Das Health Insurance Portability and Protection Act (HIPAA) der Bundesregierung hat Richtlinien für den Umgang mit Gesundheitsdaten von Patienten erstellt. Leider sind die HIPAA-Richtlinien vage. Es gibt keine einfache Checkliste, die Sie verwenden können, um HIPAA-konforme Software zu finden. Stattdessen schreibt HIPAA vor, dass Sie eine Reihe von Verfahren für den Zugriff auf und das Senden von Gesundheitsinformationen von Patienten erstellen. Sie müssen dann einen Softwareanbieter finden, dessen Software es Ihnen ermöglicht, Ihre Verfahren zu implementieren.
Schritte
Teil 1 von 3: Geeignete Verfahren erstellen
Schritt 1. Führen Sie ein Überwachungsprotokoll
Sie müssen nachverfolgen, wer auf die Patientenakte zugreift. Dies bedeutet, dass Sie für jede Person, die Zugriff auf die Gesundheitsdaten des Patienten hat, separate Benutzernamen und Passwörter erstellen müssen. Als Teil des Audit-Logs sollten Sie Folgendes verfolgen:
- auf welchen Datensatz der Benutzer zugegriffen hat
- das Datum des Zugriffs
- ob der Benutzer die Informationen angesehen, aktualisiert oder gelöscht hat
Schritt 2. Erstellen Sie Zugriffsebenen
HIPAA verlangt auch, dass ein Mitarbeiter nur die „mindestens notwendigen“Informationen sieht, um seine Arbeit zu erledigen. Ein Arzt muss beispielsweise mehr Gesundheitsinformationen einsehen als eine Empfangsdame. Dementsprechend müssen Sie Zugriffsebenen erstellen, in denen Sie nur so viele Informationen bereitstellen, wie jede Person für ihre Arbeit benötigt.
- Einige Mitarbeiter arbeiten möglicherweise nur mit bestimmten Patienten. In dieser Situation sollte ihnen nur der Zugriff auf die Patientenakten der Personen gewährt werden, mit denen sie zusammenarbeiten.
- Um erfolgreich Zugriffsebenen zu erstellen, müssen Sie Rollen in Ihrer Organisation klar definieren. Dies kann erfordern, dass Sie sich Stellenbeschreibungen ansehen und Aufgaben neu ordnen.
Schritt 3. Erstellen Sie eine „Not-Override“-Funktion
Auch wenn Sie Zugriffsebenen erstellen, kann es Situationen geben, in denen jemand im Notfall auf alle Informationen zugreifen muss. Aus diesem Grund sollten Sie einen „Override“erstellen, der es der Person ermöglicht, alle Informationen abzurufen, die für eine effektive Behandlung von Patienten erforderlich sind.
- Dennoch sollten Sie Ihre Software so einrichten, dass die Nutzung dieser Override-Funktion auf den Prüfstand gestellt wird.
- Sie können die Software beispielsweise so einrichten, dass jedes Mal, wenn jemand die Override-Funktion nutzt, automatisch mehrere andere Personen gleichzeitig eine E-Mail erhalten. Die Software sollte auch alle Informationen verfolgen, auf die diese Person zugreift.
- Sie sollten auch für jede Verwendung der Override-Funktion einen Überprüfungsprozess erstellen. Beispielsweise muss sich die Person, die es verwendet, möglicherweise später mit einem Vorgesetzten treffen, um die Verwendung zu rechtfertigen.
Schritt 4. Sichern Sie Ihre Daten
HIPAA verlangt, dass Sie Ihre Daten sicher aufbewahren. In der Praxis bedeutet dies, dass Sie Passwörter verwenden und die Daten hinter einer Firewall schützen sollten.
- Sie müssen auch sicherstellen, dass Ihre E-Mails sicher sind. Insbesondere müssen Sie für Ihre E-Mails eine ausreichende Verschlüsselungstechnologie verwenden.
- Weitere Informationen zum Sicherstellen, dass Ihre E-Mails HIPAA-konform sind, finden Sie unter E-Mail HIPAA-konform machen.
Schritt 5. Patientenautorisierungsformulare scannen
Sie sind verpflichtet, Patienten dazu zu bringen, Formulare zu unterschreiben, die Ihre Verwendung ihrer Informationen für ihre Behandlung autorisieren. Jedes Formular sollte eine Beschreibung der Verwendung der Daten und des Ablaufdatums enthalten.
