Ein praktischer Leitfaden zu Geschützte Gesundheitsinformationen verstehen

Websites im Gesundheitswesen, Patientenportale und Analysetools erzeugen PHI an Stellen, die Teams nicht erwarten, weshalb geschützte Gesundheitsinformationen verstehen der erste Schritt jeder Messplanung ist.

Geschützte Gesundheitsinformationen, oder PHI, sind Gesundheitsinformationen, die eine Person identifizieren oder vernünftigerweise zu deren Identifizierung verwendet werden könnten, wenn sie von einer durch HIPAA erfassten juristischen Person oder einem Geschäftspartner erstellt, empfangen, verwaltet oder übermittelt werden. Diese Definition ist wichtig, weil Websites im Gesundheitswesen, Patientenportale und Analysetools PHI an Orten erzeugen können, die Teams nicht erwarten.

Bei diesem Artikel handelt es sich nicht um eine Rechtsberatung, sondern er bietet Produkt-, Marketing- und Analyseteams eine praktische Möglichkeit, über das HIPAA-Risiko nachzudenken.

Für wen gilt HIPAA?

HIPAA gilt für betroffene Unternehmen und Geschäftspartner. Zu den abgedeckten Unternehmen gehören Krankenkassen, Gesundheits-Clearingstellen und Gesundheitsdienstleister, die bestimmte elektronische Transaktionen durchführen. Geschäftspartner sind Anbieter oder Partner, die PHI im Namen der abgedeckten Unternehmen erstellen, empfangen, verwalten oder übertragen.

Ein allgemeiner Wellness-Blog ist möglicherweise keine abgedeckte Einheit. Ein Krankenhaus, eine Klinik, ein Telemedizinanbieter, ein Versicherer oder ein Anbieter, der Patientendaten für eine dieser Organisationen verarbeitet, unterliegt wahrscheinlich HIPAA-Verpflichtungen.

Was macht Informationen zu PHI?

Informationen werden zu PHI, wenn drei Elemente zusammenkommen:

1. Es bezieht sich auf Gesundheit, Gesundheitsversorgung oder Bezahlung der Gesundheitsversorgung
2. Es identifiziert die Person oder könnte sie vernünftigerweise identifizieren
3. Es wird von einer betroffenen juristischen Person oder einem Geschäftspartner gehalten oder übermittelt

Ein Diagnosecode in einer Krankenhausakte ist PHI. Eine über ein Klinikterminformular übermittelte E-Mail-Adresse kann PHI lauten. Eine IP-Adresse in Kombination mit authentifizierter Portalaktivität kann PHI lauten. Der Kontext ist wichtig.

Die 18 HIPAA-Identifikatoren

Der Deidentifizierungs-Safe Harbor von und jede andere eindeutige Identifikationsnummer oder jedes andere Merkmal.

Es reicht nicht aus, offensichtliche Namen zu entfernen. URLs-, IP-Adressen, Gerätekennungen und Kontonummern sind für Analyseteams besonders relevant.

Online-Tracking-Technologien

HHS OCR hat Leitlinien zu Online-Tracking-Technologien herausgegeben, die von HIPAA-regulierten Unternehmen verwendet werden. Auf der aktuellen HHS-Seite wird darauf hingewiesen, dass ein Bundesgericht einen Teil der Leitlinien insofern aufgehoben hat, als es besagte, dass HIPAA-Verpflichtungen ausgelöst werden, wenn eine Online-Technologie eine IP-Adresse mit dem Besuch einer nicht authentifizierten öffentlichen Webseite über Gesundheitszustände oder Anbieter verknüpft. HHS gibt an, die nächsten Schritte zu prüfen, während das Bulletin weiterhin HIPAA-Verpflichtungen für regulierte Unternehmen hervorhebt, die Tracking-Technologien verwenden (HHS OCR-Tracking-Technologien-Leitfaden).

Die Nuance zählt. Vereinfachen Sie die Regel nicht zu sehr, denn „jeder Aufruf der Gesundheitsseite ist immer PHI.“ Aber gehen Sie auch nicht davon aus, dass Analysen sicher sind, insbesondere auf authentifizierten Seiten, Terminabläufen, Patientenportalen oder Seiten, auf denen Benutzer gesundheitsbezogene Informationen bereitstellen.

Analytics-Risikoszenarien

Zu den Analysemustern mit hohem Risiko gehören:

• Verfolgung von Patientenportalseiten mit Analysen von Drittanbietern
• Senden von Terminformularfeldern an Analyseereignisse
• Aufzeichnung der Sitzungswiedergabe auf Aufnahmeformularen
• Verwendung von Werbepixeln auf Zustands- oder Behandlungsseiten
• Senden des vollständigen URLs mit Patienten-IDs, Token oder Suchanfragen
• Retargeting von Besuchern, die sich „Sensible Health“ Content angesehen haben
• Teilen von Conversion-Eventsen mit Werbeplattformen ohne konforme Vereinbarung

Auch wenn ein Anbieter eine Standard-Datenverarbeitungsvereinbarung unterzeichnet, kann HIPAA eine Geschäftspartnervereinbarung erfordern. Viele Werbe- und Analyseanbieter unterzeichnen für bestimmte Produkte keine BAAs.

