Uw complete checklist voor het behalen van HIPAA-naleving

HIPAA-boetes kunnen streng zijn, dus het is belangrijk deze te vermijden door de HIPAA-nalevingsvereisten te volgen. Hier is een complete stapsgewijze checklist voor HIPAA-naleving.

HIPAA-nalevingsvereisten omvatten het volgende:

• Privacy: rechten van patiënten op beschermde gezondheidsinformatie (PHI)
• Beveiliging: fysieke, technische en administratieve beveiligingsmaatregelen
• Handhaving: onderzoeken naar een datalek
• Meldingsplicht bij datalekken: verplichte stappen als er een datalek plaatsvindt
• Omnibus: conforme zakelijke partners

HIPAA-naleving: een kort overzicht

HIPAA is een raamwerk dat in 1996 is ontwikkeld om de wettelijke verplichtingen van een organisatie te beschrijven volgens de Health Insurance Portability and Accountability Act. Deze regelgeving stelt normen voor kritieke aspecten van data management in de zorg, waaronder het recht van patiënten op privacy, de noodzaak van passende beveiligingsmaatregelen om privégegevens te beschermen, en de vereisten waaraan zorgorganisaties moeten voldoen als die gegevens zijn gelekt door een kwaadwillende derde partij.

Belangrijk in dit raamwerk is het concept van gegevensbescherming. De fysieke beveiliging van data, encryptiestandaarden die worden gebruikt om die data te beschermen, en de procedures voor het documenteren, verzenden en opslaan van gegevens zijn allemaal essentiële onderdelen van HIPAA en de onderliggende vereisten.

Beheerd door het Department of Health and Human Services en het Office for Civil Rights, bestaan er regels om de vertrouwelijkheid van privé patiëntinformatie te waarborgen in een wereld van elektronische administratie, digitale gegevensoverdracht en (recentelijk) clouddiensten.

HIPAA-naleving: welke organisaties moeten zich eraan houden?

Organisaties moeten voldoen aan HIPAA om ervoor te zorgen dat gevoelige gezondheidsgegevens van patiënten veilig zijn en niet worden gedeeld met onbevoegde personen of entiteiten. HIPAA biedt ook waarborgen die ervoor zorgen dat de gegevens alleen voor het beoogde doel worden gebruikt en niet voor andere doeleinden worden gebruikt of gedeeld.

Bedrijven die HIPAA-naleving moeten aantonen zijn onder andere:

• Zorgverzekeraars
• Clearinghouses in de zorg
• Zorgverleners (ziekenhuizen, artsen, tandartsen, enz.)
• Zakelijke partners van gedekte entiteiten (bijv. facturatiebedrijven en documentopslagbedrijven)
• Apotheken
• Langdurige zorginstellingen
• Onderzoeksinstellingen
• Publieke gezondheidsautoriteiten
• Werkgevers
• Scholen en universiteiten

De noodzaak van HIPAA-naleving

HIPAA-naleving is noodzakelijk om de veiligheid van vertrouwelijke gezondheidsinformatie te waarborgen. Het is een federale wet die organisaties, zoals zorgverleners, verplicht om de privacy en beveiliging van de gegevens van hun patiënten te beschermen. Naleving van deze normen is noodzakelijk voor de bescherming van gevoelige gegevens, zoals medische dossiers van patiënten, informatie over zorgverzekeringen en andere persoonlijk identificeerbare informatie (PII) en beschermde gezondheidsinformatie (PHI).

Als bedrijven niet voldoen aan HIPAA, kunnen ze ernstige sancties krijgen. Het U.S. Department of Health and Human Services Office for Civil Rights kan sancties opleggen, waaronder boetes, herstelmaatregelen en civiele geldboetes. Daarnaast kunnen bedrijven strafrechtelijk worden vervolgd. Voorbeelden van boetes bij schending van HIPAA-naleving zijn:

• Tot $1,5 miljoen voor één overtreding en tot $15 miljoen voor meerdere overtredingen in een kalenderjaar
• Tot $50.000 per overtreding bij het bewust misbruiken van patiëntinformatie
• Tot $100 per overtreding bij het niet verstrekken van een toegangsverzoek aan een patiënt
• Tot $250.000 of tot 1 jaar gevangenisstraf of beide voor het verkrijgen of openbaar maken van identificeerbare gezondheidsinformatie zonder toestemming

Waarom zijn deze boetes zo hoog? Als de dossiers van een patiënt worden gestolen, kan de privacy van de patiënt worden geschonden. Gestolen dossiers kunnen worden gebruikt voor identiteitsdiefstal of financiële fraude, wat kan leiden tot financiële verliezen of ongeoorloofd gebruik van voordelen. Gevoelige medische informatie die wordt onderschept, kan ook worden gebruikt om de patiënt te chanteren of te intimideren.

