Ein praktischer Leitfaden zu Geschützte Gesundheitsinformationen verstehen

Dieser Leitfaden erklärt Geschützte Gesundheitsinformationen verstehen praxisnah und mit Fokus auf datenschutzfreundliche Analytics-Entscheidungen.

Geschützte Gesundheitsinformationen, oder PHI, sind Gesundheitsinformationen, die eine Person identifizieren oder vernünftigerweise zu deren Identifizierung verwendet werden könnten, wenn sie von einer durch HIPAA erfassten juristischen Person oder einem Geschäftspartner erstellt, empfangen, verwaltet oder übermittelt werden. Diese Definition ist wichtig, weil Websites im Gesundheitswesen, Patientenportale und Analysetools PHI an Orten erzeugen können, die Teams nicht erwarten.

Bei diesem Artikel handelt es sich nicht um eine Rechtsberatung, sondern er bietet Produkt-, Marketing- und Analyseteams eine praktische Möglichkeit, über das HIPAA-Risiko nachzudenken.

Für wen gilt HIPAA?

HIPAA gilt für betroffene Unternehmen und Geschäftspartner. Zu den abgedeckten Unternehmen gehören Krankenkassen, Gesundheits-Clearingstellen und Gesundheitsdienstleister, die bestimmte elektronische Transaktionen durchführen. Geschäftspartner sind Anbieter oder Partner, die PHI im Namen der abgedeckten Unternehmen erstellen, empfangen, verwalten oder übertragen.

Ein allgemeiner Wellness-Blog ist möglicherweise keine abgedeckte Einheit. Ein Krankenhaus, eine Klinik, ein Telemedizinanbieter, ein Versicherer oder ein Anbieter, der Patientendaten für eine dieser Organisationen verarbeitet, unterliegt wahrscheinlich HIPAA-Verpflichtungen.

Was macht Informationen zu PHI?

Informationen werden zu PHI, wenn drei Elemente zusammenkommen:

1. Es bezieht sich auf Gesundheit, Gesundheitsversorgung oder Bezahlung der Gesundheitsversorgung
2. Es identifiziert die Person oder könnte sie vernünftigerweise identifizieren
3. Es wird von einer betroffenen juristischen Person oder einem Geschäftspartner gehalten oder übermittelt

Ein Diagnosecode in einer Krankenhausakte ist PHI. Eine über ein Klinikterminformular übermittelte E-Mail-Adresse kann PHI lauten. Eine IP-Adresse in Kombination mit authentifizierter Portalaktivität kann PHI lauten. Der Kontext ist wichtig.

Die 18 HIPAA-Identifikatoren

Der Deidentifizierungs-Safe Harbor von und jede andere eindeutige Identifikationsnummer oder jedes andere Merkmal.

Es reicht nicht aus, offensichtliche Namen zu entfernen. URLs-, IP-Adressen, Gerätekennungen und Kontonummern sind für Analyseteams besonders relevant.

Online-Tracking-Technologien

HHS OCR hat Leitlinien zu Online-Tracking-Technologien herausgegeben, die von HIPAA-regulierten Unternehmen verwendet werden. Auf der aktuellen HHS-Seite wird darauf hingewiesen, dass ein Bundesgericht einen Teil der Leitlinien insofern aufgehoben hat, als es besagte, dass HIPAA-Verpflichtungen ausgelöst werden, wenn eine Online-Technologie eine IP-Adresse mit dem Besuch einer nicht authentifizierten öffentlichen Webseite über Gesundheitszustände oder Anbieter verknüpft. HHS gibt an, die nächsten Schritte zu prüfen, während das Bulletin weiterhin HIPAA-Verpflichtungen für regulierte Unternehmen hervorhebt, die Tracking-Technologien verwenden (HHS OCR-Tracking-Technologien-Leitfaden).

Die Nuance zählt. Vereinfachen Sie die Regel nicht zu sehr, denn „jeder Aufruf der Gesundheitsseite ist immer PHI.“ Aber gehen Sie auch nicht davon aus, dass Analysen sicher sind, insbesondere auf authentifizierten Seiten, Terminabläufen, Patientenportalen oder Seiten, auf denen Benutzer gesundheitsbezogene Informationen bereitstellen.

Analytics-Risikoszenarien

Zu den Analysemustern mit hohem Risiko gehören:

• Verfolgung von Patientenportalseiten mit Analysen von Drittanbietern
• Senden von Terminformularfeldern an Analyseereignisse
• Aufzeichnung der Sitzungswiedergabe auf Aufnahmeformularen
• Verwendung von Werbepixeln auf Zustands- oder Behandlungsseiten
• Senden des vollständigen URLs mit Patienten-IDs, Token oder Suchanfragen
• Retargeting von Besuchern, die sich „Sensible Health“ Content angesehen haben
• Teilen von Conversion-Eventsen mit Werbeplattformen ohne konforme Vereinbarung

Auch wenn ein Anbieter eine Standard-Datenverarbeitungsvereinbarung unterzeichnet, kann HIPAA eine Geschäftspartnervereinbarung erfordern. Viele Werbe- und Analyseanbieter unterzeichnen für bestimmte Produkte keine BAAs.

