Was ist ein Datenschutzhinweis (Notice of Privacy Practices, NPP) im HIPAA?

Im Zusammenhang mit dem HIPAA ist eine Notice of Privacy Practices (NPP) ein Dokument, das Patienten, Mitarbeitern und Kunden erklärt, wie relevante Gesundheitsinformationen gesammelt, verarbeitet, gespeichert und verwendet werden. Außerdem werden darin ausdrücklich die Datenschutzrechte des Einzelnen in Bezug auf seine geschützten Gesundheitsinformationen (Protected Health Information - PHI) dargelegt. Im Gegensatz zu vielen anderen Aspekten des HIPAA ist die NPP im Gesundheitswesen eine sehr sichtbare Darstellung der Absichten und des Zwecks des Gesetzes, da es sich um ein physisches Dokument handelt, das tatsächlich durch die Hände aller Kunden einer betroffenen Einrichtung gehen und von diesen unterzeichnet werden muss.

Die Datenschutzhinweise (Notice of Privacy Practices, NPPs) stehen im Zusammenhang mit der Datenschutzrichtlinie des HIPAA. Diese Vorschrift räumt den Patienten wichtige Rechte in Bezug auf ihre PHI ein und legt die ordnungsgemäße Verwendung und Offenlegung von PHI für die Patientenversorgung und andere Zwecke fest. Die ursprünglichen Verfasser des HIPAA waren besorgt darüber, dass der durchschnittliche Verbraucher im Gesundheitswesen seine Rechte als Patient nicht kennt. Daher wurde die NPP geschaffen, "um Einzelpersonen auf Datenschutzfragen und -belange aufmerksam zu machen und sie zu Gesprächen sowohl mit ihren Gesundheitsplänen als auch mit ihren Gesundheitsdienstleistern zu veranlassen und ihre Rechte wahrzunehmen". Die HIPAA-Gesetzgebung trägt dazu bei, dass Patienten eine Geschäftsbeziehung mit ihrem Anbieter mit allen Informationen eingehen, die sie benötigen, um ein informierter Patient zu sein, daher verlangt der HIPAA, dass jeder Anbieter jedem Verbraucher proaktiv einen NPP zukommen lässt. Ein Standard-NPP besteht aus einem leicht verständlichen Hinweis, der erläutert, wie eine vom HIPAA abgedeckte Einrichtung PHI verwenden und weitergeben kann, sowie aus einem Überblick über die Rechte des Einzelnen, die gesetzlichen Pflichten einer abgedeckten Einrichtung bei der Speicherung oder Verwendung von PHI und alle zusätzlichen Datenschutzrichtlinien.

Was steht in einem HIPAA-NPP (Notice of Privacy Practices)?

Der Datenschutzhinweis informiert neue Patienten darüber, wie ihr Anbieter ihre Daten verwalten und schützen wird. Außerdem werden darin die Rechte des Patienten zur Nachverfolgung und eventuellen Entfernung seiner Daten dargelegt. Ein vom HIPAA genehmigter NPP muss einige Schlüsselelemente enthalten, um als konform zu gelten. Abgedeckte Stellen sind verpflichtet, in einfacher Sprache einen Hinweis zu geben, der Folgendes beschreibt

• Wie die betroffene Einrichtung geschützte Gesundheitsinformationen über eine Person verwenden und weitergeben kann. Es gibt verschiedene Möglichkeiten, diese Regeln zu formulieren. Das Kernelement ist, dass der Leser versteht, dass der Anbieter keinen Freibrief für die Verwendung seiner Daten hat. Wenn Unternehmen PHI falsch handhaben, kann dies zu erheblichen Strafen führen).

• Die Rechte des einzelnen Patienten in Bezug auf die Informationen und wie der Einzelne diese Rechte ausüben kann. Es muss auch angegeben werden, wie sich der Einzelne bei der betroffenen Einrichtung beschweren kann. Einige dieser Rechte sind offensichtlicher als andere. So haben beispielsweise alle Patienten das Recht auf eine Papierkopie der PHI, die der Anbieter besitzt. Andererseits sind einige dieser Rechte etwas undurchsichtiger. So haben Patienten beispielsweise das Recht, eine Liste aller anderen Stellen anzufordern, mit denen ihre personenbezogenen Daten ausgetauscht wurden.