Wie moet HIPAA-naleving behalen?

HIPAA-naleving is van toepassing op elke organisatie of individu die elektronische beschermde gezondheidsinformatie (ePHI) creëert, ontvangt, beheert of verzendt. Dit omvat zorgverleners zoals artsen en ziekenhuizen, zorgplannen, zorgverzekeraars en elke andere organisatie die actief is in de zorgsector. Het geldt ook voor zakelijke partners, zoals externe facturatiebedrijven, transcriptiebedrijven en IT-dienstverleners. Uiteindelijk moet elke entiteit die ePHI opslaat, verzendt of verwerkt, voldoen aan HIPAA-regelgeving. Deze uitgebreide toeleveringsketen in de zorg kan aanzienlijke risico’s met zich meebrengen.

Organisaties die geen ePHI creëren, ontvangen, beheren of verzenden, hoeven niet HIPAA-conform te zijn. Voorbeelden hiervan zijn detailhandelaren en restaurants. Echter, zelfs organisaties die niet direct betrokken zijn bij de zorg, kunnen onder HIPAA-vereisten vallen, bijvoorbeeld als ze clouddiensten leveren voor zorggerelateerde informatie.

Enkele belangrijke HIPAA-regelgevende en nalevingstermen

Om te begrijpen wat naleving inhoudt en op wie het van toepassing is, is het belangrijk om enkele kernbegrippen te kennen:

Gedekte entiteit

Dit zijn de ziekenhuizen, artsen, klinieken, verzekeringsmaatschappijen of iedereen die regelmatig werkt met patiënten en hun privégegevens.

Zakelijke partner

Dienstverleners die nauw samenwerken met gedekte entiteiten zonder direct met patiënten te werken. Zakelijke partners verwerken vaak privégegevens vanwege hun technologieproducten, adviesdiensten, financiële administratie, data-analyse of andere diensten.

Elektronische persoonlijke gezondheidsinformatie (ePHI)

ePHI is de wettelijke benaming voor privé patiëntgegevens die elektronisch worden opgeslagen en verzonden. Alle privacy-, beveiligings- en rapportageregels verwijzen naar de bescherming en het beheer van ePHI.

Wat zijn de 4 belangrijkste HIPAA-regels en hoe beïnvloeden ze naleving?

Vier hoofdregels bepalen de structuur en betekenis van alles wat met nalevingsvereisten te maken heeft:

1. De Privacyregel
2. De Beveiligingsregel
3. De Meldingsplicht bij datalekken
4. De Omnibusregel

Elke regel biedt een raamwerk voor één aspect van naleving en beïnvloedt kritieke aspecten van de andere regels.

De HIPAA-privacyregel

De HIPAA-privacyregel stelt de nationale standaard vast voor de rechten van patiënten op privacy en privé-informatie. Daarnaast vormt deze regel het raamwerk dat bepaalt wat ePHI is, hoe het beschermd moet worden, hoe het wel en niet mag worden gebruikt, en hoe het verzonden en opgeslagen mag worden.

Een extra onderdeel van de privacyregel is het papierwerk en de toestemmingen die vereist zijn voor entiteiten die ePHI verwerken.

In deze regel wordt ePHI gedefinieerd als alle identificeerbare patiëntgegevens die onder privacy vallen, beheerd door de gedekte entiteit of een zakelijke partner. Dit wordt “beschermde gezondheidsinformatie” genoemd en omvat:

• Alle documentatie over fysieke of mentale aandoeningen uit het verleden, heden of de toekomst
• Alle dossiers over de zorg voor de patiënt
• En dossiers die verwijzen naar betalingen voor zorg uit het verleden, heden of de toekomst

De regel stelt dat de enige situaties waarin gedekte entiteiten privégezondheidsinformatie mogen delen, zeer specifieke zorg-, onderzoeks- of juridische situaties zijn. Deze situaties zijn zelf zeer beperkt en vatbaar voor interpretatie door de rechter.

De beste vuistregel is dat als het gaat om ePHI-privacy, de gedekte entiteit en hun zakelijke partners verplicht zijn deze te beschermen.

