HIPAA ZERTIFIZIERUNG IN DEUTSCHLAND

HIPAA gilt für sogenannte „Covered Entities“, zu denen Gesundheitsdienstleister, Gesundheitspläne und Clearingstellen gehören, sowie deren Geschäftspartner, also alle Anbieter oder Unterauftragnehmer, die geschützte Gesundheitsdaten (PHI) im Auftrag einer Covered Entity verarbeiten.

PHI steht für „Protected Health Information“ und bezieht sich auf jegliche gesundheitsbezogene Informationen, die eine Person identifizieren können und in jeglicher Form oder Medium übermittelt oder aufbewahrt werden, einschließlich elektronischer, papierbasierter oder mündlicher Informationen. Beispiele für PHI sind medizinische Diagnosen, Behandlungspläne, Rezeptinformationen und Versicherungsinformationen.

Die HIPAA-Datenschutzregelung legt nationale Standards für den Schutz von PHI fest, einschließlich wer darauf zugreifen kann, wie es verwendet und offengelegt werden darf und welche Rechte Patienten haben, auf ihre eigenen PHI zuzugreifen und diese zu kontrollieren. Die HIPAA-Sicherheitsregelung verpflichtet „Covered Entities“, administrative, physische und technische Schutzmaßnahmen zu implementieren, um PHI in elektronischer Form zu schützen.

Die Nichteinhaltung von HIPAA kann zu zivil- und strafrechtlichen Strafen führen, einschließlich Geldstrafen und Freiheitsstrafen. Das Büro für Bürgerrechte (OCR) innerhalb des US-Gesundheitsministeriums (HHS) ist für die Durchsetzung von HIPAA verantwortlich.

Ein HIPAA-Verstoß ist eine unzulässige Verwendung oder Offenlegung von PHI, die die Sicherheit oder Vertraulichkeit der Informationen gefährdet. Verstöße müssen den betroffenen Personen, dem OCR und in einigen Fällen auch den Medien gemeldet werden.

„Covered Entities“ und Geschäftspartner können die HIPAA-Compliance sicherstellen, indem sie Richtlinien und Verfahren umsetzen und befolgen, die die Anforderungen der Datenschutz- und Sicherheitsregelung erfüllen, regelmäßige Schulungen für ihre Mitarbeiter anbieten und regelmäßige Risikoanalysen durchführen.

HIPAA gilt nur für „Covered Entities“ und Geschäftspartner, die in den Vereinigten Staaten tätig sind, aber Nicht-US-Unternehmen, die Gesundheitsdienstleistungen für US-Bürger erbringen, müssen ebenfalls HIPAA einhalten, wenn sie PHI im Auftrag einer „Covered Entity“ verarbeiten.