Wie hoch sind die Strafen für HIPAA-Verstöße?
Der HIPAA 1996 (Health Insurance Portability and Accountability Act) ist ein vom US-Kongress erlassenes Bundesgesetz, das den Umgang von Gesundheitsorganisationen mit PHI (geschützte Gesundheitsinformationen) und ePHI (elektronisch geschützte Gesundheitsinformationen) regelt.
Dazu gehören komplexe und umfangreiche Regeln zum Schutz kritischer medizinischer Daten und sensibler Patienteninformationen, so dass die Nichteinhaltung von HIPAA oft mit empfindlichen Strafen geahndet wird.
Zu den Fällen von HIPAA-Verstößen gehören Ermittlungen gegen Gesundheitsdienstleister, die zu Geldstrafen in Millionenhöhe geführt haben. Eine der höchsten Vergleiche einer HIPAA-Geldstrafe war beispielsweise die Datenschutzverletzung bei Anthem im Jahr 2018, bei der sich die Health Plan Corporation bereit erklärte, 16 Millionen US-Dollar an Geldstrafen an das HHS (Department of Health and Human Services) zu zahlen. Die Serie von Cyberangriffen auf Anthem führte zu einer PHI-Datenschutzverletzung, von der 79 Millionen Menschen betroffen waren.
Gesundheitsdienstleister müssen sich der Strafen bewusst sein, die mit der Verletzung der HIPAA-Konformität und dem unsachgemäßen Umgang mit Patientendaten verbunden sind.
Dieser Leitfaden zielt darauf ab, alle HIPAA-konformen Unternehmen über HIPAA-Verstöße zu informieren und sowohl straf- als auch zivilrechtliche Sanktionen abzudecken. Es wird auch die Haftung, die Stufen der HIPAA-Verstöße, die maximalen Strafkosten, die Schwere der HIPAA-Verstöße und andere nützliche Informationen für Gesundheitsorganisationen abdecken.
Wie HIPAA den PHI-Schutz reguliert
Um zu regeln, wie Unternehmen ihre medizinischen Daten schützen, hat das US-Gesundheitsministerium (HHS) die HIPAA Privacy Rule, die HIPAA Security Rule, die HIPAA Omnibus Rule und die HIPAA Breach Notification Rule nach Landes- und Bundesgesetzen erstellt.
- Gemäß der HIPAA-Datenschutzregel sind alle HIPAA-abgedeckten Unternehmen und ihre Geschäftspartner verpflichtet, alle individuell identifizierbaren Gesundheitsinformationen zu schützen, die sie PHI speichern, pflegen und übertragen.
- Die HIPAA-Sicherheitsregel konzentriert sich auf ePHI. Es verlangt von allen HIPAA-konformen Gesundheitseinrichtungen, dass sie Sicherheitsvorkehrungen treffen, die sich auf Sicherheitsrichtlinien, Verfahren, Zugriffskontrollen für die Datenspeicherung und Kommunikation für die Übertragung von ePHI über offene Netzwerke konzentrieren.
- Die HIPAA-Omnibus-Regel verlangt von HIPAA-abgedeckten Unternehmen - d. h. Gesundheitsdienstleistern - dass sie ihre Geschäftspartnervereinbarungen regelmäßig aktualisieren, um die Einhaltung der HIPAA-Sicherheitsregeln sicherzustellen.
- Im Falle einer Datenschutzverletzung im Zusammenhang mit PHI, die häufig bei einem HIPAA-Verstoß auftritt, verlangt die HIPAA Breach Notification Rule von HIPAA-abgedeckten Unternehmen und ihren Geschäftspartnern, das HHS und die beteiligten Parteien "ohne unangemessene Verzögerung" zu benachrichtigen. "Es geht um eine angemessene Verzögerung von nicht mehr als 60 Tagen nach der Entdeckung. Das Unternehmen muss ein großes Medienunternehmen informieren, wenn der Verstoß 500 oder mehr Krankenakten betrifft.
Was ist PHI?
Die HIPAA Privacy Rule definiert PHI als "alle Informationen, die von einer abgedeckten Entität gespeichert werden und den Gesundheitszustand, die Bereitstellung von Gesundheitsversorgung oder die Zahlung für Gesundheitsversorgung betreffen und mit einer Person in Verbindung gebracht werden können. ”
Zu den individuell identifizierbaren Gesundheitsinformationen gehören alle PHI (geschützte Gesundheitsinformationen) von Patienten und Mitgliedern des Krankenversicherungsplans, wie z. B. Behandlungsinformationen, medizinische Tests, Verschreibungsdaten, Diagnosen, Sozialversicherungsnummern, Geburtsdaten, Rasse, ethnische Zugehörigkeit, Telefone, E-Mails und Geschlechter, die von Gesundheitsdiensten verarbeitet werden.