• Die gesetzlichen Pflichten der betroffenen Einrichtung in Bezug auf die Informationen, einschließlich einer Erklärung, dass die betroffene Einrichtung gesetzlich verpflichtet ist, die Vertraulichkeit der geschützten Gesundheitsinformationen zu wahren. Zu diesen Pflichten gehören u. a. die Verpflichtung, PHI vor unbefugter Nutzung zu schützen, sowie die Verantwortung, Sie unverzüglich zu informieren, wenn Ihre Daten verletzt wurden.

• An wen sich Einzelpersonen wenden können, um weitere Informationen über die Datenschutzrichtlinien der betroffenen Einrichtung zu erhalten. Dieser Kontakt ist eine wichtige Information. Bei verschiedenen Anbietern sind die vorherigen Abschnitte wahrscheinlich fast identisch, aber die Kontaktinformationen sind immer einzigartig

Eine betroffene Einrichtung muss auch ein Datum des Inkrafttretens in ihre NPP aufnehmen. Bei Aktualisierungen seiner Datenschutzpraktiken muss das Unternehmen dieses Datum ändern und seine NPP neu verteilen. Diese Anforderungen sind der Grund, warum es manchmal so aussieht, als müsste man bei jedem Arztbesuch Dutzende von Seiten mit Informationen lesen und unterschreiben. Anbieter nehmen oft kleine Änderungen an ihren Datenschutzbestimmungen vor, um Änderungen in den Vorschriften oder in ihrer IT-Umgebung Rechnung zu tragen, so dass sie allen, die sie noch nicht gelesen und unterschrieben haben, die aktuelle Version zur Verfügung stellen müssen.

Die korrekte Abfassung des Datenschutzhinweises Ihres Unternehmens kann technisch kompliziert sein. Aus diesem Grund stellt das Department of Health and Human Services auf seiner Website Vorlagen zur Verfügung, die von den meisten Anbietern mit minimalen Änderungen verwendet werden können.

Welche Rechte werden in einer HIPAA-NPP beschrieben?

Um den Patienten zu helfen, sich für ihre Daten einzusetzen, muss die NPP die Rechte darlegen, die der HIPAA vorsieht, einschließlich der folgenden:

• Das Recht, Einschränkungen für bestimmte Verwendungen und Offenlegungen von PHI zu verlangen.

• Das Recht, vertrauliche Mitteilungen von PHI zu erhalten, soweit dies gesetzlich zulässig ist.

• Das Recht, PHI einzusehen und zu kopieren.

• Das Recht, PHI zu ändern, soweit dies gesetzlich zulässig ist.

• Das Recht, eine Buchführung über die Weitergabe von PHI zu erhalten.

• Das Recht einer Person, auf Anfrage eine Papierkopie der Mitteilung zu erhalten.

• Das Recht, sich bei der betroffenen Einrichtung und beim Secretary of Health and Human Services zu beschweren, wenn eine Person glaubt, dass ihre Datenschutzrechte verletzt wurden.

Kurz gesagt, Gesundheitsdienstleister haben die Pflicht und die Schuldigkeit, die Praktiken, zu denen sie sich zum Schutz von PHI verpflichten, transparent zu machen. Sie sind auch dafür verantwortlich, diese Informationen mit dem Patienten selbst zu teilen. Die Unternehmen müssen jedoch nicht immer auf alle Informationsanfragen antworten. So kann beispielsweise jeder Patient eine Berichtigung seiner Krankengeschichte beantragen, aber ein Anbieter hat das Recht, dies abzulehnen, obwohl er innerhalb von 30 Tagen eine schriftliche Antwort geben muss.

Wann sollte der NPP einem Patienten zur Verfügung gestellt werden?

