PHIPA und HIPAA im Vergleich: die wichtigsten Unterschiede für die Compliance im Gesundheitswesen

Wofür steht PHIPA?

PHIPA steht für Personal Health Information Protection Act, 2004 und ist das Gesetz, das Patientengesundheitsdaten in Ontario, Kanada, regelt. Es trat 2004 in Kraft und wird vom Information and Privacy Commissioner of Ontario überwacht, einer unabhängigen Aufsichtsbehörde, die Beschwerden und Datenschutzverletzungen untersucht.

PHIPA legt fest, wie Organisationen im Gesundheitswesen das erheben, verwenden, speichern und weitergeben, was das Gesetz als personenbezogene Gesundheitsdaten (PHI) bezeichnet: alles, was eine Patientin oder einen Patienten identifiziert und sich auf die Gesundheit bezieht, etwa Krankenakten, Untersuchungsergebnisse und Rezepte.

Wofür steht HIPAA?

HIPAA steht für Health Insurance Portability and Accountability Act, das Bundesgesetz der Vereinigten Staaten zum Schutz von Patientengesundheitsdaten. Es wurde 1996 verabschiedet; in den USA heißt dieselbe Art von Daten protected health information, was ebenfalls mit PHI abgekürzt wird.

HIPAA beruht auf einigen Kernregeln: einer Privacy Rule, die einschränkt, wie Gesundheitsdaten verwendet und weitergegeben werden, einer Security Rule, die Schutzmaßnahmen für elektronische Akten vorschreibt, und einer Breach Notification Rule, die regelt, was bei einer Offenlegung von Daten geschieht. Einen vollständigen Überblick finden Sie in unserer Erläuterung Was ist HIPAA und in unserer Übersicht über die drei Regeln von HIPAA.

Gilt HIPAA in Kanada?

Nein, HIPAA gilt nicht in Kanada. HIPAA ist ein US-Bundesgesetz und hat nördlich der Grenze keine Rechtskraft. Das sorgt immer wieder für Verwirrung: Eine kanadische Klinik fragt nach einem „HIPAA-konformen“ fax-Dienst, benötigt aber eigentlich einen, der das kanadische Datenschutzrecht erfüllt. Für das Gesundheitswesen in Ontario ist dieses Gesetz PHIPA.

Was ist das kanadische Pendant zu HIPAA?

Ein einziges kanadisches Pendant zu HIPAA gibt es nicht. Der Gesundheitsdatenschutz ist in Kanada Sache der einzelnen Provinzen: Ontario hat PHIPA, während ein separates nationales Gesetz namens PIPEDA personenbezogene Daten im privaten Sektor allgemeiner abdeckt. Für einen Leistungserbringer im Gesundheitswesen in Ontario ist PHIPA das Gesetz, das für Patientenakten gilt.

Das ist zugleich die kurze Antwort auf eine verwandte Frage, PHIPA oder PIPEDA: PHIPA ist das spezifische Gesundheitsdatenschutzgesetz für Ontario, PIPEDA ist das allgemeine bundesweite Datenschutzgesetz. PHI im Sinne von PHIPA ist zudem enger gefasst und spezifischer als personenbezogene Daten im Sinne von PIPEDA, weil sie sich unmittelbar auf die Gesundheit und Versorgung einer Person beziehen. Sobald in Ontario Gesundheitsdaten betroffen sind, hat PHIPA Vorrang.

Was sind die wichtigsten Unterschiede zwischen PHIPA und HIPAA?

Die größten Unterschiede zwischen PHIPA und HIPAA betreffen den Geltungsbereich und die Bezeichnungen, die jedes Gesetz für dieselben Rollen verwendet. Beide Gesetze wollen Patientendaten schützen und verlangen starke Sicherheitsmaßnahmen, Einwilligungen und Meldungen bei Datenschutzverletzungen, doch im Detail gehen sie in einer Weise auseinander, die für einen Anbieter von Bedeutung ist.

‍

Die Strukturen entsprechen sich fast Rolle für Rolle. PHIPA bezeichnet die Gesundheitseinrichtung als Health Information Custodian; HIPAA nennt sie Covered Entity. PHIPA bezeichnet einen Anbieter, der Daten im Auftrag des Leistungserbringers verarbeitet, als Agent; HIPAA nennt ihn Business Associate. In beiden Systemen trägt der Leistungserbringer die zentrale rechtliche Verantwortung, und der Anbieter verarbeitet Daten nur auf Grundlage einer schriftlichen Vereinbarung.