Die medizinischen Daten können nur dann als PHI angesehen werden, wenn ein Patient daran erkennbar ist. Alle anderen Informationen aus den Aufzeichnungen von Bildungs- und Mitarbeitermitgliedern sind ausgeschlossen. Wenn jede Kennung aus Daten des Gesundheitssystems, die mit einem Patienten verknüpft sind, gelöscht wird, gelten die Daten nicht mehr als PHI.
Alle Gesundheitsdienstleister, Geschäftspartner und medizinischen Organisationen, die mit PHI umgehen, müssen HIPAA und seine Regeln einhalten. Diese werden als gesetzlich geregelte Einrichtungen bezeichnet und umfassen auch Krankenversicherungen, Clearingstellen für das Gesundheitswesen sowie mit Medicare verbundene Unternehmen und Sponsoren.
Wie die HIPAA-Compliance durchgesetzt wird
Das Office for Civil Rights (OCR) untersucht Einrichtungen des Gesundheitswesens auf mögliche Verstöße und kann Beschwerden gegen betroffene Einrichtungen und ihre Geschäftspartner entgegennehmen.
Sobald die OCR Beschwerden erhält, das Unternehmen untersucht und einen oder mehrere Verstöße feststellt, ergreift die OCR HIPAA-Durchsetzungsmaßnahmen und erhebt je nach Schwere des Verstoßes Geldstrafen oder verhängt zivilrechtliche Strafen.
Die Enforcement Rule wurde zwischen 1996 und 2009 überarbeitet und durch den HITECH (Health Information Technology for Economic and Clinical Health Act) weiter verfeinert.
Während Patienten und Einrichtungen Beschwerden wegen Verstößen einreichen können, wird HIPAA auch von der OCR durch regelmäßige Compliance-Überprüfungen und -Untersuchungen durchgesetzt. Gemäß der Enforcement Rule in der überarbeiteten Fassung von 2006 kann die OCR:
- Verhängung von Geldstrafen
- Erstellen Sie Pläne für Korrekturmaßnahmen
- Abschluss von Abwicklungsvereinbarungen, um den betroffenen Unternehmen zu helfen, die Einhaltung von HIPAA zu gewährleisten
In einigen Fällen können Bußgelder und Strafen für HIPAA-Verstöße auch von den Generalstaatsanwälten der Bundesstaaten verhängt werden.
Erfahren Sie, wie Sie ein ideales HIPAA-Compliance-Produkt auswählen >
Beispiele für häufige HIPAA-Verstöße
Zu den häufigen HIPAA-Verstößen, die mit hohen Geldstrafen geahndet werden, gehören:
- Versäumnis, HIPAA-konforme Sicherheitsmaßnahmen und Schutzverfahren zu implementieren
- Versäumnis, eine unternehmensweite Risikoanalyse durchzuführen
- Versäumnis, eine Geschäftspartnervereinbarung abzuschließen
- Unsachgemäße PHI-Entsorgung
- Verzögerte Benachrichtigungen über Sicherheitsverletzungen
Strafstufen für HIPAA-Verstöße
HIPAA-Strafen und Bußgelder resultieren aus der Nichteinhaltung der HIPAA-Standards. Je nach Art und Schwere des HIPAA-Verstoßes kann es sich um zivilrechtliche oder strafrechtliche Sanktionen handeln. Wie von der OCR bewertet, basieren beide Kategorien auf vier abgestuften Stufen, um die Strafe für HIPAA-Verstöße zu bestimmen.
In der Regel löst die OCR HIPAA-Verstöße durch nicht strafende Mittel wie Korrekturmaßnahmenpläne oder die freiwillige Einhaltung technischer Unterstützung bei der Behebung von Problemen innerhalb einer bestimmten Frist.
Wenn jedoch HIPAA-Verstöße als schwerwiegend genug eingestuft werden oder die Verstöße bereits andauern, kann die OCR über die abgestufte Strafstruktur finanzielle Sanktionen verhängen, die dem Verstoß angemessen sind.
Zivilrechtliche Strafen
Wenn der Täter nicht weiß, dass er einen HIPAA-Verstoß begangen hat, kann ihm eine zivilrechtliche Strafe auferlegt werden.