Sicherere Messungen für Gesundheitsstandorte

Gesundheitsorganisationen sollten öffentliche Bildungsanalysen von Patientendatensystemen trennen. Verwenden Sie für öffentliche Seiten nach Möglichkeit aggregierte Analysen, bei denen der Datenschutz an erster Stelle steht, ohne dauerhafte Identifikatoren. Seien Sie bei authentifizierten Portalen äußerst konservativ: Protokollieren Sie Betriebsereignisse intern, beschränken Sie den Zugriff, vermeiden Sie Skripts von Drittanbietern und beziehen Sie Datenschutz- und Sicherheitsteams ein, bevor Sie Tracking hinzufügen.

Senden Sie PHI nicht an Analysetools, es sei denn, der Anbieter ist autorisiert, die Verwendung ist zulässig und es bestehen die richtigen Vereinbarungen und Sicherheitsvorkehrungen.

Praktische Checkliste

Fragen Sie vor der Bereitstellung von Analysen auf einer Website im Gesundheitswesen Folgendes:

• Sind wir ein versichertes Unternehmen oder ein Geschäftspartner?
• Ist die Seite authentifiziert oder nicht authentifiziert?
• Könnte die Seiten-URL, der Titel, die Suchanfrage oder das Ereignis Gesundheitsinformationen preisgeben?
• Werden Identifikatoren wie die IP-Adresse, Cookie-ID, Konto-ID oder Geräte-ID erfasst?
• Unterzeichnet der Anbieter eine BAA für genau dieses Produkt und diese Verwendung?
• Sind Werbefunktionen, Remarketing und Datenfreigabe deaktiviert?
• Sind Formulare, Portale und Terminabläufe von Skripten Dritter ausgeschlossen?
• Sind Aufbewahrungs- und Zugriffskontrollen angemessen?

Checkliste für die Überprüfung von Gesundheitsanalysen

Trennen Sie die öffentliche Bildungsmessung von Termin-, Portal-, Aufnahme-, Zahlungs-, bedingungsspezifischen und authentifizierten Arbeitsabläufen. Die HHS-Tracking-Richtlinien bleiben auch nach einem Rechtsstreit differenziert. Behaupten Sie also nicht, dass jeder Seitenaufruf im Bereich der öffentlichen Gesundheit automatisch PHI ist. Bewerten Sie den Seitenkontext, die Kennungen, Benutzeraktionen und die HIPAA-Rolle der Organisation.

Überprüfen Sie vor dem Versand eines Gesundheitsetiketts, ob der Anbieter PHI erhalten darf, ob er eine BAA für genau dieses Produkt und diese Verwendung unterzeichnet, welche Kennungen erfasst werden, wie lange Rohdaten aufbewahrt werden und wer darauf zugreifen kann. Halten Sie Analyse-Nutzlasten frei von Namen, E-Mails, Patienten- oder Datensatznummern, Termindetails, Formulartext, vertraulichen Abfragezeichenfolgen und Identifikatoren, die einen Besucher mit der Pflege verknüpfen können.

Das Fazit

PHI ist nicht auf medizinische Diagramme beschränkt. In digitalen Systemen können Identifikatoren und Gesundheitskontext schnell kombiniert werden. Analyseteams sollten Gesundheitsmessungen als hochsensiblen Anwendungsfall behandeln und standardmäßig auf Datenminimierung setzen.

Für viele Websites im Gesundheitswesen ist der sicherste Analyseansatz eine aggregierte, cookielose Erstanbietermessung für öffentlichen Content und keine Nachverfolgung von authentifizierten oder transaktionalen Gesundheitsabläufen durch Dritte.

Deidentifizierung ist keine Abkürzung für Rohanalysen

HIPAA ermöglicht die De-Identifizierung durch Safe-Harbor- oder Expertenentscheidung, aber reine Webanalysen beginnen selten mit der De-Identifizierung. IP-Adressen, URLs, Geräte-IDs, Zeitstempel und Konto-IDs können alle vor einer Aggregation vorhanden sein. Wenn eine Gesundheitsorganisation Analyseberichte wünscht, die nicht mehr PHI sind, sollte die Anonymisierung vor der allgemeinen Weitergabe erfolgen und nicht als Annahme nach der Erfassung.

Für eine praktische Berichterstattung aggregieren Sie frühzeitig. Berichten Sie Zahlen nach Seitenkategorie, campaign oder Gerätetyp, anstatt Daten auf Ereignisebene offenzulegen. Denken Sie an die Unterdrückung kleiner Zellen, wenn ein Bericht einen Patienten anhand seiner Einzigartigkeit identifizieren könnte.

Vergessen Sie nicht die Pflichten zu Sicherheitsvorschriften

Wenn Analysedaten elektronisch vorliegen (PHI), wird die Sicherheitsregel HIPAA relevant. Das bedeutet Zugriffskontrollen, Auditkontrollen, Integritätsschutz, Übertragungssicherheit und Risikoanalyse. Marketingteams sollten nicht die einzigen Eigentümer von Entscheidungen zur Gesundheitsanalyse sein; Sicherheits- und Compliance-Teams benötigen Transparenz, bevor Tools in Betrieb genommen werden.