HIPAA Privacyregel Checklist

Deze HIPAA Privacyregel Checklist bevat 10 essentiële stappen die zorgorganisaties en hun zakelijke partners moeten nemen om te voldoen aan de HIPAA Privacyregel. Van het aanwijzen van een privacyfunctionaris tot het opstellen van protocollen voor het delen van PHI met derden, deze checklist behandelt alle noodzakelijke aspecten van het beschermen van gevoelige gezondheidsinformatie van patiënten. Naleving van deze richtlijnen helpt organisaties niet alleen HIPAA-overtredingen (en daaropvolgende boetes, sancties en rechtszaken) te voorkomen, maar bouwt ook vertrouwen en zekerheid bij patiënten in het zorgsysteem. Ze omvatten:

1. Wijs een privacyfunctionaris aan
2. Ontwikkel en implementeer schriftelijke beleidsregels en procedures
3. Bied training aan personeelsleden
4. Verkrijg toestemming van de patiënt voor bepaalde openbaarmakingen
5. Beheer passende waarborgen voor beschermde gezondheidsinformatie (PHI)
6. Implementeer een systeem voor het beoordelen en verifiëren van verzoeken om PHI
7. Reageer op verzoeken van patiënten om toegang tot PHI
8. Stel patiënten op de hoogte in geval van een datalek van onbeveiligde PHI
9. Ken unieke identificaties toe aan individuen en groepen
10. Stel protocollen op voor het delen van PHI met zakelijke partners en andere derden

De HIPAA-beveiligingsregel

Met de definitie van privacy en ePHI op zijn plaats, is de volgende stap het beschermen van die gegevens. De HIPAA-beveiligingsregel stelt de nationale standaarden vast voor de mechanismen die nodig zijn om ePHI te beschermen. Deze mechanismen gelden voor de gehele operatie van de gedekte entiteit, inclusief technologie, administratie, fysieke beveiliging van computers en apparaten, en alles wat de veiligheid van ePHI kan beïnvloeden.

De controles die in deze regel worden beschreven, zijn onderverdeeld in drie groepen beveiligingsmaatregelen:

1. Administratieve taken voor HIPAA-naleving

Dit omvat beleidsregels en procedures die invloed hebben op ePHI, evenals de technologieën, systeemontwerp, risicobeheer en onderhoud met betrekking tot alle andere beveiligingsmaatregelen. Het omvat ook aspecten van zorgadministratie zoals HR en personeelstraining.

2. Fysiek voor HIPAA-naleving

Fysieke beveiligingsmaatregelen beveiligen de toegang tot fysieke apparatuur, waaronder computers, routers, switches en data-opslag. Gedekte entiteiten zijn verplicht om beveiligde locaties te onderhouden waar alleen bevoegde personen toegang tot gegevens hebben.

3. Technisch voor HIPAA-naleving

Cyberbeveiliging omvat computers, mobiele apparaten, encryptie, netwerkbeveiliging, apparaatbeveiliging en alles wat te maken heeft met de technologie voor het opslaan en communiceren van ePHI.

HIPAA-beveiligingsregel Checklist

De HIPAA-beveiligingsregel Checklist behandelt 10 belangrijke gebieden die organisaties moeten aanpakken om elektronische beschermde gezondheidsinformatie (ePHI) te beschermen. Van het uitvoeren van risicobeoordelingen tot het opstellen van noodplannen, deze uitgebreide checklist is ontworpen om organisaties te helpen voldoen aan HIPAA-beveiligingsnormen en gevoelige patiëntgegevens te beschermen tegen potentiële bedreigingen en kwetsbaarheden.

1. Uitvoeren van een risicoanalyse om potentiële bedreigingen en kwetsbaarheden te identificeren
2. Implementeren van beleidsregels en procedures voor het onderhouden en monitoren van de beveiliging van elektronische beschermde gezondheidsinformatie (ePHI)
3. Toegang tot ePHI beperken tot alleen bevoegde personen die toegang nodig hebben voor hun functie
4. Zorgen dat alle ePHI is versleuteld en veilig wordt opgeslagen
5. Procedures implementeren voor het reageren op beveiligingsincidenten en datalekken
6. Alle personeelsleden trainen in HIPAA-beveiligingsbeleid en procedures
7. Beveiligingsmaatregelen regelmatig beoordelen en bijwerken om te zorgen dat ze actueel en effectief zijn
8. Een noodplan opstellen voor rampen of andere calamiteiten die ePHI kunnen beïnvloeden
9. Zorgen dat alle externe leveranciers en aannemers voldoen aan HIPAA-beveiligingsvereisten
10. Regelmatig audits en beoordelingen uitvoeren om naleving van HIPAA-beveiligingsnormen te waarborgen

De HIPAA Meldingsplicht bij datalekken

De Meldingsplicht bij datalekken specificeert wat er gebeurt als er een beveiligingslek optreedt. Het is vrijwel onmogelijk om gegevens 100% effectief te beschermen, en organisaties moeten plannen hebben om het publiek en slachtoffers van een HIPAA-datalek te informeren over wat er is gebeurd en wat hun volgende stappen zijn.