Zivilrechtliche Strafen werden Arbeitgebern in der Regel für Verstöße auferlegt, die von ihren Mitarbeitern in Gesundheitsorganisationen begangen werden. Wenn medizinisches Personal PHI wissentlich missbraucht, kann es strafrechtlich zur Verantwortung gezogen werden.
Drei Faktoren bestimmen die Schwere der zivilrechtlichen Strafe:
- Wie leicht hätte der Täter den Verstoß verhindern können
- Der Grad der Vernachlässigung durch die betroffene Entität
- Welche Maßnahmen die betroffene Entität ergriffen hat, um den Verstoß zu beheben
Wenn die betroffene Einrichtung uneingeschränkt kooperiert, kann die Strafe weniger schwerwiegend sein. Die zivilrechtliche Strafe besteht aus vier Stufen von Geldstrafen. Der erste - Mangel an Wissen - ist der am wenigsten schwerwiegende. Die Bußgelder sind ab Dezember 2022 inflationsbereinigt.
Stufe eins: Mangelndes Wissen
Wenn die betroffene Entität sich des HIPAA-Verstoßes nicht bewusst ist und ihn nicht mit angemessenen Schritten hätte vermeiden können, wird der Verstoß als Teil der Stufe "Mangel an Wissen" betrachtet, der niedrigsten der Stufen.
- Mindeststrafe pro Verstoß: 127 $
- Höchststrafe pro Verstoß: 30.487 $
- Obergrenze für das Kalenderjahr: 30.487 $
Stufe zwei: Vernünftiger Grund und keine vorsätzliche Vernachlässigung
>Wenn die betroffene Einrichtung von einem Verstoß wusste, der Verstoß aber nicht durch vorsätzliche Vernachlässigung verursacht wurde (was bedeutet, dass sie den Verstoß auch mit angemessenen Schritten nicht hätte verhindern können), wird dies als vernünftige Ursache angesehen.
- Mindeststrafe pro Verstoß: 1.280 $
- Höchststrafe pro Verstoß: 60.973 $
- Obergrenze für das Kalenderjahr: 121.946 $
Stufe drei: Vorsätzliche Vernachlässigung, innerhalb von 30 Tagen korrigiert
Betroffene Unternehmen, die einen Verstoß vorsätzlich vernachlässigt, ihn aber innerhalb von 30 Tagen mit angemessenen Schritten behoben haben, werden mit dem Schweregrad der dritten Stufe bestraft.
- Mindeststrafe pro Verstoß: 12.794 $
- Höchststrafe pro Verstoß: 60.973 $
- Obergrenze für das Kalenderjahr: 304.865 $
Stufe vier: Vorsätzliche Vernachlässigung, nicht innerhalb von 30 Tagen korrigiert
Die schwerwiegendste aller vier Stufen des Verstoßes gegen die HIPAA-Regeln wird in Betracht gezogen, wenn ein Unternehmen die HIPAA-Anforderungen vorsätzlich vernachlässigt und einen Verstoß nicht innerhalb des 30-Tage-Fensters behebt.
OCR ist sich bewusst, dass es unangemessen ist, ein Unternehmen für unentdeckte HIPAA-Verstöße zu bestrafen, wenn von dem Unternehmen nicht erwartet wurde, dass es eine Datenschutzverletzung vermeidet. Aus diesem Grund liegt es im Ermessen der OCR, auf eine Geldstrafe zu verzichten. Die OCR kann jedoch nicht auf eine Strafe verzichten, die eine vorsätzliche Vernachlässigung der HIPAA-Regeln für Datenschutz, Sicherheit und Benachrichtigung über Verstöße beinhaltet.
- Mindeststrafe pro Verstoß: 60.973 $
- Höchststrafe pro Verstoß: 1.919.173 $
- Obergrenze für das Kalenderjahr: 1.919.173 $
Strafrechtliche Sanktionen
Zusätzlich zu den zivilrechtlichen Strafen kann ein Verstoß gegen HIPAA auch zu einer strafrechtlichen Anklage gegen jede Person führen, die für einen angemessen schweren HIPAA-Verstoß verantwortlich ist.
Wenn ein Unternehmen ohne Erlaubnis PHI erhält oder verwendet, können strafrechtliche Sanktionen folgen. Wenn die OCR feststellt, dass ein HIPAA-Verstoß in den Bereich der Straftaten fällt, übernimmt das Justizministerium (DOJ) den Fall.
