Nachricht

Nov 03, 2023

So entsorgen Sie medizinische Unterlagen in Papierform und physische PHI gemäß HIPAA ordnungsgemäß

Quelle: Getty Images 27. Dezember 2022 – Die unsachgemäße Entsorgung geschützter Gesundheitsinformationen (PHI) kann zu Verstößen gegen das HIPAA, Untersuchungen des Office for Civil Rights (OCR) und hohen Geldstrafen führen. Für

Quelle: Getty Images

27. Dezember 2022 – Die unsachgemäße Entsorgung geschützter Gesundheitsinformationen (PHI) kann zu Verstößen gegen das HIPAA, Untersuchungen des Office for Civil Rights (OCR) und hohen Geldstrafen führen.

Beispielsweise hat OCR im August 2022 einen Fall mit einer Dermatologiepraxis in Massachusetts beigelegt, nachdem festgestellt wurde, dass leere Probenbehälter mit Etiketten, auf denen PHI stand, in einer ungesicherten Mülltonne auf dem Parkplatz der Praxis weggeworfen wurden.

Die Etiketten enthielten Patientennamen, Geburtsdaten, Daten der Probenentnahme und den Namen des Anbieters, der die Probe entnommen hat. Darüber hinaus fand ein externer Sicherheitsbeamter später auf dem Parkplatz einen Probenbehälter mit einem Etikett, das PHI enthielt.

„Die unsachgemäße Entsorgung geschützter Gesundheitsinformationen stellt ein unnötiges Risiko für die Privatsphäre der Patienten dar“, sagte OCR-Direktorin Melanie Fontes Rainer damals.

„HIPAA-regulierte Unternehmen sollten alle Schritte unternehmen, um sicherzustellen, dass bei der Entsorgung von Patienteninformationen Sicherheitsvorkehrungen getroffen werden, um zu verhindern, dass sie für die Öffentlichkeit zugänglich sind.“

Die Praxis zahlte 300.640 US-Dollar an OCR und stimmte der Umsetzung eines Korrekturmaßnahmenplans zu.

Glücklicherweise verfügt HHS über zahlreiche Anleitungen zu den richtigen und unsachgemäßen Methoden zur Entsorgung physischer Aufzeichnungen und elektronischer PHI gemäß den HIPAA-Datenschutz- und Sicherheitsregeln.

Im Folgenden wird HealthITSecurity auf mehrere wichtige Überlegungen zur ordnungsgemäßen Entsorgung physischer PHI, wie z. B. Papierunterlagen, eingehen. In einem zukünftigen Artikel wird der Prozess der Entsorgung elektronischer PHI erörtert.

Die HIPAA-Datenschutzregel „verlangt, dass betroffene Unternehmen geeignete administrative, technische und physische Sicherheitsvorkehrungen treffen, um die Privatsphäre geschützter Gesundheitsinformationen (PHI) in jeglicher Form zu schützen“, heißt es in den häufig gestellten Fragen des HHS zur PHI-Entsorgung.

„Das bedeutet, dass betroffene Unternehmen angemessene Sicherheitsvorkehrungen treffen müssen, um zufällige Verwendungen und Offenlegungen von PHI zu begrenzen und verbotene Verwendungen und Offenlegungen zu vermeiden, auch im Zusammenhang mit der Entsorgung solcher Informationen.“

Die HIPAA-Sicherheitsregel verlangt, dass betroffene Unternehmen zusätzlich zu Richtlinien für die Speicherung und Löschung elektronischer PHI Richtlinien und Verfahren für die Entfernung elektronischer PHI aus elektronischen Medien implementieren, bevor diese Medien wiederverwendet werden können.

HIPAA verlangt außerdem, dass betroffene Unternehmen ihre Mitarbeiter in den PHI-Entsorgungsrichtlinien des Unternehmens schulen.

HIPAA ist ziemlich flexibel, wenn es darum geht, dass Organisationen entscheiden, welche Sicherheitsmaßnahmen implementiert werden sollen, um sicherzustellen, dass Informationen ordnungsgemäß entsorgt werden. Abgedeckte Unternehmen müssen ihre individuellen Umstände beurteilen und Entscheidungen darüber treffen, wie sie PHI angemessen entsorgen können.