Sicherere Messungen für Gesundheitsstandorte

Gesundheitsorganisationen sollten öffentliche Bildungsanalysen von Patientendatensystemen trennen. Verwenden Sie für öffentliche Seiten nach Möglichkeit aggregierte Analysen, bei denen der Datenschutz an erster Stelle steht, ohne dauerhafte Identifikatoren. Seien Sie bei authentifizierten Portalen äußerst konservativ: Protokollieren Sie Betriebsereignisse intern, beschränken Sie den Zugriff, vermeiden Sie Skripts von Drittanbietern und beziehen Sie Datenschutz- und Sicherheitsteams ein, bevor Sie Tracking hinzufügen.

Senden Sie PHI nicht an Analysetools, es sei denn, der Anbieter ist autorisiert, die Verwendung ist zulässig und es bestehen die richtigen Vereinbarungen und Sicherheitsvorkehrungen.

Praktische Checkliste

Fragen Sie vor der Bereitstellung von Analysen auf einer Website im Gesundheitswesen Folgendes:

• Sind wir ein versichertes Unternehmen oder ein Geschäftspartner?
• Ist die Seite authentifiziert oder nicht authentifiziert?
• Könnte die Seiten-URL, der Titel, die Suchanfrage oder das Ereignis Gesundheitsinformationen preisgeben?
• Werden Identifikatoren wie die IP-Adresse, Cookie-ID, Konto-ID oder Geräte-ID erfasst?
• Unterzeichnet der Anbieter eine BAA für genau dieses Produkt und diese Verwendung?
• Sind Werbefunktionen, Remarketing und Datenfreigabe deaktiviert?
• Sind Formulare, Portale und Terminabläufe von Skripten Dritter ausgeschlossen?
• Sind Aufbewahrungs- und Zugriffskontrollen angemessen?

Checkliste für die Überprüfung von Gesundheitsanalysen

Trennen Sie die öffentliche Bildungsmessung von Termin-, Portal-, Aufnahme-, Zahlungs-, bedingungsspezifischen und authentifizierten Arbeitsabläufen. Die HHS-Tracking-Richtlinien bleiben auch nach einem Rechtsstreit differenziert. Behaupten Sie also nicht, dass jeder Seitenaufruf im Bereich der öffentlichen Gesundheit automatisch PHI ist. Bewerten Sie den Seitenkontext, die Kennungen, Benutzeraktionen und die HIPAA-Rolle der Organisation.

Überprüfen Sie vor dem Versand eines Gesundheitsetiketts, ob der Anbieter PHI erhalten darf, ob er eine BAA für genau dieses Produkt und diese Verwendung unterzeichnet, welche Kennungen erfasst werden, wie lange Rohdaten aufbewahrt werden und wer darauf zugreifen kann. Halten Sie Analyse-Nutzlasten frei von Namen, E-Mails, Patienten- oder Datensatznummern, Termindetails, Formulartext, vertraulichen Abfragezeichenfolgen und Identifikatoren, die einen Besucher mit der Pflege verknüpfen können.

Das Fazit

PHI ist nicht auf medizinische Diagramme beschränkt. In digitalen Systemen können Identifikatoren und Gesundheitskontext schnell kombiniert werden. Analyseteams sollten Gesundheitsmessungen als hochsensiblen Anwendungsfall behandeln und standardmäßig auf Datenminimierung setzen.

Für viele Websites im Gesundheitswesen ist der sicherste Analyseansatz eine aggregierte, cookielose Erstanbietermessung für öffentlichen Content und keine Nachverfolgung von authentifizierten oder transaktionalen Gesundheitsabläufen durch Dritte.

Deidentifizierung ist keine Abkürzung für Rohanalysen

HIPAA ermöglicht die De-Identifizierung durch Safe-Harbor- oder Expertenentscheidung, aber reine Webanalysen beginnen selten mit der De-Identifizierung. IP-Adressen, URLs, Geräte-IDs, Zeitstempel und Konto-IDs können alle vor einer Aggregation vorhanden sein. Wenn eine Gesundheitsorganisation Analyseberichte wünscht, die nicht mehr PHI sind, sollte die Anonymisierung vor der allgemeinen Weitergabe erfolgen und nicht als Annahme nach der Erfassung.

