Ein praktischer Leitfaden zu HIPAA-konforme Website-Analyse

Gewöhnliche Browserdaten können den Gesundheitskontext verraten, weshalb HIPAA-konforme Website-Analyse schon bei Termin- und Portalseiten beginnt, nicht erst beim Formular.

Bei der Analyse von Gesundheitswebsites steht viel auf dem Spiel, da gewöhnliche Browserdaten den Gesundheitskontext aufdecken können. Ein Besuch einer Krebsbehandlungsseite, eines Terminformulars, eines Patientenportals oder einer Suchdienstseite kann schon vor dem Absenden eines Formulars sensible Informationen über den Besucher aussagen.

HIPAA verbietet Analysen nicht. Es erfordert, dass von HIPAA regulierte Unternehmen geschützte Gesundheitsinformationen korrekt verarbeiten. Das Problem besteht darin, dass viele Standardanalyse- und Werbetools für das Marketing und nicht für den Datenschutz im Gesundheitswesen entwickelt wurden.

Wichtiger Vorbehalt für 2024: HHS stellt fest, dass ein Bundesgericht einen Teil des Online-Tracking-Bulletins von OCR aufgehoben hat, was die Theorie betrifft, dass eine IP-Adresse plus ein Besuch bestimmter nicht authentifizierter öffentlicher Webseiten automatisch HIPAA-Verpflichtungen auslöst. Dieser Vorbehalt ist für öffentliche Bildungsseiten wichtig, macht Portale, Termin-, Aufnahme-, Zahlungs-, authentifizierte oder PHI-Offenlegungs-Workflows jedoch nicht zu normalen Marketingseiten.

Was HHS über Tracking-Technologien sagt

Das Büro für Bürgerrechte des US-Gesundheitsministeriums hat Leitlinien zu Tracking-Technologien herausgegeben. HHS erklärt, dass HIPAA-Verpflichtungen gelten, wenn regulierte Unternehmen Tracking-Technologien verwenden und die gesammelten oder offengelegten Informationen geschützte Gesundheitsinformationen umfassen. Siehe HHS-Leitfaden zu Online-Tracking-Technologien.

Der Schlüsselgedanke ist der Kontext. Die IP-Adresse, die Gerätedetails, die Seite URL, die Terminaktion oder die Portalaktivität eines Besuchers können zu PHI werden, wenn eine Verbindung zu einem regulierten Unternehmen und gesundheitsbezogenen Inhalten oder Diensten besteht. Eine generische, nicht authentifizierte öffentliche Seite verdient eine andere Analyse als eine Terminanfrage, ein Patientenportal, ein Aufnahmeformular, ein Zahlungsablauf oder eine authentifizierte Seite.

Wo Analytics Risiken schafft

Zu den häufigsten Risikobereichen gehören:

• Terminanfrageseiten.
• Patientenportale.
• Symptomprüfer.
• Bedingungsspezifische Landingpages.
• Anbietersuchseiten.
• Zahlungsseiten.
• Sucht, psychische Gesundheit, reproduktive Gesundheit oder chronische Erkrankungen.
• Retargeting-Pixel auf Gesundheitsseiten.
• Formularanalyse, die Feldwerte erfasst.

Selbst wenn ein Anbieter angibt, nur pseudonyme Identifikatoren zu erhalten, kann die Kombination aus URL, Zeitstempel, IP-Adresse und Gerätedaten dennoch vertraulich sein.

Google Analytics und HIPAA

Googles eigene Analytics-Hilfe besagt, dass Kunden keine Daten an Google weitergeben dürfen, die Google als persönlich identifizierbare Informationen erkennen könnte, und dass sie mithilfe von Analytics keine Daten sammeln dürfen, die vertrauliche Informationen über einen Benutzer preisgeben oder ihn identifizieren. Siehe Googles Seite HIPAA und Google Analytics.

