Was passiert, wenn jemand gegen HIPAA verstößt

Ein HIPAA-Verstoß kann Korrekturmaßnahmen, disziplinarische Maßnahmen gegenüber Mitarbeitenden und behördliche Durchsetzungsmaßnahmen nach sich ziehen. Eine Verletzung des Schutzes ungesicherter Patienteninformationen kann zudem Benachrichtigungspflichten auslösen. Das Ergebnis hängt davon ab, was geschehen ist, welche Informationen betroffen waren und zu welchen Ergebnissen die Untersuchung kommt.

Für Ärztinnen, Ärzte und Pflegekräfte können die Folgen am Arbeitsplatz Nachschulungen, Zugriffsbeschränkungen oder disziplinarische Maßnahmen umfassen. Einer Organisation drohen eine Untersuchung, eine Vergleichsvereinbarung (Resolution Agreement) oder zivilrechtliche Geldbußen. Mögliche Straftaten können an das Justizministerium (Department of Justice) weitergeleitet werden. Wie das OCR HIPAA durchsetzt.

Ein fehlgeleitetes fax zeigt, warum die Fakten entscheidend sind. Unterlagen, die für eine behandelnde Ärztin oder einen behandelnden Arzt bestimmt waren, könnten bei einem fachfremden Unternehmen landen, weil jemand einen veralteten Kontakt ausgewählt hat. Die wichtigsten Prioritäten sind, festzustellen, was übermittelt wurde, eine weitere Offenlegung zu begrenzen und die Informationen zu sichern, die für die Bewertung des Vorfalls nötig sind.

Welche Folgen kann ein HIPAA-Verstoß haben?

Auf denselben Vorfall können mehrere Reaktionen folgen.

Der Arbeitgeber prüft das Verhalten der Mitarbeitenden und ob die Verfahren eingehalten wurden. Das Datenschutzteam bewertet die Offenlegung und die Benachrichtigungspflichten. Eine Aufsichtsbehörde kann die Einhaltung der Vorschriften durch die Organisation untersuchen.

Das HHS Office for Civil Rights (OCR) kann Fälle durch freiwillige Einhaltung der Vorschriften, Korrekturmaßnahmen oder eine Vergleichsvereinbarung (Resolution Agreement) beilegen. Zivilrechtliche Geldbußen sind ebenfalls möglich. Eine Untersuchung kann auch ergeben, dass kein Verstoß vorlag.

Eine Schlagzeilen machende Geldbuße aus einem anderen Fall lässt daher keinen Rückschluss auf den Ausgang eines bestimmten Vorfalls zu. Die Untersuchung muss das Verhalten und die betroffenen Pflichten klären.

Für die Praxis kann der Aufwand über die ursprüngliche Offenlegung hinausgehen: betroffene Unterlagen prüfen, Empfänger kontaktieren, Entscheidungen dokumentieren, Mitarbeitende nachschulen und den Prozess ändern, der den Fehler ermöglicht hat.

Was passiert, wenn eine Ärztin, ein Arzt oder eine Pflegekraft gegen HIPAA verstößt?

Eine Berufsbezeichnung bestimmt keine feste Strafe.

Eine Pflegekraft, die ohne dienstlichen Grund eine Patientenakte öffnet, und ein Arzt, dessen Praxis Unterlagen an das falsche Ziel sendet, stellen unterschiedliche Sachverhalte dar. Die Untersuchung sollte die Handlungen, Zuständigkeiten, Anweisungen und die Reaktion der Person nach Bekanntwerden des Problems prüfen.

Die Folgen am Arbeitsplatz hängen von den Untersuchungsergebnissen und den geltenden Richtlinien ab. Sie können ein Beratungsgespräch, eine schriftliche Abmahnung, eine Nachschulung, Zugriffsbeschränkungen oder schwerwiegendere disziplinarische Maßnahmen umfassen.