Bisher haben wir darüber gesprochen, was ein NPP enthalten muss, und die Anforderung an die betroffenen Einrichtungen erörtert, einen NPP zu erstellen und zu verteilen. Da es sich beim HIPAA um eine staatliche Regelung handelt, gibt es einige komplizierte Vorschriften darüber, wann und wie Unternehmen einen NPP bereitstellen müssen:

Der Hinweis auf die Datenschutzpraktiken sollte unter den folgenden Umständen bereitgestellt werden:

• Betroffene Unternehmen müssen jedem, der danach fragt, eine Kopie ihres NPP zur Verfügung stellen.

• Außerdem müssen sie den NPP an ihren physischen Standorten gut sichtbar aushängen, so dass jeder, der den Raum betritt, einen klaren und ungehinderten Zugang hat.

• Wenn die Website eines Unternehmens Informationen über Kundendienste und -vorteile enthält, muss eine NPP auch auf der Website veröffentlicht werden. Diese Vorschrift spiegelt die Anforderungen an die Werbung für verschreibungspflichtige Arzneimittel wider, bei der die umfangreichen Listen möglicher Nebenwirkungen nur dann zu hören sind, wenn der Werbende auch die Vorteile des Medikaments aufführt.

• Es gibt zusätzliche anbieterspezifische Anforderungen für die Verbreitung eines NPP. So muss ein Leistungserbringer (z. B. ein Arzt oder ein Krankenhaus) sie beim ersten Besuch des Patienten aushändigen, Notaufnahmen müssen sie bei der erstmöglichen Gelegenheit aushändigen, und Krankenversicherungen müssen die NPP bei der Einschreibung und danach alle drei Jahre aushändigen.

Wie kann PubNub bei HIPAA und NPPs helfen?

Als Technologieanbieter, der seit 2015 als HIPAA-konform zertifiziert ist, kann PubNub auf eine lange Geschichte zurückblicken, in der es Anbietern geholfen hat, mit der Gewissheit zu operieren, dass ihre Abläufe konform sind. Hunderte von Anwendungen im Gesundheitswesen und in der Gesundheitstechnologie wurden mit Hilfe der PubNub-APIs und des PubNub-Netzwerks entwickelt und bereitgestellt, wobei die HIPAA-Konformität implizit gegeben war.

Um technische Verstöße gegen die HIPAA-Datenschutzbestimmungen zu vermeiden, muss sichergestellt werden, dass die Technologieanwendungen den in der NPP dargelegten Verpflichtungen und Auflagen entsprechen. Wir empfehlen Ihnen, mehr über die Lösungen zu erfahren, die Unternehmen bereits entwickelt haben, und unser E-Book Building a HIPAA-Compliant App zu lesen.

Wie kann PubNub Ihnen helfen?

Dieser Artikel wurde ursprünglich auf PubNub.com veröffentlicht.

Unsere Plattform unterstützt Entwickler bei der Erstellung, Bereitstellung und Verwaltung von Echtzeit-Interaktivität für Webanwendungen, mobile Anwendungen und IoT-Geräte.

Die Grundlage unserer Plattform ist das größte und am besten skalierbare Echtzeit-Edge-Messaging-Netzwerk der Branche. Mit über 15 Points-of-Presence weltweit, die 800 Millionen monatlich aktive Nutzer unterstützen, und einer Zuverlässigkeit von 99,999 % müssen Sie sich keine Sorgen über Ausfälle, Gleichzeitigkeitsgrenzen oder Latenzprobleme aufgrund von Verkehrsspitzen machen.

PubNub erleben

Sehen Sie sich die Live Tour an, um in weniger als 5 Minuten die grundlegenden Konzepte hinter jeder PubNub-gestützten App zu verstehen

Einrichten

Melden Sie sich für einen PubNub-Account an und erhalten Sie sofort kostenlosen Zugang zu den PubNub-Schlüsseln

Beginnen Sie

Mit den PubNub-Dokumenten können Sie sofort loslegen, unabhängig von Ihrem Anwendungsfall oder SDK