Für Gesundheitsorganisationen besteht die praktische Frage darin, ob Google Analytics PHI empfängt und ob die erforderliche HIPAA-Beziehung und die erforderlichen Sicherheitsvorkehrungen bestehen. Wenn ein Anbieter keine Business Associate Agreement für die entsprechende Dienstleistung unterzeichnet, sollte ein reguliertes Unternehmen PHI diesem Anbieter nicht durch Nachverfolgung offenlegen.

Verlassen Sie sich nicht auf die Anonymisierung von IP, die Löschung von cookie oder die Offenlegung von Datenschutzrichtlinien als Ersatz für die Analyse von HIPAA.

Sichereres Messdesign

Gesundheitsstandorte sollten öffentliche, risikoarme Messungen von regulierten Arbeitsabläufen trennen.

Seiten zur öffentlichen Bildung

Nutzen Sie aggregierte, cookielose Analysen. Vermeiden Sie persönliche Identifikatoren, Werbepixel, Sitzungsaufzeichnungen, Heatmaps und Cross-Site-Tracker. Abfragezeichenfolgen entfernen. Vermeiden Sie vollständige URLs, wenn Pfade hochsensible Kategorien enthalten.

Termin- und Aufnahmeseiten

Behandeln Sie diese als risikoreich. Laden Sie keine allgemeinen Marketinganalysen oder Werbepixel. Wenn eine Messung erforderlich ist, verwenden Sie die first-party server-side-Protokollierung mit strengen Zugriffskontrollen, kurzer Aufbewahrung und ohne Offenlegung von third-party, sofern diese nicht überprüft wird.

Patientenportale

Gehen Sie davon aus, dass authentifizierte Portalanalysen PHI umfassen können. Nutzen Sie HIPAA-fähige Anbieter, BAAs, Zugriffsprotokolle, rollenbasierte Kontrollen und die minimal erforderliche Sammlung.

Landingpages der Kampagne

Vermeiden Sie das Retargeting von Pixeln auf bedingungsspezifischen Seiten. Wenn eine Kampagnenmessung erforderlich ist, verwenden Sie UTM-Parameter und aggregierte Conversions, nicht Werbezielgruppen auf Besucherebene.

Eine HIPAA Analytics-Checkliste

1. Stellen Sie fest, ob es sich bei der Organisation um eine erfasste juristische Person oder einen Geschäftspartner handelt.
2. Listen Sie alle Tracking-Skripte, Pixel, Tag-Manager, Chat-Widgets und Analysen auf SDK.
3. Kategorisieren Sie Seiten nach gesundheitlicher Sensibilität.
4. Entfernen Sie Werbepixel von Seiten mit Gesundheitskontext.
5. Verhindern Sie, dass Formularfeldwerte in die Analyse eingehen.
6. Entfernen Sie persönliche Daten und Token von URLs.
7. Bestätigen Sie, ob Anbieter BAAs für den genau genutzten Dienst unterzeichnen.
8. Wenden Sie die erforderliche Mindestsammlung an.
9. Legen Sie eine kurze Aufbewahrungsfrist für Protokolle und Analyseereignisse fest.
10. Aktualisieren Sie bei Bedarf die Datenschutz- und HIPAA-Hinweise.

Was Datenschutzorientierte Analytics leisten kann

Ein datenschutzorientiertes Analysetool kann die Gesamtleistung der Website messen, ohne Besucher zu identifizieren. Für viele Marketing-Websites im Gesundheitswesen reicht das aus:

• Seitenaufrufe pro Seite.
• Referrer und Kampagnen.
• Allgemeine Geographie.
• Geräte- und Browserkategorien.
• Die Formularübermittlung zählt ohne Feldwerte.
• Trichterabfall insgesamt.

Dieser Ansatz entfernt nicht jede HIPAA-Frage, verringert jedoch die Wahrscheinlichkeit, dass PHI einem third-party-Werbe- oder Analyse-Ökosystem offengelegt wird.

Fazit

Die Gesundheitsanalyse sollte mit den minimal erforderlichen Daten beginnen. Wenn eine Seite oder Aktion das Gesundheitsinteresse einer Person offenbaren kann, betrachten Sie Tracking nicht als gewöhnliche Marketing-Infrastruktur. Messen Sie, was Sie benötigen, vermeiden Sie persönliche Identifikatoren, halten Sie sensible Arbeitsabläufe sauber und nutzen Sie Anbieter, die die ihnen übertragene rechtliche Rolle unterstützen können.

