Wat is HIPAA? Een uitleg in gewone taal

HIPAA, de Health Insurance Portability and Accountability Act, is een Amerikaanse federale wet uit 1996 die nationale normen vastlegt voor de bescherming van gezondheidsgegevens van patiënten en zorgorganisaties en hun leveranciers verplicht deze te beveiligen. De meeste mensen denken dat HIPAA alleen geldt voor ziekenhuizen en artsen. In werkelijkheid reikt de wet ook tot administratiekantoren, IT-leveranciers, cloudproviders en de faxdienst die een verwijzing verzendt.

President Bill Clinton ondertekende HIPAA op 21 augustus 1996 als Public Law 104-191. Het Congres en HHS hebben de wet vier keer gemoderniseerd: de Privacy Rule (2003), de Security Rule (2005), de Breach Notification Rule (2009) en de Omnibus Rule (2013). Een vijfde update, de grootste herziening van de Security Rule in 20 jaar, staat voor mei 2026 op de regelgevingsagenda van OCR.

Deze gids behandelt wat HIPAA betekent, de vier Rules, wat als PHI geldt, wie eraan moet voldoen, de boetes bij overtredingen, hoe HIPAA van toepassing is op fax, e-mail, sms en Slack, en een checklist van acht stappen om te beginnen. Na het lezen weet u of HIPAA van toepassing is op uw organisatie en wat u vervolgens moet doen.

Definitie van HIPAA en een korte geschiedenis (van 1996 tot nu)

HIPAA is oorspronkelijk geschreven om werknemers hun ziektekostenverzekering te laten behouden wanneer zij van baan veranderden. De privacy- en beveiligingsregels waarmee iedereen de wet nu associeert, zijn later toegevoegd.

Waar HIPAA voor staat

HIPAA staat voor de Health Insurance Portability and Accountability Act van 1996. President Bill Clinton ondertekende de wet op 21 augustus 1996 als Public Law 104-191. De wet had oorspronkelijk vier doelen: ziektekostenverzekeringen overdraagbaar maken tussen banen, fraude en misbruik in de gezondheidszorg verminderen, elektronische zorgtransacties standaardiseren en gezondheidsgegevens beschermen.

De bescherming van gezondheidsgegevens was het kleinste onderdeel van de oorspronkelijke wet. Het Congres droeg het Department of Health and Human Services (HHS) op om de feitelijke privacy- en beveiligingsregels later uit te vaardigen. Die regels bedoelen de meeste mensen nu wanneer zij „HIPAA” zeggen.

Hoe HIPAA zich heeft ontwikkeld: de vier belangrijkste updates

• De Privacy Rule (2003) legde de eerste nationale normen vast voor wie PHI mag gebruiken en openbaar maken, en gaf patiënten rechten over hun dossiers.
• De Security Rule (2005) voegde administratieve, fysieke en technische waarborgen toe voor elektronische PHI.
• HITECH Act en Breach Notification Rule (2009) verhoogden de maximale boete van $25.000 per jaar naar $1,5 miljoen per jaar, voerden een verplichte meldplicht voor datalekken in en stimuleerden de invoering van EHR met $25 miljard aan incentives. HITECH gaf ook de procureurs-generaal van de staten bevoegdheid om HIPAA te handhaven.
• Omnibus Rule (2013) maakte business associates rechtstreeks aansprakelijk voor HIPAA-overtredingen en keerde de bewijslast voor meldingen van datalekken om.

De stand van HIPAA in 2025–2026

HHS stelde in januari 2025 een ingrijpende update van de Security Rule voor. Daarmee zouden multifactorauthenticatie en encryptie verplicht worden en zou het onderscheid tussen „verplichte” en „adresseerbare” specificaties vervallen. Kostenschattingen uit de sector lopen op tot $34 miljard. Het Office for Civil Rights hield de definitieve vaststelling op de regelgevingsagenda voor mei 2026. Behandel MFA en encryptie nu al als verplicht, zodat u later niet in tijdnood komt.

De vier HIPAA-regels uitgelegd

Mensen spreken over „HIPAA” alsof het één geheel is. In werkelijkheid zijn het vier op elkaar aansluitende regels, en de meeste overtredingen vinden plaats op de overgangen daartussen.