In bestimmten Fällen sind Folgen für die Berufszulassung möglich. Das HHS beschreibt eine Pflegefachkraft mit erweiterten Befugnissen (Nurse Practitioner), die unbefugt auf die Unterlagen ihres früheren Ehemanns zugegriffen hat: Das Gesundheitssystem entzog ihr den Zugriff, meldete das Verhalten der Zulassungsbehörde und verlangte eine Datenschutzschulung zur Abhilfe. Das bedeutet nicht, dass bei jedem an einem Vorfall beteiligten Angehörigen eines Gesundheitsberufs automatisch die Zulassung entzogen wird. Fallbeispiele des HHS.

Mitarbeitende sollten vermutete Fehler umgehend melden und den Sachverhalt wahrheitsgemäß schildern. Die Organisation benötigt diese Angaben, um den Vorfall einzudämmen und ihre Pflichten zu bestimmen.

Ein fax an die falsche Nummer kann sensible Unterlagen offenlegen

In einem veröffentlichten HHS-Fall faxte eine Arztpraxis Unterlagen mit dem HIV-Status eines Patienten an dessen Arbeitgeber statt an den neuen Leistungserbringer.

Der verantwortliche Mitarbeiter erhielt eine schriftliche Abmahnung. Die Praxis überarbeitete ihr fax-Deckblatt und schulte die Mitarbeitenden zu den Verfahren für den fax-Versand. Der Arzt und der Mitarbeiter entschuldigten sich außerdem beim Patienten.

Der Fehler passierte bei der Auswahl des Ziels. Ein funktionierender fax-Dienst könnte das Dokumentenpaket erfolgreich übertragen, während die Informationen dennoch bei einem unbefugten Empfänger ankommen.

Auch bei einer korrekten Nummer besteht ein weiteres Risiko, wenn Mitarbeitende die Dokumente des falschen Patienten anhängen. Das Ziel zu prüfen und das Dokumentenpaket zu prüfen sind zwei getrennte Aufgaben.

Verstößt das Faxen von Unterlagen ohne Einwilligung gegen HIPAA?

Nicht unbedingt. HIPAA erlaubt es Leistungserbringern im Gesundheitswesen in der Regel, Informationen zu Behandlungszwecken ohne gesonderte Einwilligung der Patientinnen und Patienten weiterzugeben. Ein fax kann mit angemessenen Schutzmaßnahmen verwendet werden. Für bestimmte Unterlagen oder Umstände können zusätzliche Anforderungen gelten. HHS-Leitfaden zur Kommunikation für Behandlungszwecke.

Auch der Grundsatz der minimal erforderlichen Informationen (Minimum Necessary Standard) kennt Ausnahmen, darunter Offenlegungen an Leistungserbringer oder Anfragen von Leistungserbringern zu Behandlungszwecken. HHS-Leitfaden zum Minimum Necessary Standard.

Klären Sie bei der Prüfung eines Vorfalls zuerst Zweck und Empfänger, bevor Sie davon ausgehen, dass eine fehlende Einwilligung einen Verstoß belegt. Ebenso gilt: Die Erlaubnis, Unterlagen an eine behandelnde Ärztin oder einen behandelnden Arzt zu senden, berechtigt nicht dazu, sie an einen fachfremden Arbeitgeber oder ein anderes nicht beabsichtigtes Ziel zu senden.

Was Sie tun sollten, wenn Sie eine mögliche Offenlegung per fax entdecken

Angenommen, eine Praxis ruft an und teilt mit, dass Ihre Praxis Unterlagen zu einer Person gesendet hat, die nicht Patient der anrufenden Praxis ist.

Notieren Sie die Angaben der anrufenden Person und informieren Sie umgehend die Datenschutzbeauftragte oder den Datenschutzbeauftragten bzw. die benannte Ansprechperson für Vorfälle. Geben Sie die Fakten über den Meldekanal Ihrer Organisation für Vorfälle weiter und beschränken Sie den Zugriff auf Patienteninformationen auf diejenigen, die den Vorfall bearbeiten.

Weitere Offenlegung begrenzen

Prüfen Sie, ob noch etwas in der Warteschlange steht oder in Bearbeitung ist und ob sich die verbleibende Übertragung stoppen lässt. Gehen Sie nicht davon aus, dass keine Seiten beim Empfänger angekommen sind, nur weil Sie den Fehler rechtzeitig bemerkt haben, um einen Auftrag abzubrechen.