Für eine praktische Berichterstattung aggregieren Sie frühzeitig. Berichten Sie Zahlen nach Seitenkategorie, campaign oder Gerätetyp, anstatt Daten auf Ereignisebene offenzulegen. Denken Sie an die Unterdrückung kleiner Zellen, wenn ein Bericht einen Patienten anhand seiner Einzigartigkeit identifizieren könnte.

Vergessen Sie nicht die Pflichten zu Sicherheitsvorschriften

Wenn Analysedaten elektronisch vorliegen (PHI), wird die Sicherheitsregel HIPAA relevant. Das bedeutet Zugriffskontrollen, Auditkontrollen, Integritätsschutz, Übertragungssicherheit und Risikoanalyse. Marketingteams sollten nicht die einzigen Eigentümer von Entscheidungen zur Gesundheitsanalyse sein; Sicherheits- und Compliance-Teams benötigen Transparenz, bevor Tools in Betrieb genommen werden.

Häufig gestellte Fragen

Was zählt als geschützte Gesundheitsinformation?

PHI sind Gesundheitsinformationen, die eine Person identifizieren oder vernünftigerweise identifizieren könnten, sobald eine abgedeckte Einrichtung oder ein Geschäftspartner sie erstellt, empfängt, aufbewahrt oder überträgt. Erst wenn drei Dinge zusammenkommen, wird daraus PHI: Die Daten beziehen sich auf Gesundheit oder Bezahlung, sie identifizieren jemanden, und eine abgedeckte Einrichtung oder ein Geschäftspartner hält sie.

Muss ein allgemeiner Wellness-Blog HIPAA befolgen?

Nicht automatisch. Ein allgemeiner Wellness-Blog ist möglicherweise keine abgedeckte Einrichtung, während ein Krankenhaus, eine Klinik, ein Telemedizin-Anbieter, ein Versicherer oder ein Dienstleister, der Patientendaten für eine dieser Organisationen verarbeitet, wahrscheinlich HIPAA-Pflichten hat.

Kann eine IP-Adresse als PHI gelten?

Eine IP-Adresse kann je nach Kontext als PHI gelten. IP-Adressen gehören zu den 18 HIPAA-Identifikatoren, und eine IP-Adresse in Kombination mit authentifizierter Portalaktivität kann PHI sein.

Ist jeder Seitenaufruf zu einer Gesundheitsbedingung automatisch PHI?

Nein. Diese Vereinfachung wird ausdrücklich abgelehnt, besonders nachdem ein Bundesgericht einen Teil der HHS-Leitlinie zu unauthentifizierten öffentlichen Seiten aufgehoben hat. Kontext wie die Frage, ob die Seite authentifiziert ist und welche Identifikatoren erfasst werden, bleibt entscheidend.

Müssen Analyse-Anbieter eine BAA unterschreiben?

Nur manche tun das. Viele Werbe- und Analyse-Anbieter unterschreiben für bestimmte Produkte keine BAA, daher muss eine Gesundheitsorganisation vor jeder Übertragung von PHI bestätigen, dass der Anbieter für genau dieses Produkt und diesen Zweck eine BAA unterschreibt.

Welche Analyse sollten Gesundheitsseiten für öffentliche Seiten verwenden?

Für öffentliche Aufklärungsseiten passt datenschutzfreundliche, aggregierte Analyse ohne dauerhafte Identifikatoren, getrennt von den Patientendatensystemen.

Wie sollten authentifizierte Patientenportale anders verfolgt werden?

Dort gilt extreme Zurückhaltung: interne Protokollierung von Betriebsereignissen, eingeschränkter Zugriff, keine Skripte von Drittanbietern, und Datenschutz- sowie Sicherheitsteams sollten vor jedem Tracking einbezogen werden.

Reicht eine Standard-Datenverarbeitungsvereinbarung für einen Gesundheitsanalyse-Anbieter aus?

Nicht allein. Selbst wenn ein Anbieter eine Standard-Datenverarbeitungsvereinbarung unterschreibt, kann HIPAA zusätzlich eine separate BAA verlangen.

Gilt deidentifizierte Analysedaten noch als PHI?

Rohe Web-Analysedaten sind selten von Anfang an deidentifiziert, da IP-Adressen, URLs, Geräte-IDs, Zeitstempel und Kontokennungen vor der Aggregation vorhanden sein können. Die Deidentifizierung durch Safe Harbor oder Expertenbestimmung muss vor einer breiten Weitergabe erfolgen, nicht nachträglich angenommen werden.

Wer sollte Entscheidungen zur Gesundheitsanalyse treffen?

Nicht das Marketing allein. Sicherheits- und Compliance-Teams brauchen Einblick, bevor Tools live gehen, und wenn Analysedaten elektronische PHI sind, greifen zusätzlich die Pflichten der Security Rule: Zugriffskontrollen, Audit-Kontrollen, Integritätsschutz, Übertragungssicherheit und Risikoanalyse.