Privacy Rule (2003)

De Privacy Rule definieert PHI en bepaalt wie er onder welke voorwaarden toegang toe heeft. Patiënten hebben het recht om hun dossier in te zien, correcties aan te vragen, een overzicht van verstrekkingen te krijgen en beperkingen te vragen op het gebruik van hun gegevens. Zorgverleners moeten verzoeken om inzage binnen 30 dagen beantwoorden, met één toegestane verlenging van 30 dagen.

De regel staat gebruik van PHI zonder toestemming van de patiënt toe voor behandeling, betaling en zorgverlening (de „TPO”-uitzondering). Al het andere valt onder de norm van het minimaal noodzakelijke: verstrek alleen wat nodig is om het doel te bereiken. Behandeling is de enige uitzondering waarbij volledige dossiers tussen zorgverleners mogen worden uitgewisseld.

Een klassieke overtreding van de Privacy Rule: een huisartsenpraktijk faxt de hiv-status van een patiënt naar wat het personeel denkt dat de huisarts van de patiënt is, maar wat de werkgever van de patiënt blijkt te zijn. Verkeerd nummer, geen controles op het minimaal noodzakelijke, geen verificatie.

Security Rule (2005)

De Security Rule is alleen van toepassing op elektronische PHI (ePHI). Zij onderscheidt drie categorieën beveiligingsmaatregelen:

• Administratief: risicoanalyse, training van medewerkers, sanctiebeleid, toegangsbeheer
• Fysiek: toegangscontrole tot faciliteiten, beveiliging van werkstations, verwijdering van apparaten
• Technisch: toegangscontroles, auditlogs, integriteitscontroles, versleuteling van verzonden gegevens

Het huidige onderscheid tussen „verplichte” en „adresseerbare” specificaties verdwijnt naar verwachting met de voorgestelde update van 2025. Tekortkomingen in risicoanalyses domineren de handhaving. Ze kwamen voor in 13 van de 22 OCR-afhandelingen die in 2024 zijn afgesloten.

Breach Notification Rule (2009, via HITECH)

Bij een datalek met onbeveiligde PHI moeten covered entities drie partijen op de hoogte stellen:

• Getroffen personen binnen 60 dagen
• HHS (onmiddellijk bij datalekken waarbij 500 of meer personen betrokken zijn, binnen 60 dagen na afloop van het jaar bij kleinere datalekken)
• Prominente media als 500 of meer inwoners van één staat zijn getroffen

Encryptie biedt een veilige haven. Op de juiste manier versleutelde gegevens die verloren gaan of worden gestolen, leiden niet tot een meldplicht. De schikking van Warby Parker van $1,5 miljoen in 2025 combineerde overtredingen van de Security Rule en de Breach Notification Rule nadat een credential-stuffing-aanval gegevens over brilrecepten van klanten had blootgelegd.

Er bestaan drie uitzonderingen op een datalek: onbedoelde toegang door een bevoegde medewerker, onopzettelijke verstrekking tussen twee bevoegde personen, en verstrekking aan een partij die de informatie redelijkerwijs niet kon onthouden.

Omnibus Rule (2013)

De Omnibus Rule maakte business associates en hun onderaannemers rechtstreeks aansprakelijk onder HIPAA. Vóór 2013 konden alleen covered entities boetes krijgen.

De Omnibus Rule keerde ook de bewijslast bij datalekken om. Een gebruik of verstrekking die de Privacy Rule niet toestaat, wordt nu aangemerkt als een datalek, tenzij de covered entity kan aantonen dat de kans dat PHI is gecompromitteerd klein is, op basis van een risicobeoordeling aan de hand van vier factoren.

Wat is PHI? De 18 identificatiegegevens waarop HIPAA van toepassing wordt

PHI is elk van 18 specifieke identificatiegegevens in combinatie met een verband met iemands gezondheid, zorgverlening of betaling voor zorg. Verwijdert u alle 18 identificatiegegevens op de juiste manier, dan zijn de gegevens gede-identificeerd en zijn ze geen PHI meer.

