Tipps zur Gewährleistung der HIPAA-Compliance

Das Gesetz über die Portabilität und Verantwortlichkeit von Krankenversicherungen (HIPAA) wurde 1996 mit der Absicht erlassen, die sensiblen Informationen von Patienten zu schützen, die im Dokument als persönlich identifizierbare Informationen (PII) bezeichnet werden. Dieses wesentliche Gesetz gilt für alle Gesundheitsorganisationen und alle Geschäftspartner, die sensible Daten im Rahmen ihrer Beziehung zur Gesundheitsbranche verarbeiten.

Da sich die Technologie zur Übertragung und Verwaltung von PII geändert hat, hat sich auch HIPAA weiterentwickelt. Das letzte große Update fand 2013 statt. Es wurde als Final Omnibus Rule bezeichnet und beinhaltete wesentliche Änderungen sowohl der Sicherheitsregel als auch der Regel zur Benachrichtigung über Datenschutzverletzungen, wobei die Formulierungen so geändert wurden, dass nun auch Geschäftspartner in die Compliance-Pläne einbezogen werden.

Infolge der Final Omnibus Rule sind Gesundheitsdienstleister nun dafür verantwortlich, dass PII über die gesamte Informationskette hinweg geschützt ist, was bedeutet, dass sie jeden von mobilen App-Entwicklern bis hin zu Cloud-Hosting-Anbietern sorgfältig prüfen müssen. Lesen Sie weiter, um einige hilfreiche Tipps zu finden, wie Sie die Compliance mit HIPAA in ihrer neuesten Form sicherstellen können.

1. Effektive Beziehungen zu Geschäftspartnern aufbauen

Da alle Anbieter, Dienstleister und anderen Geschäftspartner eines Gesundheitsdienstleisters die HIPAA-Vorschriften einhalten müssen, ist es wichtig, effektive Beziehungen zu seriösen Unternehmen aufzubauen. Beginnen Sie damit, effektive Möglichkeiten zu finden, Informationen sicher online zu übertragen, z. B. durch die Implementierung einer elektronischen Faxlösung. Danach sollten Sie sicherstellen, dass die Datenlagerungsanbieter und App-Entwickler compliant sind.

Verlassen Sie sich nicht nur auf das Wort eines Unternehmens, dass es die HIPAA-Regeln und -Vorschriften einhält. Fordern Sie Dokumentationen an, die die Compliance jedes Geschäftspartners nachweisen und das Unternehmen verpflichten, wichtige Schulungs- und Prüfungsverfahren einzuhalten. Die Datenschutzregel verlangt von Gesundheitsdienstleistern, dass sie schriftlich zufriedenstellende Zusicherungen von ihren Geschäftspartnern in Form eines Vertrags oder einer anderen formellen Vereinbarung zwischen den beiden Parteien einholen.

2. Eine umfassende Sicherheitsrichtlinie entwickeln und aufrechterhalten

Jede Gesundheitsorganisation sollte eine umfassende Datenschutzrichtlinie haben, die festlegt, wie PII zugegriffen, gespeichert und übertragen wird. Die Richtlinie sollte auch angeben, wie interne Audits durchgeführt werden und welche Art von Schulungen die Mitarbeiter und Drittanbieter in Bezug auf die HIPAA-Compliance erhalten.

Da die Anforderungen von HIPAA komplex sind, haben viele Gesundheitsdienstleister Schwierigkeiten zu bestimmen, was in ihre Datenschutzrichtlinien aufgenommen werden sollte. Als allgemeine Regel sollten alle Informationen, die sich auf PII beziehen, einbezogen werden. Die Datenschutzrichtlinie sollte bei Bedarf aktualisiert und regelmäßig überprüft werden. Bei Aktualisierungen sollten die Änderungen klar an die Mitarbeiter und Geschäftspartner kommuniziert werden, damit sie leicht in die Praxis umgesetzt werden können.

3. Einen dedizierten Datenschutzbeauftragten haben

Angesichts der Komplexität der HIPAA-Regeln und -Vorschriften ist es unvernünftig zu erwarten, dass Mitarbeiter, die keine spezifische Schulung in Datenschutz erhalten haben, die Datenschutzrichtlinie des Unternehmens entwickeln, implementieren und sicherstellen, dass sie eingehalten wird. Größere Gesundheitsorganisationen haben oft Teams von dedizierten Datenschutzexperten. Während dies für kleinere Unternehmen möglicherweise nicht möglich ist, ist es wichtig, einen benannten HIPAA-Sicherheitsbeauftragten zu haben, da dies durch die Sicherheitsregel vorgeschrieben ist.

