Geschuetzte Gesundheitsinformationen (PHI) nach HIPAA verstehen

Geschuetzte Gesundheitsinformationen (PHI) sind das zentrale Konzept der HIPAA-Compliance. Zu verstehen, was als PHI gilt, bestimmt, welche Datenschutzanforderungen fuer Gesundheitsorganisationen und ihre Geschaeftspartner gelten.

Was als PHI gilt

PHI sind alle individuell identifizierbaren Gesundheitsinformationen, die von einer abgedeckten Einrichtung oder einem Geschaeftspartner erstellt, empfangen, gespeichert oder uebermittelt werden. Sie muessen drei Kriterien erfuellen: Sie beziehen sich auf den Gesundheitszustand, die Gesundheitsversorgung oder die Bezahlung der Gesundheitsversorgung einer Person; sie identifizieren die Person oder koennten vernuenftigerweise zur Identifizierung verwendet werden; und sie werden von einer abgedeckten Einrichtung oder einem Geschaeftspartner gehalten.

Gaengige PHI-Beispiele

PHI umfasst Patientennamen in Verbindung mit Krankenakten, Behandlungsdaten, Krankenaktennummern, Krankenversicherungsinformationen, Diagnosecodes, Verschreibungsunterlagen, Laborergebnisse und Abrechnungsinformationen. PHI erstreckt sich auch auf digitale Identifikatoren wie IP-Adressen und Geraete-IDs, wenn diese mit Gesundheitsinformationen verknuepft sind.

PHI in digitalen Kontexten

Website-Analytics auf Gesundheitswebsites kann unbeabsichtigt PHI erzeugen, wenn Besucher-Identifikatoren (wie IP-Adressen oder Cookie-IDs) mit aufgerufenen Seiten ueber bestimmte Erkrankungen oder Behandlungen kombiniert werden. Deshalb muessen Gesundheitsorganisationen bei ihren Analytics-Implementierungen besonders vorsichtig sein.

Die 18 HIPAA-Identifikatoren

HIPAA definiert 18 spezifische Identifikatoren, die in Verbindung mit Gesundheitsinformationen PHI erzeugen. Dazu gehoeren Namen, geografische Daten, Datumsangaben, Telefonnummern, E-Mail-Adressen, Sozialversicherungsnummern, Krankenaktennummern und mehrere andere. Das Entfernen aller 18 Identifikatoren erzeugt de-identifizierte Daten, die nicht mehr dem HIPAA-Schutz unterliegen.