Jährliches HIPAA-Compliance-Training

Das Krankenversicherungsportabilitätsgesetz wurde 1996 in Kraft gesetzt. Es wird vom Büro für Bürgerrechte der Regierung der Vereinigten Staaten durchgesetzt. Es handelt sich dabei um eine Reihe von Bundesrichtlinien, die es Mitarbeitern ermöglichen, ihre Krankenversicherung mitzunehmen, wenn sie einen Arbeitgeber verlassen, Personen trotz bestehender Bedingungen (unter bestimmten Bedingungen) den Zugang zur Krankenversicherung ermöglichen und Datenschutzstandards für die Gesundheit eines Patienten festlegen Information.

• Die HIPAA-Datenschutzregel schützt die Privatsphäre von individuell identifizierbaren Gesundheitsinformationen.
• Die HIPAA-Sicherheitsregel legt nationale Standards für die Sicherheit elektronischer Gesundheitsinformationen fest.

Es ist gesetzlich vorgeschrieben, HIPAA-Schulungen und Schulungen für im Gesundheitswesen tätige Personen anzubieten, um die Verantwortlichkeit für die Privatsphäre und die Sicherheit geschützter Gesundheitsinformationen sicherzustellen. Abgedeckte Entitäten müssen alle Mitarbeiter der Belegschaft in Bezug auf die Richtlinien und Verfahren von HIPAA schulen.

1

HIPAA-Datenschutzregel

Die Datenschutzstandards für individuell identifizierbare Gesundheitsinformationen (die Datenschutzregel) wurden speziell zum Schutz der persönlichen Gesundheitsdaten einer Person entwickelt. Für die Vitalität Ihrer Arztpraxis ist es wichtig, die Einhaltung der HIPAA zu gewährleisten.

Für wen gilt die Datenschutzregel?

• Gesundheitspläne
• Gesundheitsdienstleister
• Gesundheits-Clearingstellen

Eine erfasste Einheit im Sinne der HIPAA kann eine Krankenversicherung, eine Clearingstelle für das Gesundheitswesen oder ein Gesundheitsdienstleister sein, der geschützte Gesundheitsinformationen elektronisch übermittelt, und Organisationen, Institutionen oder Personen sein.

Ärzte und andere Angehörige der Gesundheitsberufe, die mit Patienten und deren vertraulichen Krankenakten zusammenarbeiten, müssen die Richtlinien, Verfahren und Gesetze einhalten, die den Schutz der Privatsphäre und der Vertraulichkeit von Patienten zum Ziel haben. Alle Gesundheitsdienstleister sind dafür verantwortlich, ihre Mitarbeiter hinsichtlich der Einhaltung der HIPAA-Richtlinien geschult und auf dem Laufenden zu halten. Die vorsätzliche oder unbeabsichtigte Offenlegung von PHI wird als Verstoß gegen die HIPAA betrachtet.

• Geschäftspartner

Ein Geschäftspartner im Sinne von HIPAA ist jede Person oder Organisation, die Geschäfte im Zusammenhang mit der Verwendung oder Weitergabe geschützter Gesundheitsinformationen für eine abgedeckte Einheit durchführt und keine Angestellte der abgedeckten Einheit ist.

Welche Informationen werden geschützt?

PHI oder Protected Health Information bezieht sich auf alle individuell identifizierenden Informationen, die in den Krankenakten eines Patienten enthalten sind und in irgendeiner Form übertragen oder verwaltet werden.

Verwendungen und Offenlegungen

Ein geschütztes Unternehmen kann geschützte Gesundheitsinformationen (PHI) unter bestimmten Bedingungen ohne Genehmigung verwenden oder offenlegen.

