphäre von PHI zu schützen und die HIPAA-Anforderungen einzuhalten.

HIPAA gewährt Einzelpersonen auch bestimmte Rechte in Bezug auf ihre PHI. Zu diesen Rechten gehören das Recht, auf ihre PHI zuzugreifen, das Recht, Korrekturen ihrer PHI zu verlangen, und das Recht, Einschränkungen hinsichtlich der Verwendung und Offenlegung ihrer PHI zu verlangen.

Wenn Sie glauben, dass Ihr PHI kompromittiert wurde, können Sie eine Beschwerde beim U.S. Department of Health and Human Services (HHS) einreichen. HHS ist für die Durchsetzung des HIPAA und die Untersuchung von Beschwerden über Datenschutzverletzungen verantwortlich.