Kurzfassung
HIPAA (Health Insurance Portability and Accountability Act) ist ein US-Bundesgesetz, das nationale Standards zum Schutz sensibler Patientendaten vor unbefugter Offenlegung festlegt.
Was ist HIPAA?
HIPAA wurde 1996 verabschiedet und gilt für sogenannte Covered Entities – Gesundheitsdienstleister, Krankenversicherungen und Abrechnungsstellen – sowie für deren Geschäftspartner, die mit geschützten Gesundheitsinformationen (PHI) umgehen. Das Gesetz legt drei Kernregeln fest: die Privacy Rule, die Security Rule und die Breach Notification Rule.
Die Security Rule befasst sich speziell mit elektronischen PHI (ePHI) und fordert administrative, physische und technische Schutzmaßnahmen. Technische Anforderungen umfassen Zugriffskontrollen, Audit-Protokolle, Integritätskontrollen und Übertragungssicherheit. Regelmäßige Risikobewertungen sind verpflichtend.
Der HITECH Act von 2009 verschärfte die HIPAA-Durchsetzung und erhöhte die Strafen für Verstöße erheblich. Eine einzige Datenpanne kann Bußgelder von 100 bis 50.000 US-Dollar pro Verstoß nach sich ziehen.
Warum ist HIPAA relevant?
- Pflicht im Gesundheitssektor: Erforderlich für alle Organisationen, die US-amerikanische Patientendaten verarbeiten
- Haftung von Geschäftspartnern: Drittanbieter, die PHI verarbeiten, haften direkt nach HIPAA
- Risikoanalysepflicht: Regelmäßige Sicherheitsrisikoanalysen sind ausdrücklich vorgeschrieben
- Meldepflicht bei Datenpannen: Betroffene Personen, das HHS und in bestimmten Fällen die Medien müssen innerhalb von 60 Tagen informiert werden