1. Zum Einzelnen
2. Behandlung, Zahlung und Gesundheitswesen
3. Verwendungen und Offenlegungen mit der Möglichkeit zuzustimmen oder ein Objekt zu erstellen
4. Verwendung und Offenlegung.
5. Öffentliches Interesse und Benefiz-Aktivitäten
6. Eingeschränkter Datensatz für Forschungs-, Gesundheits- oder Gesundheitsleistungen

Hinweis zum Datenschutz

Gesundheitsdienstleister sind verpflichtet, ihren Patienten eine Datenschutzerklärung zukommen zu lassen. Dieser Hinweis, wie von der HIPAA-Datenschutzregel gefordert, gibt Patienten das Recht, über ihre Persönlichkeitsrechte informiert zu werden, da sie sich auf ihre geschützten Gesundheitsinformationen (PHI) beziehen.

Die Mitteilung sollte bestimmte Informationen in leicht verständlicher Form beschreiben:

• Wie wird der Anbieter sein PHI verwenden und offenlegen?
• Die Rechte, die Patienten bezüglich ihres eigenen PHI haben
• Eine Erklärung, die den Patienten über Gesetze unterrichtet, die den Anbieter dazu verpflichten, die Privatsphäre seiner PHI zu wahren
• An wen wenden sich Patienten, um weitere Informationen zu den Datenschutzrichtlinien des Anbieters zu erhalten?

Durchsetzung und Sanktionen für die Nichteinhaltung

Zivilgeldstrafen

• 100 USD pro Nichteinhaltung
• Maximal 25.000 USD pro Jahr für mehrere Verstöße gegen dieselbe Anforderung

Strafrechtliche Sanktionen (um wissentlich PHI unter Verletzung der HIPAA zu erhalten oder offenzulegen)

• Geldstrafe von 50.000 US-Dollar und bis zu einem Jahr Haft
• Geldstrafe in Höhe von 100.000 US-Dollar und bis zu fünf Jahre Haft (wenn die Verletzung falsche Vorwände beinhaltet)
• 250.000 USD Geldstrafe und bis zu zehn Jahre Haft (wenn der Verstoß die Absicht beinhaltet, PHI zu verkaufen, zu übertragen oder zu verwenden)

2

HIPAA-Sicherheitsregel

Die Sicherheitsstandards zum Schutz elektronisch geschützter Gesundheitsinformationen (Sicherheitsregel)

Die HIPAA-Sicherheit bezieht sich auf die Einrichtung von Schutzmaßnahmen für PHI in jedem elektronischen Format. Dazu gehören alle Informationen, die elektronisch verwendet, gespeichert oder übertragen werden. Jede Einrichtung, die von der HIPAA als versicherte Einrichtung definiert wird, ist dafür verantwortlich, die Vertraulichkeit und Sicherheit der Informationen des Patienten sowie die Vertraulichkeit ihrer PHI zu gewährleisten.

Wer ist von der Sicherheitsregel abgedeckt?

• Gesundheitspläne
• Gesundheitsdienstleister
• Gesundheits-Clearingstellen

Eine erfasste Einheit im Sinne der HIPAA kann eine Krankenversicherung, eine Clearingstelle für das Gesundheitswesen oder ein Gesundheitsdienstleister sein, der geschützte Gesundheitsinformationen elektronisch übermittelt, und Organisationen, Institutionen oder Personen sein.

• Geschäftspartner

Ein Geschäftspartner im Sinne von HIPAA ist jede Person oder Organisation, die Geschäfte im Zusammenhang mit der Verwendung oder Weitergabe geschützter Gesundheitsinformationen für eine abgedeckte Einheit durchführt und keine Angestellte der abgedeckten Einheit ist.

Welche Informationen werden geschützt?

Elektronische PHI- oder Protected Health-Informationen beziehen sich auf einzeln identifizierende Informationen, die in den Krankenakten eines Patienten enthalten sind und in irgendeiner Form übertragen oder verwaltet werden. Die Sicherheitsregel schließt ein mündlich oder schriftlich übermitteltes PHI aus.