- Sie sollten diese Autorisierungen verfolgen, einschließlich des Datums der Unterzeichnung des Formulars und des Namens der Person, die es unterschreibt.
- Sie sollten das Formular auch scannen und eine digitale Kopie aufbewahren.
Schritt 6. Bestätigen Sie, dass Ihr Abrechnungssystem konform ist
HIPAA standardisierte die Übermittlung von Rechnungsinformationen. Aus diesem Grund muss jedes von Ihnen verwendete Abrechnungssystem die HIPAA-Standards unterstützen.
Zu diesem Zeitpunkt ist dies praktisch jedes Abrechnungssystem auf dem Markt. Trotzdem sollten Sie sich bei Ihrem Anbieter vergewissern, dass es HIPAA-konform ist
Schritt 7. Fragen Sie die Anbieter nach Backups
HIPAA verlangt auch, dass Sie Ihre Daten pflegen, damit ein Patient sie jederzeit sehen kann, wenn er oder sie dies verlangt. Dies bedeutet, dass Sie Sicherungskopien aller Informationen erstellen müssen. Wenn Sie Informationen auf Papier aufbewahren, benötigen Sie Kopien, die außerhalb des Standorts gespeichert oder digitale Scans erstellt werden. Wenn Sie Daten elektronisch speichern, müssen diese gesichert werden.
- Fragen Sie Anbieter, wie sie ihre Systeme sichern. Finden Sie heraus, wie sie die Kontinuität des Systems im Falle eines Unfalls sicherstellen.
- Sollten Sie das Datensystem auf Ihren eigenen Servern hosten, müssen Sie sich über Ihre Backup-Verfahren und Ihre Notfallpläne informieren.
Schritt 8. Lassen Sie Geschäftspartner Verträge unterschreiben
Jeder, der Ihre Daten sieht, muss zustimmen, dieselben Richtlinien und Verfahren wie Ihre Organisation einzuhalten. Sie sollten daher einen „Business Associate“-Vertrag aufsetzen, den alle Anbieter unterschreiben müssen.
- Für Health and Human Services ist ein Mustervertrag verfügbar unter https://www.hhs.gov/hipaa/for-professionals/covered-entities/sample-business-associate-agreement-provisions/index.html. Sie können es an Ihre Zwecke anpassen.
- Es gibt auch Musterverträge im Internet. Das UT Health Science Center verfügt beispielsweise über einen Formularvertrag, den Sie verwenden können.
- Sie sollten auch jeden Vertrag von Ihrem Anwalt überprüfen lassen, um sicherzustellen, dass er ausreicht, um Sie zu schützen.
Teil 2 von 3: Suche nach Software- und Datenanbietern
Schritt 1. Fragen Sie andere Gesundheitsdienstleister
Wenn Sie ein Geschäft eröffnen, müssen Sie Software kaufen. Möglicherweise müssen Sie auch jemanden beauftragen, Ihre Daten auf deren Servern zu hosten (oder Ihre eigenen Server zu sichern).
Fragen Sie andere Anbieter, welche Anbieter sie verwenden. Praktisch alle Gesundheitsdienstleister sind von HIPAA abgedeckt, daher hätten sie sich gründlich überlegen müssen, ob ihre Software konform ist oder nicht. Sie sollten nach Empfehlungen fragen
Schritt 2. Preise vergleichen
Nachdem Sie Empfehlungen für verschiedene Anbieter erhalten haben, müssen Sie deren Preise vergleichen. Sie sollten sie anrufen, um ein Angebot zu erhalten. Ihre Telefonnummern sollten im Internet stehen.
- Die Preise hängen von der Anzahl der Personen ab, die auf Ihr System zugreifen müssen. Stellen Sie also sicher, dass Sie diese Anzahl verfügbar haben.
- Wenn Ihr Unternehmen wächst, sollten Sie ein paar Jahre im Voraus denken. Wenn Sie beispielsweise fünf Mitarbeiter haben, aber davon ausgehen, dass Sie sich verdoppeln werden, sollten Sie ein Angebot für die Kosten von 10 Benutzern einholen. Sie möchten nicht nach nur einem Jahr die Software wechseln.