Wie unterscheiden sich PHIPA und HIPAA bei der Meldung von Datenschutzverletzungen?

Der Zeitpunkt ist der größte praktische Unterschied. Nach HIPAA hat eine Covered Entity in der Regel bis zu 60 Tage Zeit für die Benachrichtigung, und Verletzungen mit 500 oder mehr Datensätzen werden der Bundesbehörde gemeldet. PHIPA ist schneller und weiter gefasst: Ein Custodian muss die betroffene Person und den Information and Privacy Commissioner of Ontario sofort benachrichtigen, sobald ein meldepflichtiger Auslöser für eine Datenschutzverletzung vorliegt, und es gibt keine Mindestanzahl an Datensätzen. PHIPA fügt zudem einen Schritt hinzu, den HIPAA nicht kennt: Custodians reichen beim IPC einen Jahresbericht ein, der die meldepflichtigen Verletzungen des vorangegangenen Kalenderjahres erfasst und bis zum 1. März fällig ist.

Für einen Faxanbieter bestimmt das, wie die Reaktion auf Vorfälle ablaufen muss. Ein Dienst, der nur auf die 60-Tage-Frist von HIPAA ausgelegt ist, wäre für Ontario zu langsam. Der Anbieter muss einen qualifizierenden Vorfall kennzeichnen und dem Custodian die Details sofort übermitteln, damit dieser die kürzere Frist nach PHIPA einhalten kann.

Wie gehen PHIPA und HIPAA mit der Einwilligung von Patientinnen und Patienten um?

PHIPA und HIPAA erlauben beide, dass Gesundheitsinformationen zu Behandlungszwecken fließen, ohne jedes Mal ein separates unterschriebenes Formular zu verlangen. Nach PHIPA kann sich ein Leistungserbringer in Ontario innerhalb des Behandlungskreises (Circle of Care), also der Fachpersonen, die unmittelbar an der Behandlung einer Person beteiligt sind, auf eine stillschweigende Einwilligung stützen, sofern bestimmte Bedingungen erfüllt sind. HIPAA beruht auf einem ähnlichen Prinzip und erlaubt die Weitergabe von Informationen für Behandlung, Zahlung und Abläufe im Gesundheitswesen ohne gesonderte Genehmigung. Beide Gesetze verlangen eine ausdrückliche Einwilligung, sobald über diese Kernzwecke hinausgegangen wird, etwa für Marketing.

Für einen Faxanbieter gilt nach beiden Gesetzen praktisch dasselbe: Das Einwilligungsmanagement ist Aufgabe des Leistungserbringers, nicht des Anbieters. Ein Faxdienst überträgt das Dokument; er entscheidet nie, ob eine Einwilligung vorliegt.

Was verlangen PHIPA oder HIPAA für den Faxversand von Patientenakten?

Um Patientenakten nach PHIPA oder HIPAA per Fax zu versenden, muss der Dienst mehr leisten, als nur ein Dokument zu senden. Fax bleibt im Gesundheitswesen verbreitet, weil es einen klaren Punkt-zu-Punkt-Nachweis zwischen zwei bekannten Parteien schafft, aber ein gewöhnliches Faxtool erfüllt keines der beiden Gesetze. Ein konformer Dienst benötigt Verschlüsselung der Daten bei der Übertragung und im Ruhezustand, Zugriffskontrollen wie individuelle Anmeldungen und Zwei-Faktor-Authentifizierung, Audit-Protokolle, die festhalten, wer jedes Dokument gesendet oder geöffnet hat, sicheres Löschen, das eine Wiederherstellung verhindert, sowie eine schriftliche Vereinbarung, die die Pflichten des Anbieters festhält.

