HIPAA & GDPR - Was sind die Unterschiede?

Vertraulichkeit ist ein Muss im Gesundheitswesen. Die medizinischen Informationen eines Patienten sind das Eigentum dieses Patienten und sollten nur mit denjenigen geteilt werden, die direkt für die Behandlung verantwortlich sind, die sie erhalten. Das ist der Grund, warum Vorschriften wie HIPAA oder DSGVO  im Gesundheitswesen und nicht nur dort entwickelt wurden. 

Was ist HIPAA?

HIPAA, auch bekannt als das Gesetz über die Portabilität und Verantwortlichkeit von Krankenversicherungen von 1996, ist ein US-amerikanisches Gesetz, das sicherstellt, dass Gesundheitsorganisationen die Sicherheit und Vertraulichkeit von geschützten Gesundheitsinformationen (oder PHI) wahren.

Was ist die DSGVO?

Die Datenschutz-Grundverordnung (DSGVO) ist ein Gesetz, das die Privatsphäre aller Personen schützt, indem es Unternehmen verpflichtet, robuste Verfahren für den Umgang mit und die Speicherung von personenbezogenen Daten zu haben. Dies hilft sicherzustellen, dass Benutzer nicht ohne ihre ausdrückliche Zustimmung kontaktiert werden und dass persönliche Daten sicher aufbewahrt werden.

Was sind die Unterschiede zwischen HIPAA und DSGVO?

Die DSGVO setzt hohe Standards für alle sensiblen personenbezogenen Daten, während HIPAA sich nur mit sensiblen Gesundheitsinformationen befasst.

Im Laufe der Jahre haben viele Fachleute für Compliance im Gesundheitswesen die Datenschutzstandards des Gesetzes über die Portabilität und Verantwortlichkeit von Krankenversicherungen (HIPAA) untersucht, umgesetzt und in Frage gestellt.

PHI umfasst alle Informationen, die verwendet werden können, um einen Patienten zu identifizieren, wie Name, Adresse, Geburtsdatum, Bank-/Kreditkartendaten, Sozialversicherungsnummer, Fotos und Versicherungsinformationen kombiniert mit Gesundheitsinformationen.

Je nach Ihrer Organisation müssen Sie möglicherweise auch die Datenschutz-Grundverordnung (DSGVO) berücksichtigen. Die DSGVO ist eine Datenschutz- und Privatsphäreverordnung in der Europäischen Union (EU).

Zu den Organisationen, die unter die DSGVO-Compliance fallen, gehören die, die eines der folgenden Kriterien erfüllen:

1. Haben ihren Sitz in der EU
2. Bieten Waren oder Dienstleistungen für europäische Kunden an
3. Verarbeiten die personenbezogenen Daten europäischer Nutzer

Es gibt sicherlich einige Überschneidungen zwischen den DSGVO- und HIPAA-Vorschriften (z. B. konzentrieren sich beide auf die Rechte der Nutzer, ihre Informationen sicher und geschützt zu halten und zu übertragen), aber es gibt einige wichtige Unterschiede, die es wert sind, erwähnt zu werden:

Welche Art von Daten stehen im Fokus von DSGVO & HIPAA?

1. Die neuen DSGVO-Vorschriften schützen alle Daten, die verwendet werden könnten, um eine Person zu identifizieren, einschließlich sensibler Daten wie Rasse oder Ethnizität, politische Meinungen, religiöse oder philosophische Überzeugungen, Mitgliedschaft in Gewerkschaften, genetische oder biometrische Daten und Gesundheitsdaten.
2. Die HIPAA-Standards gelten nur für Gesundheitsinformationen, die von geschützten Stellen gehalten werden, wie Ärzten, Arbeitgebern, die Gesundheitsleistungen anbieten, oder Versicherungsgesellschaften. Geschäftspartner wie IT-Unternehmen oder Transkriptionsdienste unterliegen ebenfalls den HIPAA-Vorschriften.