De Meldingsplicht bij datalekken definieert een reeks stappen die elke gedekte entiteit moet nemen tijdens een datalek om compliant te blijven, waaronder:

1. Individuen informeren die getroffen zijn door een datalek. Gedekte entiteiten moeten slachtoffers formeel, schriftelijk op de hoogte stellen van het datalek, per post of e-mail (indien van toepassing).
2. Als de gedekte entiteit geen contactgegevens heeft van meer dan 10 personen bij een datalek, moeten ze alternatieve kennisgeving bieden via een websitebericht voor 90 dagen of een melding in grote nieuwsmedia.
3. De entiteit moet de melding uiterlijk 60 dagen na ontdekking van het datalek verstrekken.
4. Als het datalek meer dan 500 personen in een staat of andere rechtsbevoegdheid treft, moet de entiteit een prominente openbare melding van het datalek doen via lokale media.
5. De entiteit moet daarnaast een melding aan de Secretary of Health doen binnen 60 dagen als het datalek meer dan 500 mensen treft. Bij minder personen kan de entiteit de Secretary aan het einde van het jaar informeren.

Deze meldingsregels zijn van toepassing op alle datalekken die bij de gedekte entiteit bekend zijn geworden door een van hun zakelijke partners.

De HIPAA Omnibusregel

Een recentere regel, de Omnibusregel, breidt de reikwijdte van de regelgeving uit naar organisaties buiten de gedekte entiteiten. Kort gezegd bepaalt de Omnibusregel dat nalevingsverplichtingen ook gelden voor zakelijke partners en aannemers. Dit betekent dat gedekte entiteiten verantwoordelijk zijn voor eventuele overtredingen van zakelijke partners en aannemers, en hun gap-analyse, risicobeoordeling en nalevingsprocedures dienovereenkomstig moeten bijwerken.

Wat is de HIPAA-handhavingsregel?

De HIPAA-handhavingsregel is een set regels die richtlijnen biedt voor onderzoeken en sancties bij overtredingen van de privacy- en beveiligingsregels onder de Health Insurance Portability and Accountability Act (HIPAA). De regel is bedoeld om ervoor te zorgen dat gedekte entiteiten en zakelijke partners voldoen aan HIPAA-regelgeving en de privacy en beveiliging van beschermde gezondheidsinformatie (PHI) van patiënten beschermen. De handhavingsregel stelt ook procedures vast voor het reageren op klachten en het uitvoeren van onderzoeken naar vermeende overtredingen, inclusief het opleggen van civiele geldboetes en herstelmaatregelen.

De nieuwste HIPAA-updates voor HIPAA-naleving begrijpen

De meest recente updates van HIPAA zijn geïmplementeerd in 2013 en 2016.

In 2013 werd de HIPAA Omnibusregel geïntroduceerd, die aanzienlijke wijzigingen aanbracht in de regelgeving rond het omgaan met en beschermen van beschermde gezondheidsinformatie (PHI). Enkele belangrijke wijzigingen waren onder meer:

• Uitgebreide bescherming van patiëntenrechten, waaronder het recht op toegang tot en het ontvangen van kopieën van hun PHI, en het recht om beperkingen te vragen op het gebruik of de openbaarmaking van hun PHI
• Versterkte handhaving van HIPAA-regelgeving, waaronder hogere boetes voor niet-naleving en een vereiste dat zakelijke partners (externe dienstverleners) moeten voldoen aan HIPAA-regelgeving
• Bijgewerkte definities van kernbegrippen zoals “zakelijke partner” en “beschermde gezondheidsinformatie”

In 2016 werd de HIPAA Privacyregel aangepast om bepaalde gedekte entiteiten, zoals zorgverleners of verzekeraars, toe te staan de namen van personen met een vastgestelde psychische aandoening te delen met het National Instant Criminal Background Check System (NICS). Deze wijziging werd doorgevoerd naar aanleiding van de schietpartij op Sandy Hook Elementary School in 2012, wat leidde tot zorgen over de mogelijkheid voor mensen met psychische problemen om vuurwapens te verkrijgen. De openbaarmaking van deze informatie is echter onderworpen aan bepaalde beperkingen en waarborgen, waaronder de vereiste dat de gedekte entiteit specifieke schriftelijke toestemming van de persoon verkrijgt voordat hun informatie wordt gedeeld, en bepaalde mededelingen aan de persoon over de mogelijke gevolgen van zo’n openbaarmaking.

HIPAA IT-naleving

HIPAA-naleving en HIPAA IT-naleving verschillen enigszins.