Der HIPAA-Sicherheitsbeauftragte oder das Team sollte folgende Aufgaben haben:

• Festlegung und Durchsetzung von Schutzmaßnahmen zur Sicherstellung der Compliance mit der Sicherheitsregel.
• Behandlung von Problemen, die im Zusammenhang mit Zugangskontrollen, Notfallwiederherstellung, Geschäftskontinuität oder Vorfallreaktion auftreten.
• Durchführung interner Risikobewertungen und Unterstützung bei externen Audits von Anbietern und Geschäftspartnern.
• Untersuchung von Datenschutzverletzungen und Implementierung von Maßnahmen zur zukünftigen Minderung.

Integration sowohl der HIPAA-Compliance als auch der IT-Sicherheit in die umfassenderen Geschäftsstrategien des Unternehmens.

4. Regelmäßige Risikobewertungen durchführen

HIPAA-Sicherheitsbeauftragte sind verantwortlich für die Durchführung regelmäßiger Risikobewertungen und die Implementierung von Korrekturmaßnahmen, aber die Mitarbeiter der Organisation und die Geschäftspartner müssen mit dem SO zusammenarbeiten, indem sie genaue Informationen bereitstellen. Die Durchführung und Dokumentation routinemäßiger Risikobewertungen hilft Organisationen, sich besser auf Anfragen nach zufälligen HIPAA-Audits vorzubereiten und darauf zu reagieren.

Wenn eine Organisation für ein zufälliges Audit ausgewählt wird, sollte das Sicherheitsteam sich im Voraus vorbereiten, indem es ein umfassendes internes Audit durchführt. Das Office of Civil Rights (OCR) bietet alle erforderlichen Checklisten und Risikobewertungsinstrumente dafür an. Viele Organisationen führen routinemäßige interne Audits vierteljährlich durch, um die Identifizierung potenzieller Probleme zu erleichtern.

Der beste Ausgangspunkt ist eine Überprüfung der compliancebezogenen Dokumente und Schulungen der Mitarbeiter, aber bewerten Sie nicht nur, wie die HIPAA-Richtlinien des Unternehmens auf dem Papier aussehen. Der Sicherheitsbeauftragte sollte auch Rundgänge in verschiedenen Bereichen der Gesundheitseinrichtung durchführen, um nach sichtbaren Patienteninformationen auf Computerbildschirmen oder Schreibtischen zu suchen.

5. Eindeutige Schulungsprotokolle festlegen

Sowohl das Personal eines Gesundheitsdienstleisters als auch seine Geschäftspartner sollten verpflichtet werden, die Datenschutz- und Datensicherheitsrichtlinien der Organisation während der HIPAA-bezogenen Schulungen zu überprüfen. Die Festlegung eindeutiger Protokolle ist immer wichtig.

Sowohl die Datenschutz- als auch die Sicherheitsregeln geben Hinweise dazu, wie oft diese HIPAA-Schulungen erforderlich sein sollten, ohne einen definitiven Zeitrahmen anzugeben. Neue Mitarbeiter müssen innerhalb eines “angemessenen Zeitrahmens” geschult werden, und zusätzliche Auffrischungskurse müssen implementiert werden, wenn die Einrichtung funktionale oder wesentliche Änderungen an ihren HIPAA-bezogenen Richtlinien und Verfahren vornimmt.

Die Schulungsprotokolle sollten je nach Rolle der Mitarbeiter variieren. IT-Schulungsseminare enthalten in der Regel mehr Informationen darüber, wie effektive Schutzmaßnahmen beim Speichern oder Übertragen digitaler Daten implementiert werden, während die für medizinisches Personal konzipierten Sitzungen sich möglicherweise mehr auf persönliche Maßnahmen konzentrieren, die ergriffen werden müssen, um die Compliance sicherzustellen. Denken Sie daran, dass der Schutz von PII vor persönlichen Bedrohungen ebenso wichtig ist wie die Gewährleistung einer angemessenen Datensicherheit, wenn die geschützten Informationen der Patienten in digitaler Form übertragen werden.

Beginnen Sie mit Veränderungen

Gesundheitsorganisationen sollten nicht warten, bis sie mit einem HIPAA-Audit konfrontiert werden oder, noch schlimmer, mit Geldstrafen wegen Nichteinhaltung, um positive Veränderungen zu implementieren. Beginnen Sie damit, einen dedizierten HIPAA-Sicherheitsbeauftragten einzustellen, der über alle erforderlichen Schulungen verfügt, um spezifische Richtlinien zu erstellen, seriöse Geschäftspartner auszuwählen und Schutzmaßnahmen gegen Datenverletzungen und Insider-Bedrohungen zu implementieren. Von dort aus besteht die Gewährleistung der HIPAA-Compliance größtenteils darin, alles von Unternehmensrichtlinien bis hin zu Datenschutzprotokollen auf dem neuesten Stand zu halten und alles, was die Speicherung oder Übertragung von PII betrifft, zu dokumentieren, um die Organisation im Falle eines Audits zu schützen.