Alles Wissenswerte, nichts Unwissendes.
Wenn Messaging HIPAA auslöst
Drei Muster. Eine Terminerinnerung mit Angabe der Fachklinik („Ihr Kardiologietermin“) – PHI. Eine Benachrichtigung über ein Testergebnis („Ihre Laborergebnisse liegen vor“) – PHI. Eine Benachrichtigung über die Abholung eines Rezepts („Ihre Lipitor-Nachfüllung ist in Apotheke X abholbereit“) – PHI. Eine allgemeine Terminerinnerung („Termin morgen um 15 Uhr“) ohne Angabe der Fachrichtung könnte zwar als nicht-PHI gelten, wird aber von den meisten Compliance-Abteilungen vorsichtshalber als PHI behandelt.
Vereinbarung mit Geschäftspartnern (Business Associate Agreement, BAA)
Jeder Anbieter, der PHI im Auftrag einer Covered Entity verarbeitet, gilt als Business Associate. Ein Business Associate Agreement (BAA) ist zwingend erforderlich – ohne ein solches verstößt die Covered Entity gegen die Vorschriften, sobald sie auch nur eine einzige PHI-haltige Nachricht über den Anbieter versendet. Wenn Sie planen, PHI zu versenden, fragen Sie uns zuerst nach Ihren HIPAA-Anforderungen; die Verfügbarkeit eines BAA wird während der Vertragsphase bestätigt.
Verschlüsselungsanforderungen
Die Sicherheitsrichtlinie schreibt die Verschlüsselung von PHI (geschützten Gesundheitsdaten) sowohl während der Übertragung als auch im Ruhezustand vor. SMS-Nachrichten zwischen einem SMSC (Short Message Service Center) und dem Endgerät sind nicht Ende-zu-Ende-verschlüsselt (der OTA-Pfad (Over-the-Air) ist vom Betreiber kontrolliert und vertraulich, aber nicht im Sinne der DSGVO/HIPAA verschlüsselt). Die HHS-Richtlinie (US-Gesundheitsministerium) besagt: SMS sind für HIPAA-konforme PHI zulässig, sofern der Patient über die unverschlüsselte Übertragung informiert wurde und seine Einwilligung erteilt hat. Bei besonders sensiblen Daten empfiehlt sich die Verwendung von WhatsApp (Ende-zu-Ende-verschlüsselt) oder Push-Benachrichtigungen an ein HIPAA-konformes Patientenportal.
Benachrichtigung über Datenschutzverletzung
Bei einer Verletzung des Schutzes von Patientendaten (PHI) müssen Sie den Patienten innerhalb von 60 Tagen, das US-Gesundheitsministerium (HHS) innerhalb von 60 Tagen (oder unverzüglich bei mehr als 500 betroffenen Patienten) und gegebenenfalls die lokalen Medien benachrichtigen. Der CPaaS-Anbieter muss die betroffene Einrichtung so schnell informieren, dass diese die 60-Tage-Frist einhalten kann. Unsere Service-Level-Vereinbarung (SLA) für die Reaktion auf Sicherheitsvorfälle bei HIPAA-Konten sieht eine Bearbeitungszeit von 4 Stunden für die Erstbenachrichtigung und eine vollständige Ursachenanalyse innerhalb von 14 Tagen vor.