„Bei der Bestimmung dessen, was angemessen ist, sollten abgedeckte Unternehmen potenzielle Risiken für die Privatsphäre der Patienten abschätzen und Aspekte wie Form, Art und Menge der zu entsorgenden PHI berücksichtigen“, fährt HHS fort.

„Zum Beispiel kann die Entsorgung bestimmter Arten von PHI wie Name, Sozialversicherungsnummer, Führerscheinnummer, Debit- oder Kreditkartennummer, Diagnose, Behandlungsinformationen oder andere sensible Informationen aufgrund des Risikos eines unbefugten Zugriffs größere Sorgfalt erfordern Diese Informationen können zu Identitätsdiebstahl, Beschäftigung oder anderer Diskriminierung führen oder den Ruf einer Person schädigen.“

Wenn es um Papierunterlagen geht, schlägt HHS vor, die Unterlagen „zu zerkleinern, zu verbrennen, zu zermahlen oder zu pulverisieren“, um sicherzustellen, dass die PHI unlesbar sind und nicht rekonstruiert werden können.

Bei verschreibungspflichtigen Flaschen mit PHI können versicherte Unternehmen erwägen, die Flaschen in undurchsichtige Beutel zu packen und einen Lieferanten mit der Abholung und Entsorgung der PHI zu beauftragen.

Wie der OCR-Vergleich zeigt, sollten betroffene Unternehmen PHI nicht in einem ungesicherten Müllcontainer entsorgen, es sei denn, sie wurden so weit zerstört, dass sie nicht mehr lesbar sind. Wenn die unsachgemäß entsorgten PHI offengelegt werden, würde dies als Datenverstoß betrachtet werden.

„Im Allgemeinen darf ein abgedecktes Unternehmen PHI nicht in Papierakten, etikettierten Rezeptflaschen, Krankenhaus-Identifikationsarmbändern, PHI auf elektronischen Medien oder anderen Formen von PHI in Müllcontainern, Recyclingbehältern, Mülltonnen oder anderen allgemein zugänglichen Müllbehältern entsorgen der Öffentlichkeit oder anderen unbefugten Personen“, behauptet HHS.

Glücklicherweise haben abgedeckte Unternehmen viele andere Möglichkeiten, PHI zu veräußern. Beispielsweise kann die Organisation PHI in verschlossenen Müllcontainern entsorgen, die nur autorisiertem Personal zugänglich sind.

Darüber hinaus können betroffene Unternehmen Geschäftspartner dazu nutzen, PHI zu vernichten und ordnungsgemäß zu entsorgen.

„Zum Beispiel kann ein betroffenes Unternehmen einen externen Anbieter damit beauftragen, PHI in Papierform oder auf elektronischen Medien von seinen Räumlichkeiten abzuholen, die PHI zu schreddern, zu verbrennen, zu zerkleinern oder zu pulverisieren oder die elektronischen Medien zu bereinigen oder zu vernichten und die dekonstruierten Daten zu deponieren.“ Entsorgen Sie das Material auf einer Mülldeponie oder in einem anderen geeigneten Bereich“, erklärt HHS.

Um die HIPAA-Konformität aufrechtzuerhalten, müssen betroffene Unternehmen jedoch eine Geschäftspartnervereinbarung (Business Associate Agreement, BAA) mit dem Anbieter erstellen und unterzeichnen.

Durch die Einrichtung einer BAA wird sichergestellt, dass Geschäftspartner mit Zugang zu PHI wissen, wie sie die PHI, die sie im Namen des abgedeckten Unternehmens erhalten oder verarbeiten, ordnungsgemäß schützen können. BAAs stellen außerdem sicher, dass Geschäftspartner ähnlichen Auswirkungen ausgesetzt sind wie HIPAA-gedeckte Unternehmen, wenn PHI kompromittiert werden.

Von der HIPAA abgedeckte Unternehmen sind für den Schutz personenbezogener Daten während ihres gesamten Lebenszyklus verantwortlich, von der Erstellung eines Datensatzes bis zu dem Zeitpunkt, an dem er geschreddert und entsorgt wird. Die Aufklärung der Belegschaft über die ordnungsgemäße Entsorgung von PHI und die regelmäßige Überprüfung von Richtlinien und Verfahren können dazu beitragen, dass betroffene Unternehmen Risiken mindern.