De 18 HIPAA-identificatiegegevens

1. Namen
2. Geografische gegevens kleiner dan een staat
3. Alle datums behalve het jaar die betrekking hebben op een persoon
4. Telefoonnummers
5. Faxnummers
6. E-mailadressen
7. Burgerservicenummers (Social Security numbers)
8. Medische dossiernummers
9. Nummers van begunstigden van zorgverzekeringen
10. Rekeningnummers
11. Certificaat- of licentienummers
12. Voertuigidentificatiegegevens, waaronder kentekenplaten
13. Apparaat-ID's en serienummers
14. Web-URL's
15. IP-adressen
16. Biometrische identificatiegegevens, waaronder vingerafdrukken en stemafdrukken
17. Foto's van het volledige gezicht en vergelijkbare afbeeldingen
18. Elk ander uniek identificerend nummer, kenmerk of elke andere unieke code

Wanneer dezelfde gegevens GEEN PHI zijn

Identificatiegegevens zonder gezondheidscontext zijn geen PHI. De naam van een klant op de mailinglijst van een winkel is slechts een naam. Een gezondheidscontext zonder identificatiegegevens is evenmin PHI. Geaggregeerde, correct gede-identificeerde ziekenhuisstatistieken vallen buiten HIPAA. Beide elementen moeten tegelijkertijd aanwezig zijn om de wet van toepassing te laten zijn. De naam van een patiënt plus een diagnose is PHI. Een diagnose zonder enige identificatiegegevens is dat niet.

Wie moet voldoen aan HIPAA (en wie niet)

Uw Fitbit-gegevens worden niet beschermd door HIPAA. Het welzijnsprogramma van uw werkgever waarschijnlijk ook niet. HIPAA geldt voor een specifieke lijst van organisaties, en die lijst is smaller dan de meeste mensen denken.

Covered entities (CE's)

Een onder HIPAA vallende covered entity valt in een van drie categorieën:

1. Zorgverzekeringen: verzekeraars, HMO's, Medicare, Medicaid en groepsziektekostenregelingen van werkgevers. De meeste groepsziektekostenregelingen van werkgevers vallen eronder, ongeacht de omvang. De enige beperkte uitzondering is een zelfbeheerde groepsziektekostenregeling met minder dan 50 deelnemers - die regelingen vallen buiten HIPAA. Als een verzekeraar of een externe beheerder de regeling uitvoert, valt deze eronder.
2. Zorgclearinghouses: entiteiten die niet-standaardgegevens omzetten in standaard elektronische transacties.
3. Zorgverleners die in verband met een gedekte transactie (declaraties, controles van verzekeringsaanspraken, verwijzingen) elektronisch gezondheidsinformatie verzenden.

De trigger van de elektronische transactie is de reden waarom bijna elke moderne zorgverlener eronder valt. Zodra u elektronisch declareert bij een verzekeraar of een elektronische verwijzing verstuurt, valt u eronder.

Business associates (BA's)

Een business associate is elke persoon of organisatie die namens een covered entity een functie uitvoert waarbij PHI betrokken is. Veelvoorkomende voorbeelden: factureringsbedrijven, IT-leveranciers, aanbieders van cloudopslag, versnipperingsdiensten, advocatenkantoren met toegang tot PHI, transcriptiediensten en HIPAA-conforme faxaanbieders.

Sinds de Omnibus Rule van 2013 zijn business associates rechtstreeks aansprakelijk jegens OCR. Sluit een Business Associate Agreement (BAA) af voordat PHI van hand wisselt. Gulf Coast Pain Consultants betaalde $1,19 miljoen nadat een contractant na beëindiging van de samenwerking toegang tot het systeem behield en frauduleuze Medicare-declaraties indiende. Dit laat zien wat er gebeurt als de toegangscontroles voor BA's falen.

Wie valt NIET onder HIPAA

• Werkgevers die gezondheidsinformatie van werknemers verwerken buiten een groepsziektekostenregeling (daarvoor gelden in plaats daarvan de ADA en FMLA)
• Fitness-apps voor consumenten die niet aan zorgverleners verkopen, waaronder Fitbit, Apple Health en MyFitnessPal (daarvoor geldt in plaats daarvan de FTC Health Breach Notification Rule)
• Scholen en universiteiten (voor studentendossiers geldt FERPA)
• Levensverzekeraars, verzekeraars voor arbeidsongevallen en de meeste arbeidsongeschiktheidsverzekeraars
• Wetshandhavingsinstanties
• Marketinganalysebedrijven zonder toegang tot PHI

HIPAA en communicatiekanalen: fax, e-mail, sms, Slack, video

Een tandartspraktijk in Texas betaalde $10.000 omdat een medewerker op een Yelp-review met één ster reageerde met patiëntgegevens. HIPAA reist mee met het bericht, niet met het medium. Voor elk kanaal dat uw personeel gebruikt om PHI te verplaatsen, is een eigen antwoord nodig.