Verwaltungsvereinfachung

In den Verwaltungsvereinfachungsbestimmungen der HIPAA werden nationale Standards für die Sicherheit elektronisch geschützter Gesundheitsinformationen festgelegt. Dies beinhaltet die Regeln und Standards für Transaktionen und Codesätze und Identifikatoren für Arbeitgeber und Anbieter.

Transaktionen und Codeset-Standards

Zu den Standardtransaktionen für den elektronischen Datenaustausch (Electronic Data Interchange, EDI) von Gesundheitsfürsorge-Daten gehören Angaben zu Schadensfällen und Begegnungen, Zahlungs- und Überweisungshinweise, Status der Ansprüche, Anspruchsberechtigung, An- und Abmeldung, Verweise und Genehmigungen, Koordinierung der Leistungen und Prämienzahlung.

Standardcodesätze für Diagnose, Verfahren und Medikamentencodes umfassen die HCPCS (Ancillary Services / Verfahren), CPT-4 (Ärzteverfahren), CDT (Dental Terminology), ICD-9 (Diagnose und stationäre Krankenhausverfahren), ICD-10 (Stand 1. Oktober 2015) und NDC-Codes (National Drug Codes).

Kennzeichnungsstandards für Arbeitgeber und Anbieter

Zu den Standardkennungen gehören die Employer Identification Number (EIN) und der National Provider Identifier (NPI). Das EIN wird verwendet, um Arbeitgeber bei den Standardtransaktionen zu identifizieren. Die National Provider Identification oder NPI ist eine zehnstellige, eindeutige Identifikationsnummer, die anstelle von Anbieterkennungen verwendet wird, z. B. einer eindeutigen Anbieterkennnummer (UPIN) in HIPAA-Standardtransaktionen. Gesundheitsdienstleister sind aufgrund der Vorschriften der HIPAA verpflichtet, einen NPI zu erhalten.

Die Regeln für die Aufrechterhaltung der HIPAA-Sicherheit umfassen Schutzmaßnahmen für drei Schlüsselbereiche.

Administrative Schutzmaßnahmen

1. Entwicklung eines formalen Sicherheitsmanagementprozesses einschließlich der Entwicklung von Richtlinien und Verfahren, internen Audits, Notfallplänen und anderen Sicherheitsvorkehrungen, um die Einhaltung durch Mitarbeiter des Büros zu gewährleisten.
2. Weisen Sie einer bestimmten Person die Verantwortung für die Sicherheit zu, um den Einsatz von Sicherheitsmaßnahmen und das Verhalten des Personals zu verwalten und zu überwachen.
3. Implementieren Sie Funktionen, die sicherstellen, dass das Personal über eine ordnungsgemäße Schulung und die Berechtigung für den Zugriff auf das PHI verfügt
4. Definieren Sie die Zugriffsebenen für alle Mitarbeiter und wie sie gewährt werden
5. Fordern Sie von allen Mitarbeitern des medizinischen Büros, einschließlich der Sicherheitskräfte, Sicherheitsschulungen auf und erhalten Sie regelmäßige Erinnerungen und Schulungen für Benutzer.

Physische Schutzmaßnahmen

1. Legen Sie das PHI an einem sicheren Ort und an einem sicheren Arbeitsbereich für Mitarbeiter ab (dies schließt die Verwendung von Schlössern, Schlüsseln und Ausweisen zum Entriegeln von Türen ein), die den Zugriff auf unbefugte Personen und Eindringlinge einschränken.
2. Entwickeln Sie Richtlinien zur Überprüfung der Zugriffsberechtigungen, zur Gerätesteuerung und zum Umgang mit Besuchern. Entwickeln und stellen Sie eine Dokumentation mit Anweisungen dazu bereit, wie Ihre Arztpraxis zum Schutz der PHI beitragen kann (z. B. Abmeldung vom Computer, bevor Sie ihn unbeaufsichtigt lassen).
3. Schutz vor Feuer und anderen Gefahren bieten