Schritt 3. Finden Sie heraus, wie der Anbieter Änderungen in HIPAA überwacht
Die HIPAA-Bestimmungen entwickeln sich weiter. Sie sollten davon ausgehen, dass der Verkäufer mit den Gesetzesänderungen Schritt hält. Bei der Kontaktaufnahme mit Anbietern sollten Sie Folgendes fragen:
- Wie überwacht der Anbieter Änderungen der HIPAA-Vorschriften? Verfügt sie über einen Aktionsplan, um mit Gesetzesänderungen Schritt zu halten? Suchen Sie nach konkreten Beispielen. Verfügt das Unternehmen über einen Rechtsanwalt, der Gesetzesänderungen überwacht?
- Wie viel Prozent der Kunden des Anbieters müssen HIPAA-konform sein? Wenn die meisten Kunden des Unternehmens HIPAA einhalten müssen, können Sie sicher sein, dass es die notwendigen Änderungen vornehmen wird, um HIPAA einzuhalten – oder es wird aus dem Geschäft gehen.
Teil 3 von 3: Die Anforderungen von HIPAA verstehen
Schritt 1. Prüfen Sie, ob HIPAA auf Sie zutrifft
Sie müssen HIPAA einhalten, wenn Ihre Organisation Rechnungsinformationen elektronisch an eine Krankenkasse übermittelt, einschließlich Medicaid und Medicare. Die Informationen können Rechnungen oder andere Informationen enthalten, die zum Auffinden eines Versicherungsschutzes erforderlich sind. Im Allgemeinen reguliert HIPAA Anbieter von:
- Therapie
- Beratung
- medizinische Versorgung
- jede andere Dienstleistung, die Versicherungsgesellschaften in Rechnung stellt
Schritt 2. Finden Sie einen Anwalt für das Gesundheitswesen
HIPAA-Regeln sind kompliziert und schwer zu verstehen. Um sicherzustellen, dass Sie die Vorschriften einhalten, sollten Sie einen Anwalt für Gesundheitsfürsorge für Ihre Organisation beauftragen. Ein Anwalt im Gesundheitswesen kann helfen, Risikomanagement und regulatorische Probleme zu lösen. Sie können diese Person „auf Retainer“behalten, was bedeutet, dass Sie jeden Monat eine Gebühr zahlen. Im Gegenzug steht Ihnen der Anwalt jederzeit für Ihre Fragen zur Verfügung.
- Sie können Empfehlungen für einen Anwalt im Gesundheitswesen erhalten, indem Sie andere Gesundheitsdienstleister fragen, wen sie verwenden. Wenn Sie keine Empfehlungen erhalten, können Sie die Anwaltskammer Ihres Bundesstaates aufsuchen, die ein Empfehlungsprogramm durchführen sollte. Bitten Sie um eine Überweisung für einen Anwalt im Gesundheitswesen.
- Fragen Sie den Anwalt unbedingt nach seinen Erfahrungen. Sie möchten jemanden, der über umfassende Erfahrung in der Einhaltung gesetzlicher Vorschriften verfügt, nicht nur in der Vertretung von Unternehmen in Gerichtsverfahren.
Schritt 3. Seien Sie sicher, es tut mir nicht leid
Technisch gesehen müssen Sie keine Benutzernamen, Zugriffsebenen oder sogar Software in Ihrem Unternehmen erstellen. Stattdessen verlangt HIPAA nur, dass Sie „angemessene Schritte“unternehmen und nur die „minimal notwendigen“Informationen offenlegen. Aus praktischen Gründen müssen Sie jedoch die oben beschriebenen Verfahren für den Zugriff und die Verteilung von Informationen erstellen, wenn Sie ein modernes Büro mit Computern und E-Mail betreiben möchten. Diese Verfahren tragen dazu bei, Sie vor unbefugter Offenlegung von Patientendaten zu schützen.
- Die Strafen für einen Verstoß gegen HIPAA können schwerwiegend sein. Sie können für jeden Verstoß mit einer Geldstrafe von bis zu 50.000 US-Dollar rechnen, bis zu einem Höchstbetrag von 1,5 Millionen US-Dollar pro Jahr. Es gibt auch strafrechtliche Sanktionen für diejenigen, die wissentlich gegen die Regeln verstoßen.
- Dementsprechend sind Sie besser dran, die Praktiken und Verfahren zu befolgen, die in Ihrer Branche zum Standard werden. Erfahrene Anwälte und Anbieter im Gesundheitswesen können Sie in die richtige Richtung führen.