Seitenkontext kann PHI erstellen

Ein allgemeiner Besuch einer Krankenhaus-Homepage birgt ein geringeres Risiko als ein Besuch einer Seite über onkologische Behandlungen mit anschließender Terminanfrage. Die Datenelemente sehen technisch gleich aus: IP-Adresse, Benutzeragent, URL, Zeitstempel. Die Bedeutung ändert sich, da der Seitenkontext ein gesundheitliches Interesse erkennen lässt.

Aus diesem Grund sollten Analysen von Gesundheitsanalysen Seiten nach Sensibilität klassifizieren und nicht nur Tools nach Markennamen.

Vermeiden Sie Retargeting standardmäßig

Besonders riskant ist die erneute Ansprache von Besuchern im Gesundheitswesen. Auch wenn eine Anzeigenplattform nie ein Diagnosefeld erhält, kann ein Pixel auf einer krankheitsspezifischen Seite Interesse an dieser Krankheit offenbaren. Vermarkter im Gesundheitswesen sollten kontextbezogene Kampagnen, aggregierte Conversion-Messungen und first-party-Terminberichte dem Aufbau von Zielgruppen vorziehen.

Fragen zur Beschaffung

Fragen Sie Analyseanbieter, ob sie einen BAA für das genaue Produkt unterzeichnen, wo Daten gehostet werden, ob Daten für Werbung oder Produktverbesserung verwendet werden, wie mit Kennungen umgegangen wird und ob Formularseiten ausgeschlossen werden können. Wenn die Antworten vage sind, platzieren Sie das Tool nicht auf regulierten Seiten.

Für das Gesundheitswesen ist "wir verwenden nur Analysen" keine Verteidigung. Das Seitenthema, die Organisationsidentität und die Besucherinteraktion können normale technische Daten sensibel machen.

HIPAA-Sichere Messprüfungen

Trennen Sie die öffentliche Bildungsmessung von Termin-, Portal-, Aufnahme-, Zahlungs-, bedingungsspezifischen und authentifizierten Arbeitsabläufen. Halten Sie Analyse-Nutzlasten frei von Namen, E-Mails, Patienten- oder Datensatznummern, Termindetails, Formulartext, vertraulichen Abfragezeichenfolgen und Identifikatoren, die einen Besucher mit der Pflege verknüpfen können.

Wenn ein Anbieter PHI erhält, bestätigen Sie die HIPAA-Rolle, BAA, Zugriffskontrollen, Aufbewahrung, Unterprozessoren und den Arbeitsablauf bei Verstößen, bevor das Tag versendet wird. Wenn der Anbieter diese Rolle für das genaue Produkt und den Funktionsumfang nicht unterstützen kann, halten Sie ihn von regulierten Seiten fern.

Häufig gestellte Fragen

Verlangt HIPAA eine Auftragsverarbeitungsvereinbarung (BAA) mit Google Analytics?

Google weist selbst darauf hin, dass Kunden keine Daten senden dürfen, die Google als personenbezogen erkennen könnte oder die sensible Informationen über eine Person offenbaren. Für eine regulierte Einrichtung stellt sich die eigentliche Frage, ob das Tool PHI erhält und ob die passende HIPAA-Beziehung besteht. Unterschreibt Google keine BAA für den konkret genutzten Analytics-Dienst, darf diese PHI nicht darüber laufen.

Darf ein Patientenportal Standard-Marketing-Analytics nutzen?

Authentifizierte Portalaktivität sollte als PHI behandelt werden, nicht als gewöhnliche Marketingdaten. Der sicherere Weg ist ein HIPAA-tauglicher Anbieter mit unterschriebener BAA, Zugriffsprotokollen, rollenbasierten Kontrollen und einer Erhebung, die auf das tatsächlich Notwendige begrenzt bleibt.