Dieselbe Logik gilt, wenn Patientenformulare elektronisch unterschrieben werden müssen. Erhebt eine Praxis Aufnahmeformulare, Einwilligungsformulare, Überweisungsunterlagen oder andere patientenbezogene Dokumente über eine E-Signatur-Plattform, benötigt auch dieser Dienst die richtigen Schutzmaßnahmen und eine schriftliche Vereinbarung. Nicht jede Unterschrift auf einem gefaxten Formular ist eine solche E-Signatur: Viele Aufnahme- und Einwilligungsformulare, die weiterhin per Fax eintreffen, tragen eine Faksimile-Unterschrift, also eine gestempelte oder vorgedruckte Wiedergabe einer handschriftlichen Unterschrift statt einer elektronisch erfassten, und dieser Unterschied wirkt sich auf den Prüfpfad aus, auf den sich ein Compliance-Team tatsächlich verlassen kann. Für Gesundheitsdienstleister in Ontario bedeutet das, einen Dienstleister mit PHIPA-konformer Einrichtung zu nutzen; für Gesundheitsdienstleister in den USA bedeutet es, einen HIPAA-konformen Anbieter mit unterzeichnetem BAA zu nutzen.

Diese schriftliche Vereinbarung ist die entscheidende Trennlinie. Ohne ein PHIPA Service Provider Agreement (Dienstleistervereinbarung) oder ein HIPAA-BAA darf ein fax-Tool nicht für Patientendaten verwendet werden – unabhängig davon, wie leistungsfähig die Technologie ist. Erst die unterzeichnete Vereinbarung macht den Anbieter formell rechenschaftspflichtig.

Gibt es eine PHIPA-Zertifizierung oder ein PHIPA-Register?

Nein, PHIPA betreibt kein zentrales Zertifizierungs- oder Registrierungsprogramm. Die Einhaltung ist etwas, das eine Organisation nachweist, und kein Siegel, das sie aus einem Register erhält. Der Custodian und seine Anbieter halten ihre Richtlinien, Schutzmaßnahmen, Einwilligungsverfahren und Aufzeichnungen zu Datenschutzverletzungen bereit und legen sie vor, wenn ein Kunde oder der Commissioner danach fragt. Deshalb wird ein sorgfältiger Anbieter erklären, dass er PHIPA-konform ist und seine Kontrollen belegen kann, statt auf ein offizielles PHIPA-Siegel zu verweisen, das es nicht gibt.

Kann ein fax-Dienst sowohl PHIPA- als auch HIPAA-konform sein?

Ja, eine einzige Plattform für Gesundheitsdokumente kann sowohl PHIPA- als auch HIPAA-Workflows unterstützen – und Fax.Plus und Sign.Plus tun das. Fax.Plus unterstützt konformes Online-Faxen für Patientenakten, während Sign.Plus sichere elektronische Signaturen für Formulare im Gesundheitswesen, Einwilligungsdokumente, Überweisungen und Verwaltungsunterlagen ermöglicht.

Beide Dienste sind für Gesundheitsdienstleister in Ontario PHIPA-konform und für Gesundheitsorganisationen in den USA HIPAA-konform. Beide stellen die jeweils vom Gesetz geforderte schriftliche Vereinbarung bereit: ein PHIPA Service Provider Agreement (Dienstleistervereinbarung) für Anbieter in Ontario und ein unterzeichnetes Business Associate Agreement für Organisationen in den USA. Custodians in Ontario können für ihren Tenant außerdem eine kanadische Verarbeitungsregion wählen, die durch technisches Region-Pinning und das PHIPA Service Provider Agreement durchgesetzt wird.

Unter der Haube schützen beide Dienste Dokumente durch Verschlüsselung bei der Übertragung und im Ruhezustand, individuellen Benutzerzugriff, rollenbasierte Berechtigungen, Zwei-Faktor-Authentifizierung und Audit-Protokolle für Dokumentaktivitäten. Sie arbeiten im Rahmen unabhängig geprüfter Programme nach ISO 27001 und SOC 2 Type II, mit Datenresidenz in der Schweiz und mehr als 20 verfügbaren Standorten für die Datenresidenz. Diese Zertifizierungen sind unabhängige Prüfungen dazu, wie die Dienste Daten schützen – genau das, was sowohl PHIPA als auch HIPAA hinter dem Gesetzeswortlaut erwarten.

Mehr erfahren Sie dazu, ob Fax.Plus sicher ist, entdecken Sie die Fax-Lösung für das Gesundheitswesen, lesen Sie, wie HIPAA-konformes Faxen funktioniert, oder werfen Sie einen Blick auf die HIPAA-konforme Fax-API, wenn Sie Faxfunktionen in ein bestehendes System integrieren.