Das Stoppen einer ausstehenden Übertragung kann bereits zugestellte Seiten nicht zurückholen. Das Löschen der Kopie des Absenders entfernt nicht die empfangene Kopie.

Das Datenschutzteam sollte den Kontakt zum unbeabsichtigten Empfänger koordinieren, einschließlich der Aufforderung, jede weitere Nutzung oder Weitergabe zu unterlassen, sowie Anweisungen zum Umgang mit den Dokumenten. Halten Sie fest, was der Empfänger angibt und welche Maßnahmen zur Schadensbegrenzung bereits abgeschlossen wurden.

Relevante Beweise sichern

Halten Sie das Ausgangsdokument und die Übertragungsdetails für die Untersuchung bereit.

Nützliche Informationen sind unter anderem:

• Das eingegebene Ziel und der vorgesehene Empfänger.
• Das Sendekonto sowie Datum und Uhrzeit.
• Der Übertragungsstatus und die Seitenzahl.
• Die angehängten Dokumente.
• Wann das Problem entdeckt wurde und wer es gemeldet hat.
• Ob weitere Übertragungen betroffen sein könnten.

Löschen Sie den Verlauf nicht, um das Konto aufzuräumen, und ersetzen Sie das Dokumentenpaket nicht durch eine korrigierte Version, ohne zu sichern, was tatsächlich gesendet wurde.

Die Bestätigungsberichte von Fax.Plus dokumentieren Übertragungsdetails, darunter Status, Datum, Uhrzeit und Seitenzahl. Sie können helfen, den technischen Ablauf nachzuvollziehen. Bestätigungsberichte von Fax.Plus. Klären Sie die Kontovoraussetzungen für das organisationsweite Faxen mit Fax.Plus, bevor Mitarbeitende es für Patienteninformationen verwenden.

Umfang bestimmen

Das Team muss feststellen, ob es sich um ein einzelnes falsches Ziel, einen Anhang des falschen Patienten oder um ein umfassenderes Problem handelt.

Ein gespeicherter Kontakt mit der falschen Nummer könnte weitere Unterlagen betreffen. Ein aus mehreren Dateien zusammengestelltes Dokumentenpaket könnte Informationen über mehr als einen Patienten enthalten.

Unterscheiden Sie überprüfte Fakten von Annahmen. Ist die Darstellung des Empfängers unvollständig, dokumentieren Sie, was noch unbekannt ist, statt die Lücke mit einer günstigen Schlussfolgerung zu füllen.

Wann erfordert ein Vorfall eine Meldung der Datenschutzverletzung?

Eine unzulässige Verwendung oder Offenlegung von PHI gilt als Datenschutzverletzung, sofern nicht eine anwendbare Ausnahme oder eine dokumentierte Bewertung eine geringe Wahrscheinlichkeit nachweist, dass die Informationen kompromittiert wurden.

HHS nennt vier Bewertungsfaktoren:

• Art und Umfang der betroffenen Informationen.
• Wer die Informationen unbefugt erhalten oder verwendet hat.
• Ob die Informationen tatsächlich erlangt oder eingesehen wurden.
• In welchem Maß das Risiko eingedämmt wurde.

Die Organisation muss ihre Entscheidung zur Meldung dokumentieren. Die Zusicherung eines Empfängers kann in die Bewertung einfließen, doch Mitarbeitende sollten sie nicht als vollständige Beurteilung behandeln.

Erfordert eine Verletzung ungesicherter PHI eine Benachrichtigung der Betroffenen, verlangt HHS die Benachrichtigung ohne unangemessene Verzögerung und spätestens 60 Tage nach der Entdeckung. Das bedeutet nicht, dass die Untersuchung 60 Tage aufgeschoben werden darf. Für andere Meldungen gelten eigene Anforderungen. HHS-Leitfaden zur Meldung von Datenschutzverletzungen.