HIPAA-naleving is een set regels en voorschriften die zijn opgesteld door het U.S. Department of Health and Human Services (HHS) om de privacy, beveiliging en integriteit van gevoelige gezondheidsinformatie van patiënten te beschermen. Dit omvat vereisten voor administratieve, fysieke en technische waarborgen, zoals het implementeren van beleidsregels, procedures en beveiligingsmaatregelen.

HIPAA IT-naleving daarentegen verwijst naar de technische aspecten van de HIPAA-beveiligingsregel, specifiek met betrekking tot de implementatie, het onderhoud en de monitoring van technische waarborgen voor elektronische beschermde gezondheidsinformatie (ePHI). Dit omvat het implementeren van sterke authenticatie- en toegangscontrolemaatregelen, periodieke beveiligingsrisicobeoordelingen en encryptie en beveiliging van opgeslagen gegevens.

Is er een specifieke HIPAA-nalevingschecklist voor IT?

Sommige IT-organisaties moeten HIPAA-conform zijn omdat ze gevoelige en/of vertrouwelijke gegevens verwerken die door HIPAA worden beschermd. IT-organisaties moeten daarom de nodige stappen nemen om ervoor te zorgen dat hun systemen en procedures voldoen aan HIPAA-regelgeving.

IT-organisaties moeten deze checklistpunten overwegen om HIPAA IT-naleving aan te tonen:

1. Heb een toegewijde HIPAA Privacyfunctionaris die verantwoordelijk is voor het ontwikkelen en implementeren van beveiligingsmaatregelen.
2. Identificeer en classificeer alle gegevens die onder de rechtsbevoegdheid van HIPAA vallen.
3. Informeer al het personeel over HIPAA-wetgeving en -regelgeving.
4. Stel administratieve, technische en fysieke beleidsregels en processen op en documenteer deze zoals ze betrekking hebben op HIPAA.
5. Voorzie alle computers en/of werkstations van voldoende beveiligingsmaatregelen om ongeoorloofde toegang te voorkomen.
6. Sla alle documenten met beschermde gezondheidsinformatie veilig op en beperk de toegang tot alleen bevoegde medewerkers.
7. Gebruik encryptiesoftware waar passend om gegevens in rust te beschermen.
8. Oefen veilig webgebruik en gebruik e-mailbeveiligingssoftware.
9. Gooi documenten en dossiers met patiëntgegevens op de juiste manier weg; versnipperen of verbranden zijn de meest veilige methoden.
10. Stel procedures op voor het omgaan met beveiligingsincidenten en pogingen tot ongeoorloofde toegang.
11. Beoordeel en monitor toegang logs regelmatig op mogelijke ongeoorloofde toegang.
12. Implementeer uitgebreide gebruikerslogging en auditprocedures.
13. Ontwikkel en implementeer back-upprocedures die voldoen aan HIPAA-richtlijnen.
14. Ontwikkel en onderhoud een noodplan en een systeem voor herstel na calamiteiten.

HIPAA-nalevingsbronnen

Wil je meer weten over HIPAA en HIPAA-nalevingsvereisten? Bezoek dan deze bronnen:

1. HHS.gov website
2. HIPAA Journal website
3. HHS Office for Civil Rights
4. Centers for Medicare & Medicaid Services
5. National Institute of Standards and Technology
6. HHS Security Management Guidelines
7. HIPAA Security Rule
8. HIPAA Privacy Rule
9. National Institute of Standards and Technology (NIST) Special Publications
10. HITECH Security and Breach Notification Act

Beginnen met HIPAA-naleving

Als je nieuw bent met HIPAA-naleving, zijn hier enkele stappen die je organisatie kan nemen om te starten met HIPAA-conformiteit:

1. Ontwikkel een HIPAA-beveiligings- en privacy-nalevingsplan.
2. Ontwikkel beleidsregels en procedures voor het omgaan met en beschermen van beschermde gezondheidsinformatie (PHI).
3. Implementeer fysieke, administratieve en technische waarborgen om PHI te beschermen.
4. Leid personeel op in HIPAA beste practices en protocollen.
5. Laat medewerkers HIPAA-verklaringen ondertekenen en bevestigen dat ze hun verantwoordelijkheden en verplichtingen begrijpen.
6. Zorg ervoor dat zakelijke partners, leveranciers en aannemers een business associate agreement (BAA) hebben ondertekend en voldoen aan HIPAA-regelgeving.
7. Implementeer procedures voor het regelmatig beoordelen, auditen en bijwerken van HIPAA-naleving.
8. Registreer en documenteer alle PHI-beveiligings- en privacymaatregelen.
9. Heb een incident response plan voor het geval van een datalek of gegevensverlies.
10. Monitor de beveiliging van PHI regelmatig en zorg voor volledige naleving van HIPAA-regelgeving.