Technische Schutzmaßnahmen

1. Legen Sie eine eindeutige Benutzeridentifikation fest, einschließlich Passwörter und PIN-Nummern
2. Nehmen Sie eine automatische Abmeldekontrolle an
3. Aufzeichnung und Überprüfung der Systemaktivität zu Prüfzwecken
4. Verwenden Sie Verschlüsselungssteuerungen, um übertragene Daten über ein Netzwerk zu schützen

Durchsetzung und Sanktionen für die Nichteinhaltung

Zivilgeldstrafen

• 100 USD pro Nichteinhaltung
• Maximal 25.000 USD pro Jahr für mehrere Verstöße gegen dieselbe Anforderung

Strafrechtliche Sanktionen (um wissentlich PHI unter Verletzung der HIPAA zu erhalten oder offenzulegen)

• 50.000 USD Geldstrafe und bis zu einem Jahr Haft
• Geldstrafe in Höhe von 100.000 US-Dollar und bis zu fünf Jahre Haft (wenn die Verletzung falsche Vorwände beinhaltet)
• 250.000 USD Geldstrafe und bis zu zehn Jahre Haft (wenn der Verstoß die Absicht beinhaltet, PHI zu verkaufen, zu übertragen oder zu verwenden)

3

Tipps zur Vermeidung der Verletzung von HIPAA

1. Ergreifen Sie die notwendigen Schritte, um die Offenlegung von Informationen durch Routinegespräche zu vermeiden. Vermeiden Sie die Offenlegung von Informationen durch Routinegespräche. Erörterung von Patienteninformationen in Wartebereichen, Fluren oder Aufzügen; ordnungsgemäße Entsorgung von PHI; und der Zugang zu Informationen muss strikt auf Mitarbeiter beschränkt sein, deren Arbeitsplätze diese Informationen erfordern. Grundlegende Informationen können so unbedeutend erscheinen, dass sie in Routinegesprächen leicht erwähnt werden können, jedoch nur auf der Grundlage der Notwendigkeit der Kenntnisnahme weitergegeben werden sollten.
2. Vermeiden Sie es, Patienteninformationen in Wartebereichen, Fluren oder Aufzügen zu diskutieren. Sensible Informationen können von Besuchern oder anderen Patienten abgehört werden. Bewahren Sie außerdem Patientenakten außerhalb von öffentlich zugänglichen Bereichen auf.Da Check-in-Schalter und Krankenschwesternstationen offen sind, sollten Sie unbedingt darauf achten, dass die Computer jederzeit gesichert sind. Kartenhalter sollten montiert und die Frontplatte gemäß den HIPAA-Standards abgedeckt werden.
3. PHI sollte niemals im Hausmüll entsorgt werden. Jedes in den Papierkorb geworfene Dokument ist für die Öffentlichkeit zugänglich und daher ein Informationsverstoß. Es gibt viele Möglichkeiten, PHI zu entsorgen. Zur ordnungsgemäßen Entsorgung von Papier-PHI gehören Verbrennung oder Zerkleinerung. Elektronische PHI können durch Löschen, Löschen, Neuformatieren, Verbrennen, Schmelzen oder Zerkleinern entsorgt werden.
4. Es gibt eine Reihe verfügbarer Technologien, die zum Schutz von Patientendaten entwickelt wurden. Seien Sie bei der Auswahl von Geräten und Software, die Daten über eine drahtlose Verbindung schützen, einschließlich Firewalls, Virenschutz, Anti-Spyware und Intrusion Detection-Technologie. Seien Sie äußerst vorsichtig, wenn Sie über eine Remote-Verbindung auf Daten zugreifen. IT-Spezialisten empfehlen die Verwendung eines Zwei-Faktor-Authentifizierungssystems mit Sicherheits-Token und -Kennwörtern.