HIPAA-Compliance-Leistungen

HIPAA gilt für sogenannte "Covered Entities", darunter Leistungserbringer im Gesundheitswesen (Ärzte, Kliniken, Krankenhäuser, Apotheken, Pflegeheime), Krankenversicherungen (Versicherungsunternehmen, HMOs, Medicare, Medicaid) und Clearingstellen im Gesundheitswesen. Außerdem gilt es für "Business Associates", also Anbieter oder Subunternehmer, die im Auftrag einer Covered Entity PHI erstellen, empfangen, speichern oder übermitteln.

HIPAA schützt alle "individuell identifizierbaren Gesundheitsinformationen", die von Covered Entities und ihren Business Associates gespeichert oder übermittelt werden. Zu diesen geschützten Gesundheitsinformationen (PHI) gehören demografische Daten, Krankengeschichten, Testergebnisse, Versicherungsinformationen und andere Angaben, die eine Person identifizieren können und sich auf ihren vergangenen, gegenwärtigen oder künftigen körperlichen oder psychischen Gesundheitszustand, ihre Behandlung oder die Bezahlung von Gesundheitsleistungen beziehen.

Eine Verletzung ist eine unzulässige Nutzung oder Offenlegung ungesicherter PHI, die die Sicherheit oder Vertraulichkeit der Informationen gefährdet. Beispiele sind verlorene oder gestohlene Geräte mit unverschlüsselten PHI, unbefugter Zugriff auf PHI, die Weitergabe von Informationen ohne Genehmigung oder die unsachgemäße Entsorgung von PHI. Nicht jede unzulässige Nutzung oder Offenlegung ist eine Verletzung: Eine Risikobewertung kann zeigen, ob die Wahrscheinlichkeit einer Kompromittierung der PHI gering ist.

HIPAA verpflichtet Covered Entities und Business Associates zu regelmäßigen Risikobewertungen, legt aber keine Häufigkeit fest. Die meisten Gesundheitsorganisationen führen jährlich eine umfassende Risikobewertung durch, ergänzt um zusätzliche Bewertungen nach wesentlichen Änderungen an Systemen oder Umgebungen. Zwischen den formalen Bewertungen sollten fortlaufend Audits und Monitoring stattfinden, um neue Risiken oder Schwachstellen zu erkennen.