Wat is HITECH en hoe hangt het samen met HIPAA-naleving?

De Health Information Technology for Economic and Clinical Health (HITECH) Act werd in 2009 ondertekend en bepaalt de nalevingsvereisten voor alle jaren daarna. Deze wet heeft de wettelijke vereisten voor zorgorganisaties in diverse sectoren, waaronder directe zorg en sociale zekerheid, herzien.

Voor HITECH gebruikte slechts 10% van de ziekenhuizen elektronische patiëntendossiers (EHR). HITECH was een cruciale stap om ziekenhuizen te stimuleren over te stappen op elektronische administratie. HITECH stimuleerde onder andere het gebruik van digitale ePHI-managementtechnologie en de daaropvolgende naleving van HIPAA-regelgeving. Dit omvatte het bieden van incentives voor de overstap naar digitale technologie.

In 2017, mede dankzij HITECH, was het percentage EHR-gebruik gestegen tot 86%.

HITECH heeft ook de verantwoordelijkheid voor HIPAA-naleving deels verschoven. Om technologische adoptie te stimuleren, heeft de HITECH Act de regelgeving zo aangepast dat zakelijke partners direct verantwoordelijk werden voor overtredingen, en dat hun verantwoordelijkheid moest worden vastgelegd in een verplichte business associate agreement (BAA) met een gedekte entiteit.

HITECH heeft ook de boetes voor overtredingen verhoogd en wetshandhaving aangemoedigd om overtredingen strenger te vervolgen, zodat organisaties compliant blijven.

Wat zijn HIPAA-overtredingen?

Naleving betekent dat je binnen de regels blijft die zijn vastgelegd in de Privacy-, Beveiligings- en Meldingsplicht bij datalekken. Als een organisatie deze normen niet haalt, wordt ze beschouwd als in overtreding van HIPAA.

Overtredingen zijn onder andere:

• Het onrechtmatig blootstellen van ePHI aan onbevoegden, opzettelijk of per ongeluk
• Het niet implementeren van de juiste beveiligingsprotocollen zoals beschreven in de HIPAA-beveiligingsregel
• Gebrek aan juiste administratieve of trainingsprotocollen die aan de vereisten voldoen
• Het niet correct informeren van betrokkenen en overheidsfunctionarissen na relevante datalekken
• Onwil om bestaande nalevingsgaten te updaten, upgraden of aan te pakken

HIPAA onderscheidt overtredingen in twee groepen: civiel en strafrechtelijk.

• Civiele overtredingen zijn gevallen van niet-naleving waarbij dit per ongeluk of zonder kwade opzet gebeurde. Dit omvat situaties als nalatigheid of gebrek aan bewustzijn. De boetes zijn doorgaans lager voor civiele overtredingen:
  • Voor personen die zich niet bewust waren van overtredingen, bedraagt de boete $100 per incident.
  • Voor wie met redelijke reden, zonder nalatigheid, handelt, is de boete minimaal $1.000.
  • Opzettelijke nalatigheid heeft een minimale boete van $10.000 per incident.
  • Opzettelijke nalatigheid zonder directe correctie leidt tot een minimale boete van $50.000 per overtreding.
• Strafrechtelijke overtredingen zijn overtredingen met kwade opzet, zoals diefstal, winstbejag of fraude. De boetes zijn hier:
  • Opzettelijk verkrijgen of openbaar maken van ePHI is maximaal $50.000 en 1 jaar gevangenisstraf.
  • Fraude als onderdeel van de overtreding is maximaal $100.000 en 5 jaar gevangenisstraf.
  • Overtredingen met het doel winst te maken is maximaal $250.000 en tot 10 jaar gevangenisstraf.

Talloze en herhaalde overtredingen kunnen organisaties miljoenen dollars per jaar kosten.

Enkele veelvoorkomende voorbeelden van overtredingen zijn:

• Fraude. De meest directe en duidelijke overtreding is wanneer individuen ePHI stelen voor winst of voordeel. Hackers of interne operaties zijn zeldzaam, maar komen steeds vaker voor nu meer ziekenhuizen en zorgnetwerken overstappen op cloudtechnologie en vertrouwen op ongeteste dienstverleners.
• Verloren of gestolen apparaten. In de tijd van desktopwerkplekken kwam diefstal van technologie minder vaak voor. Nu meer klinieken en ziekenhuizen mobiele apparaten zoals laptops, tablets en smartphones gebruiken, is het steeds waarschijnlijker dat deze apparaten in verkeerde handen terechtkomen.
• Gebrek aan bescherming. De beveiligingsregel definieert de soorten HIPAA-encryptie, firewalls en andere beveiligingsmaatregelen die aanwezig moeten zijn. Veel organisaties begrijpen deze niet, of werken met een derde partij waarvan ze denken dat die compliant is, maar dat niet is.
• Ongeoorloofde toegang tussen organisaties. Of het nu gaat om het delen van gegevens van een bevoegde naar een onbevoegde persoon, of het gebruik van niet-versleutelde apparaten of e-mail, het is erg makkelijk voor ongetrainde medewerkers om ePHI op een verkeerde manier te benaderen of te verzenden. Onbedoelde openbaarmaking van PHI is zelfs de meest voorkomende vorm van overtreding, vandaar dat er een hele categorie lagere boetes voor bestaat.

Behaal en behoud HIPAA-naleving met een self-audit checklist

Door gebruik te maken van een HIPAA self-audit checklist kunnen zorgorganisaties potentiële gebieden van niet-naleving identificeren en corrigerende maatregelen nemen voordat een audit door het Department of Health and Human Services (HHS) plaatsvindt. Een self-audit kan zorgorganisaties ook helpen dure boetes en sancties voor HIPAA-overtredingen te voorkomen.

Bovendien helpt het uitvoeren van een self-audit zorgorganisaties om beste practices voor HIPAA-naleving vast te stellen en hun algehele beveiligingsstatus van gegevens te verbeteren. Het kan ook het vertrouwen van patiënten vergroten door te laten zien dat hun gevoelige informatie goed wordt beschermd.

Het gebruik van een HIPAA self-audit checklist is een belangrijke stap in het behouden van naleving van HIPAA-regelgeving en het beschermen van patiëntgegevens.

Hier is een checklist voor een self-audit voor HIPAA-naleving:

1. Bepaal de reikwijdte van de audit, inclusief welke entiteiten en processen worden geëvalueerd.
2. Beoordeel beleidsregels en procedures om te zorgen voor naleving van HIPAA-regelgeving.
3. Verifieer dat alle personeelsleden HIPAA-training hebben gevolgd en dat de training actueel is.
4. Beoordeel toegangscontroles en verifieer dat alleen bevoegde personen toegang hebben tot PHI.
5. Evalueer fysieke waarborgen, inclusief toegangscontroles tot gebouwen en werkplekken.
6. Beoordeel technische waarborgen, inclusief toegangscontroles tot systemen, encryptie van PHI en wachtwoordbeleid.
7. Verifieer dat business associate agreements zijn afgesloten met alle externe leveranciers die toegang hebben tot PHI.
8. Evalueer incident response procedures en verifieer dat deze actueel en effectief zijn.
9. Beoordeel procedures voor meldingsplicht bij datalekken en verifieer dat deze actueel en effectief zijn.
10. Verifieer dat alle verplichte HIPAA-documentatie actueel en direct beschikbaar is.
11. Evalueer naleving van de HIPAA Privacyregel, inclusief het verkrijgen en documenteren van patiënttoestemmingen voor het delen van PHI.
12. Beoordeel naleving van de HIPAA Beveiligingsregel, inclusief het uitvoeren van regelmatige risicobeoordelingen en het aanpakken van geïdentificeerde risico’s.
13. Verifieer dat alle PHI-openbaarmakingen correct zijn geautoriseerd en gedocumenteerd, inclusief openbaarmakingen voor behandeling, betaling en zorgprocessen.
14. Beoordeel naleving van de HIPAA Meldingsplicht bij datalekken, inclusief het tijdig melden van datalekken van onbeveiligde PHI.
15. Evalueer naleving van de HIPAA Omnibusregel, inclusief naleving van de nieuwe vereisten voor zakelijke partners en onderaannemers.
16. Verifieer dat alle PHI correct wordt vernietigd volgens HIPAA-regelgeving.
17. Beoordeel naleving van staats- en lokale wetten die invloed kunnen hebben op HIPAA-naleving.
18. Voer periodieke audits uit en herstel alle gebieden van niet-naleving.
19. Documenteer alle auditbevindingen en herstelactiviteiten.
20. Ontwikkel en implementeer een HIPAA-nalevingsprogramma met voortdurende training, monitoring en auditing.
21. Wijs een HIPAA Compliance Officer aan die het nalevingsbeleid binnen de organisatie beheert.
22. Volg en bescherm mobiele apparaten zodat ze niet in onbevoegde handen terechtkomen, en zorg dat alle gegevens erop correct zijn versleuteld. Implementeer remote wipes om PHI te vernietigen die is gestolen, of vermijd het opslaan van PHI op mobiele apparaten.

HIPAA-naleving versus GDPR-naleving: wie heeft voorrang?