Welche Datenkombination wird auf einer Healthcare-Website zu PHI?

IP-Adresse, Geräteinformationen, Seiten-URL, Terminaktionen und Portalaktivität können zu PHI werden, sobald sie mit einer regulierten Einrichtung und gesundheitsbezogenen Inhalten verknüpft sind. Ein pseudonymer Identifikator beseitigt das Risiko nicht, denn die Kombination aus URL, Zeitstempel, IP-Adresse und Gerätedaten kann weiterhin ein Gesundheitsinteresse erkennbar machen.

Hat das Gerichtsurteil von 2024 die HIPAA-Pflichten beim Tracking auf Healthcare-Websites aufgehoben?

Das Urteil hat nur einen Teil des OCR-Bulletins zu einer einzelnen Theorie aufgehoben: dass eine IP-Adresse plus Besuch bestimmter nicht authentifizierter öffentlicher Seiten automatisch HIPAA-Pflichten auslöst. Es macht Portale, Terminformulare, Aufnahme, Zahlung, authentifizierte Seiten oder PHI-offenlegende Workflows nicht zu gewöhnlichen Marketingseiten.

Reicht IP-Anonymisierung aus, um Healthcare-Analytics HIPAA-konform zu machen?

IP-Anonymisierung, Cookie-Löschung und ein Hinweis in der Datenschutzerklärung ersetzen keine echte HIPAA-Analyse. Jeder Fall muss darauf geprüft werden, ob die zugrunde liegenden Daten weiterhin ein Gesundheitsinteresse offenbaren und ob die Anbieterbeziehung diese Nutzung trägt.

Sollten Healthcare-Websites Retargeting-Pixel auf krankheitsspezifischen Seiten einsetzen?

Standardmäßig vermeiden. Selbst wenn die Werbeplattform kein Diagnosefeld erhält, verrät ein Pixel auf einer Seite zu einer bestimmten Erkrankung, dass sich ein Besucher dafür interessiert hat. Kontextbezogene Kampagnen und aggregierte Conversion-Messung sind die sicherere Alternative.

Was gehört in eine HIPAA-Analytics-Checkliste?

Zuerst klären, ob die Organisation Covered Entity oder Business Associate ist, danach jedes Tracking-Skript, Pixel, den Tag-Manager und jedes Analytics-SDK auf der Website erfassen. Anschließend Seiten nach Gesundheitssensibilität kategorisieren, Werbepixel von Seiten mit Gesundheitsbezug entfernen und prüfen, welche Anbieter eine BAA für den konkret genutzten Dienst unterschreiben.

Können Healthcare-Marketer Kampagnen messen, ohne gegen HIPAA zu verstoßen?

Kampagnenleistung lässt sich weiterhin mit UTM-Parametern und aggregierten Conversion-Zahlen statt mit besucherbezogenen Werbezielgruppen messen. Auch First-Party-Terminberichte funktionieren, solange Retargeting-Pixel von krankheitsspezifischen Seiten fernbleiben.

Was sollte eine Healthcare-Organisation einen Analytics-Anbieter vor dem Einsatz fragen?

Fragen, ob der Anbieter eine BAA für genau das genutzte Produkt und den Funktionsumfang unterschreibt, wo die Daten gehostet werden und ob sie für Werbung oder Produktverbesserung verwendet werden. Zusätzlich klären, wie Identifikatoren gehandhabt werden und ob Formularseiten von der Erhebung ausgeschlossen werden können. Bleibt eine dieser Antworten vage, gehört das Tool nicht auf regulierte Seiten.

Warum zählt die besuchte Seite mehr als die technischen Daten selbst?

IP-Adresse, User-Agent, URL und Zeitstempel sehen gleich aus, egal ob jemand die Startseite eines Krankenhauses oder eine Seite zu einer Krebsbehandlung besucht. Die Bedeutung ändert sich durch den Seitenkontext, der ein Gesundheitsinteresse offenbart, weshalb Analytics-Reviews Seiten nach Sensibilität einordnen sollten statt Tools nur nach Markenname zu beurteilen.