De compliancematrix

‍

Fax: nog altijd het werkpaard van de zorg

Volgens de conduit-uitzondering is de telefoonaanbieder geen business associate wanneer deze een fax doorgeeft, omdat de aanbieder de inhoud nooit inspecteert of opslaat. Daardoor blijft traditionele fax binnen de toegestane kanalen van HIPAA.

Analoge fax heeft twee praktische problemen. Er is geen audittrail en één verkeerd cijfer kan PHI blootleggen (het incident met de hiv-status die naar een werkgever ging). Een HIPAA-conforme cloudfaxdienst zoals Fax.Plus ondertekent een BAA in het Enterprise-abonnement, versleutelt het verkeer tijdens verzending en opslag, registreert elke verzonden en ontvangen fax en laat medewerkers verzenden vanuit e-mail of een webbrowser. Medewerkers kunnen faxen rechtstreeks vanuit e-mail versturen zonder de workflow te verlaten die ze al gebruiken.

E-mail en berichten

Gratis consumenten-e-mail is de meest voorkomende onopgemerkte HIPAA-overtreding. Gmail, Outlook.com, Yahoo en iCloud ondertekenen geen BAA voor gratis abonnementen. Betaalde versies van Google Workspace en Microsoft 365 zijn geschikt voor HIPAA, maar pas nadat u de BAA hebt afgesloten en de configuratie hebt beveiligd (toegang voor apps van derden uitschakelen, auditlogging inschakelen, MFA afdwingen).

Standaard sms is niet conform. Providers ondertekenen geen BAA's en berichten worden onversleuteld opgeslagen op apparaten en in systemen van providers. Gebruik in plaats daarvan een HIPAA-beveiligde berichten-app.

Video en samenwerking

FaceTime en persoonlijke Zoom-accounts zijn uitgesloten. Zoom for Healthcare, Doxy.me en Microsoft Teams (met BAA) zijn toegestaan. Slack vereist Enterprise Grid voordat Slack een BAA ondertekent. Standaard Slack-werkruimten zijn, hoe goed ze ook zijn geconfigureerd, niet HIPAA-conform.

HIPAA-overtredingen en boetes: wat niet-naleving kost

In 2024 sloot het HHS Office for Civil Rights 22 handhavingsacties af ter waarde van $9,9 miljoen. Dezelfde onderliggende oorzaak, „het niet uitvoeren van een correcte risicoanalyse”, kwam in 13 daarvan voor.

Niveaus van civiele boetes (2026)

• Niveau 1 (gebrek aan kennis): $145 tot $73.011 per overtreding, tot maximaal $2.190.294 per jaar
• Niveau 2 (redelijke grond): $1.461 tot $73.011 per overtreding
• Niveau 3 (opzettelijke nalatigheid, binnen 30 dagen hersteld): $14.618 tot $73.011 per overtreding
• Niveau 4 (opzettelijke nalatigheid, niet hersteld): $73.011 tot $2.190.294 per overtreding

Strafrechtelijke sancties

OCR verwijst strafzaken door naar het ministerie van Justitie (Department of Justice), dat ze vervolgt. Wetens verkrijgen of openbaar maken van PHI: tot $50.000 en 1 jaar. Onder valse voorwendselen: tot $100.000 en 5 jaar. Met het oogmerk te verkopen, over te dragen of te gebruiken voor commercieel voordeel of kwaadwillige schade: tot $250.000 en 10 jaar.

Concrete handhavingszaken uit 2024–2025

• Warby Parker $1,5 mln (2025): credential-stuffing-aanval; de brillenwinkelketen was een covered entity
• Montefiore Medical Center $4,75 mln: een medewerker stal meer dan 12.000 dossiers; zwakke auditcontroles
• Enzo Biochem $4,5 mln: ransomware-blootstelling herleid tot gedeelde inloggegevens en een wachtwoord van tien jaar oud
• Gulf Coast Pain Consultants $1,19 mln: een ontslagen contractant behield toegang tot het systeem en diende frauduleuze Medicare-claims in
• Tandartspraktijk in Texas $10.000: de eigenaar reageerde op een Yelp-recensie met patiëntgegevens

Het Right of Access Initiative van OCR heeft sinds 2019 geleid tot 54 handhavingsacties, met boetes van $3.500 tot $160.000 voor zorgverleners die dossiers niet op tijd verstrekten.