Einwilligung des Nutzers, die in DSGVO & HIPAA erforderlich ist

Die Einwilligung zur Weitergabe von Informationen ist ebenfalls unterschiedlich. Nach der DSGVO ist eine ausdrückliche Einwilligung für die Verarbeitung sensibler Daten erforderlich, während HIPAA die Offenlegung von PHI für „Behandlung, Bezahlung und betriebliche Zwecke“ ohne die Zustimmung der betroffenen Person erlaubt.

Berichterstattung über Verstöße und Probleme

Sowohl HIPAA als auch DSGVO verlangen die Meldung von Verstößen, jedoch gibt es unterschiedliche Zeitpläne für die Benachrichtigung. HIPAA verlangt, dass Verstöße, die 500 oder mehr Personen betreffen, innerhalb von 60 Tagen gemeldet werden. Die DSGVO hingegen verlangt, dass alle Verstöße innerhalb von 72 Stunden an eine zuständige DSGVO-Behörde gemeldet werden.

Das Recht, „vergessen zu werden“

Der Hauptunterschied zwischen DSGVO und HIPAA ist, unter der DSGVO, haben Einzelpersonen das Recht, ihre Daten zu löschen, wenn sie dies verlangen, während HIPAA dieses Recht nicht gewährt. Das bedeutet, dass Organisationen Daten nicht unbegrenzt speichern können und sie auf Anfrage dauerhaft löschen müssen, im Gegensatz zur 7-jährigen Aufbewahrungsfrist nach HIPAA.

Fazit

Organisationen, die die Anforderungen zur Einhaltung von DSGVO und HIPAA erfüllen möchten, müssen ein tiefes Verständnis der Vorschriften und der spezifischen Anforderungen, die in beiden Standards festgelegt sind, haben. Dadurch können sie problemlos einen Plan zur Erfüllung aller Standards erstellen.

Wir empfehlen nachdrücklich, dass Organisationen eine Datenbewertung durchführen, um etwaige Risiken für die Daten zu identifizieren, und geeignete Maßnahmen zu ergreifen, um die Anforderungen einzuhalten. Organisationen haben auch die Möglichkeit, an der Datensicherheit und -schutz des Patienten mit Unternehmen zusammenzuarbeiten, die HIPAA- und DSGVO-konforme Daten- und Bildmanagement-Plattformen anbieten, wie es Medicai tut.

Medicai verarbeitet die Daten Ihrer Patienten über seine dezentrale cloudbasierte Infrastruktur für medizinische Bildgebung. Es integriert sich in bestehende PACS-/VNA-Infrastrukturen und gewährt einen einheitlichen Zugang zu medizinischer Bildgebung oder handelt als eigenständige cloudnative PACS-Lösung. 

Unsere Lösung für den Zugang zu Gesundheitsdaten bietet granularen, remote und schnellen Zugang zu Patientendaten und erfüllt gleichzeitig die Anforderungen für die Einhaltung von DSGVO und HIPAA.

Wenn Sie Medicais sichere und DSGVO- sowie HIPAA-konforme Lösung für medizinische Bildgebung testen möchten, können Sie sich gerne an unser Vertriebsteam wenden oder eine Demo buchen:

Draeger, J. (2021, 6. Dezember). Wie vergleicht sich die DSGVO mit HIPAA? Der Compliance- und Ethikblog. https://www.complianceandethics.org/how-does-gdpr-compare-to-hipaa/

Datenschutz-Grundverordnung (DSGVO) | Zugang zu Tufts. (o. D.). https://access.tufts.edu/general-data-protection-regulation-gdpr

Lutkevich, B. (2020, 28. August). HIPAA (Gesetz über die Portabilität und Verantwortlichkeit von Krankenversicherungen). Gesundheit IT. https://www.techtarget.com/searchhealthit/definition/HIPAA