Das Datenschutzteam sollte den Benachrichtigungsprozess koordinieren, damit die betroffenen Personen über die geeigneten Kanäle korrekte Informationen erhalten.

Ursache des Fehlers beheben

Verfolgen Sie das Dokument über die Entscheidungen zurück, die zur Offenlegung geführt haben.

Wurde die Nummer aus einer verifizierten Quelle übernommen? Enthielt ein gespeicherter Kontakt veraltete Angaben? Konnten Mitarbeitende Patienten mit ähnlichen Namen unterscheiden? Wurde der Anhang eines früheren Patienten im Dokumentenpaket belassen?

Die Ergebnisse sollten die Korrektur leiten. Die Aktualisierung eines Kontakts behebt ein Problem mit einer falschen Nummer; ein Fehler bei der Zusammenstellung von Unterlagen erfordert eine andere Änderung. Schulungen sollten Mitarbeitenden die konkrete Prüfung zeigen, die versagt hat.

Auch der Zugriff verdient Aufmerksamkeit. Prüfen Sie, wer eingehende Unterlagen öffnen, gemeinsam genutzte Arbeitsplätze verwenden und die Zuweisungen von Empfangsnummern ändern kann. Legen Sie klare Zuständigkeiten fest, damit Mitarbeitende Übertragungsergebnisse prüfen und unerwartete Ziele eskalieren.

Bei Fax.Plus bedeutet der Status „Erfolgreich“, dass der empfangende fax-Endpunkt den erfolgreichen Empfang bestätigt hat. Er belegt nicht, dass das Ziel autorisiert war, dass die vorgesehene Person das Dokumentenpaket gelesen hat oder dass es in der richtigen Patientenakte angekommen ist. Übertragungsstatus bei Fax.Plus.

Für PHI setzt Fax.Plus Enterprise mit aktivierten Advanced Security Controls und einen unterzeichneten BAA voraus. Die Verfahren der Mitarbeitenden müssen zudem Empfänger, Dokumente und Zugriff regeln. HIPAA-Anforderungen bei Fax.Plus.

Stimmen Sie sich während einer Untersuchung zur Beweissicherung mit den Personen ab, die die Aufbewahrung verwalten. Die automatische Löschung bei Fax.Plus ist unumkehrbar. Gehen Sie nicht davon aus, dass die geplante Löschung pausiert, weil ein Vorfall geprüft wird. Aufbewahrungssteuerung bei Fax.Plus.

Was Patienten bei einem vermuteten Verstoß tun können

Wenn Sie glauben, dass Ihre Unterlagen an den falschen Empfänger gelangt sind, wenden Sie sich an die Datenschutzstelle des Leistungserbringers und schildern Sie, was Sie wissen.

Geben Sie das ungefähre Datum, die beteiligte Organisation und die Art und Weise an, wie Sie auf das Problem aufmerksam wurden. Bewahren Sie relevante Korrespondenz auf. Fragen Sie nach, welche Informationen betroffen waren, was die Organisation unternommen hat und an wen Sie sich bei weiteren Fragen wenden können.

Sie können außerdem eine Beschwerde bei OCR einreichen. HHS verlangt in der Regel, dass die Beschwerde innerhalb von 180 Tagen ab dem Zeitpunkt eingereicht wird, an dem Sie von der Handlung oder Unterlassung erfahren haben; aus triftigem Grund sind Verlängerungen möglich. Benennen Sie die Einrichtung und beschreiben Sie das vermutete Fehlverhalten.

OCR benötigt Ihren Namen und Ihre Kontaktdaten, um Ermittlungen durchzuführen. Sie können im Einwilligungsformular um Vertraulichkeit bitten, das ist jedoch etwas anderes als eine anonyme Einreichung. HIPAA verbietet Vergeltungsmaßnahmen wegen der Einreichung einer Beschwerde. Beschwerdeverfahren von HHS.

Reichen Sie Belege über den angeforderten Übermittlungsweg ein. Veröffentlichen Sie keine Patientenakten, um das Problem zu belegen, da die Informationen dadurch noch weiter offengelegt werden können.