Wie HIPAA handhaaft

Het HHS Office for Civil Rights is verantwoordelijk voor de civiele handhaving. Ook de procureurs-generaal van de afzonderlijke staten kunnen HIPAA-procedures starten (HITECH verleende die bevoegdheid in 2009). Het ministerie van Justitie vervolgt strafzaken. De FTC handhaaft de Health Breach Notification Rule voor gezondheidsapps die niet onder HIPAA vallen, zoals fitnesstrackers.

Staatswetten die verder gaan dan HIPAA

HIPAA is de federale ondergrens. Een aantal staten heeft daar hogere eisen bovenop gebouwd, en de staatswet prevaleert wanneer die strenger is.

• California CMIA: bredere definitie van medische informatie, geldt voor meer soorten entiteiten, geeft patiënten een eigen klachtrecht om rechtstreeks een procedure te starten en vereist toegang tot dossiers binnen 5 dagen tegenover 30 dagen bij HIPAA.
• Texas HB 300: breidt het begrip „covered entity” uit tot vrijwel iedereen die PHI verwerkt in Texas, verplicht tweejaarlijkse training van medewerkers binnen 90 dagen na indiensttreding en machtigt de procureur-generaal tot boetes van maximaal $1,5 miljoen per jaar.
• Washington MHMDA: de breedste Amerikaanse privacywet voor consumentengezondheid. Deze dekt gegevens van fitnesstrackers, cyclustracking-apps en informatie uit welzijnsapps die HIPAA uitzondert, en geeft een eigen klachtrecht.

De SHIELD Act van New York en de Genetic Information Privacy Act van Illinois voegen in hun respectieve staten extra lagen toe.

Wanneer de staatswet strenger is dan HIPAA, volgt u de staatswet. Wanneer HIPAA strenger is, prevaleert HIPAA. Breng beide in kaart voor elke staat waarin u PHI verwerkt.

Aan de slag met HIPAA-compliance: een praktische checklist

U kunt HIPAA-compliance nooit „afronden”. Het is een doorlopend programma. U kunt in acht stappen een geloofwaardig programma opzetten.

De HIPAA-startchecklist in 8 stappen

1. Bepaal uw status. Bent u een covered entity, een business associate, of geen van beide? Het antwoord bepaalt elke andere stap.
2. Voer een beveiligingsrisicoanalyse (Security Risk Analysis, SRA) uit. Dit is het vaakst genoemde OCR-tekort (13 van 22 in 2024). Breng in kaart waar PHI zich bevindt, welke systemen ermee in aanraking komen en welke bedreigingen er zijn.
3. Stel een Privacy Officer en een Security Officer aan. Bij kleine organisaties kan dit dezelfde persoon zijn. Leg de functie schriftelijk vast.
4. Stel het vereiste beleid op. Privacybeleid, beveiligingsbeleid, een plan voor datalekken, een sanctiebeleid en een apparatenbeleid. Generieke sjablonen zijn een startpunt, geen eindpunt.
5. Sluit BAA's af met elke leverancier die met PHI werkt. E-mailprovider, cloudopslag, faxdienst (Fax.Plus Enterprise omvat een BAA), facturatiebedrijf, IT-ondersteuning, transcriptiedienst. Geen BAA, geen PHI.
6. Train uw medewerkers. Initiële training bij indiensttreding, periodieke opfrissingen en functiespecifieke training voor klinisch en IT-personeel. Documenteer de aanwezigheid.
7. Implementeer technische beveiligingsmaatregelen. Rolgebaseerde toegangscontrole, auditlogs, versleuteling tijdens verzending en opslag, en MFA op elk account dat met PHI in aanraking komt.
8. Stel een draaiboek voor datalekken op. Een risicobeoordelingsproces met vier factoren, een meldingstermijn van 60 dagen, een contactlijst voor OCR en de procureurs-generaal van de staten, en minstens jaarlijks een tabletopoefening.

‍