De Algemene Verordening Gegevensbescherming van de EU (GDPR) en de Health Insurance Portability and Accountability Act (HIPAA) zijn twee afzonderlijke regelgevingen die gericht zijn op het beschermen van persoonsgegevens. GDPR is van toepassing op alle bedrijven die persoonsgegevens van EU-burgers verwerken of beheren, ongeacht hun locatie, terwijl HIPAA geldt voor zorgverleners, verzekeraars en hun zakelijke partners in de VS. Aangezien zorginstellingen en zakelijke partners steeds vaker wereldwijd opereren, is het essentieel om het effect van GDPR op HIPAA-naleving te begrijpen.

De GDPR stelt strengere eisen aan gegevensbescherming dan HIPAA, waaronder:

Uitdrukkelijke toestemming in GDPR

GDPR vereist uitdrukkelijke toestemming voordat persoonsgegevens worden verwerkt, terwijl HIPAA alleen een algemene machtiging vereist.

Rechten van betrokkenen in GDPR

GDPR geeft individuen meer uitgebreide controle over hun gegevens, waaronder het recht op inzage, rectificatie en verwijdering van hun persoonsgegevens, terwijl HIPAA beperkte rechten biedt op inzage en wijzigingsverzoeken.

Data Protection Officer (DPO) verplicht in GDPR

GDPR verplicht bepaalde organisaties een DPO aan te stellen om gegevensbescherming te waarborgen, terwijl HIPAA deze rol niet vereist.

Meldingsplicht bij datalekken vereist door GDPR

GDPR vereist dat organisaties datalekken binnen 72 uur melden, terwijl HIPAA een termijn van 60 dagen hanteert.

GDPR-boetes

GDPR legt aanzienlijk hogere boetes op voor niet-naleving, met boetes tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Ter vergelijking: HIPAA-boetes variëren van $100 tot $50.000 per overtreding, tot een maximum van $1,5 miljoen per jaar.

Zorginstellingen en zakelijke partners die persoonsgegevens van EU-burgers verwerken, moeten dus voldoen aan zowel GDPR als HIPAA. Ze moeten hun privacybeleid en procedures herzien, de nodige wijzigingen doorvoeren om aan GDPR-vereisten te voldoen en hun personeel trainen in de bepalingen van beide regelgevingen. Niet-naleving van een van beide kan leiden tot aanzienlijke financiële boetes en reputatieschade.

Kiteworks helpt organisaties HIPAA-naleving te behalen met een Private Content Network

Het Kiteworks Private Content Network helpt gedekte entiteiten en hun zakelijke partners om HIPAA-naleving te behalen en behouden door PHI en andere gevoelige content te beschermen die zij delen met vertrouwde derden.

Kiteworks consolideert communicatie met derden zoals e-mail, bestandsoverdracht, beheerde bestandsoverdracht, SFTP en webformulieren, zodat organisaties de PHI die wordt benaderd, verzonden, opgeslagen en ontvangen, kunnen controleren, beschermen en volgen. Beveiligings- en nalevingsfuncties omvatten:

• Een zelfstandige, vooraf geconfigureerde hardened virtual appliance met ingebouwde antivirusbescherming en intrusion detection system (IDS)
• AES-encryptie van content in rust en TLS 1.2-encryptie voor content onderweg, en extra beveiligingsmaatregelen zoals key rotation, sessietime-outs, integriteitscontroles en antivirus
• Met één klik HIPAA- en GDPR-nalevingsrapporten die aantonen dat administratieve, fysieke en technische waarborgen aanwezig zijn, in overeenstemming met HIPAA
• Granulaire toegangscontroles, rolgebaseerde machtigingen en vervaldata voor bestanden/mappen die de toegang tot PHI beperken tot bevoegde medewerkers en alleen zo lang als nodig
• Beveiligde inzetopties waaronder on-premises, private, hybride en FedRAMP virtual private cloud
• Threat detection, mitigatie en forensisch onderzoek via een CISO Dashboard-analyse en uitgebreide audit logs die kunnen worden geëxporteerd naar je SIEM

Wil je weten hoe Kiteworks jouw organisatie kan helpen HIPAA-naleving te behalen? Plan dan vandaag nog een aangepaste demo in.

Aanvullende bronnen

• Case Study NYC Health + Hospitals’ clinici en personeel delen PHI veilig en efficiënt
• Blog Post Top HIPAA-conforme formulieren
• Blog Post HIPAA-encryptie: vereisten, beste practices & software
• Blog Post Verstuur HIPAA-conforme e-mail
• Blog Post HIPAA-datalek [Wat het is & hoe je met de nasleep omgaat]