Je nach Schweregrad reichen die strafrechtlichen Sanktionen von hohen Geldstrafen bis hin zu Gefängnisstrafen. Ein Richter des DOJ misst die Strafen und die Dauer der Haft anhand von drei Kategorien von Straftaten, die jeweils ihre eigenen Geldstrafen haben.
Sie gelten für jedes Unternehmen, das aus strafrechtlichen Gründen gegen das HIPAA verstößt. Dazu gehören Vorstandsmitglieder, Mitarbeiter und alle Geschäftspartner, die mit der Organisation in Verbindung stehen und bei denen festgestellt wird, dass sie kriminell gegen HIPAA verstoßen.
Wenn das Unternehmen von dem Diebstahl, dem Zugriff oder dem Missbrauch von PHI profitiert, können die Gesamtkosten des Gewinns in die Rückerstattung und die Bußgeldabrechnung einbezogen werden.
Stufe 1: Unrechtmäßige Offenlegung von PHI
Die niedrigste Stufe der Straftat ist die unrechtmäßige Offenlegung von PHI. Dies gilt für 1) Fälle eines vernünftigen Grundes, in denen ein Unternehmen ordnungsgemäß hätte handeln müssen, um den Verstoß zu beheben, und 2) Fälle mangelnder Kenntnis, in denen das Unternehmen nicht wusste, dass es gegen eine HIPAA-Regel verstoßen hat.
Das DOJ erkennt nicht an, dass das Nichtverständnis der HIPAA-Vorschriften eine vernünftige Erklärung für einen HIPAA-Verstoß ist. Alle betroffenen Unternehmen gelten als voll verantwortlich.
Die Höchststrafen für unrechtmäßige Offenlegung betragen bis zu 50.000 US-Dollar Geldstrafe, bis zu einem Jahr Gefängnis oder beides.
Stufe 2: Unrechtmäßige Offenlegung von PHI unter falschen Vorwänden
Die Erlangung oder missbräuchliche Verwendung von PHI unter falschen Vorwänden gilt als Stufe zwei.
Ein Beispiel für diesen Verstoß ist ein Krankenhausmitarbeiter, der auf Patientenakten zugreift, die sich nicht in seiner Obhut befinden. Alternativ können Sie eine Stelle in Betracht ziehen, die PHI ohne die Erlaubnis des Patienten offenlegt.
Die maximale Strafe für diese Stufe kann eine Geldstrafe von 100.000 US-Dollar, fünf Jahre Gefängnis oder beides betragen.
Stufe 3: Unrechtmäßige Offenlegung von PHI unter Vorspiegelung falscher Tatsachen mit böswilliger Absicht
Stufe drei umfasst den schwersten Verstoß, bei dem ein Unternehmen PHI missbraucht oder offenlegt, die es unrechtmäßig in böswilliger Absicht zum persönlichen Vorteil, finanziellen Gewinn oder böswilligen Schaden erlangt hat.
Dies kann dazu führen, dass kriminell verfolgte kriminelle Akteure für bis zu zehn Jahre ins Gefängnis kommen, sie mit bis zu 250.000 US-Dollar bestraft werden oder beides.
Wie hoch ist die Strafe für die Nichtmeldung eines HIPAA-Verstoßes?
Im Falle eines HIPAA-Verstoßes sind alle Mitglieder des Gesundheitswesens verpflichtet, unverzüglich einen HIPAA-Datenschutzbeauftragten oder ihren designierten Vorgesetzten zu benachrichtigen.
Der Datenschutzbeauftragte ist für die Untersuchung des HIPAA-Verstoßes verantwortlich. Sie enthalten auch zusätzliche Richtlinien und Schritte, wie z. B. die Beratung des Unternehmens bei Risikobewertungsverfahren und die Eindämmung von Verstößen. Der Datenschutzbeauftragte bestimmt anhand einer Risikobewertung das Ausmaß des Verstoßes und ob es sich um einen meldepflichtigen Vorfall handelt.
Die Unternehmen müssen das HHS und alle beteiligten Parteien "ohne unangemessene Verzögerung" oder bis zu 60 Tage nach der Entdeckung benachrichtigen. Wenn der Verstoß 500 oder mehr PHI-Datensätze betrifft, muss das Unternehmen auch ein großes Medienunternehmen informieren.
Alle Unternehmen, die es versäumen, die OCR zu benachrichtigen, betroffene Personen oder ein Medienunternehmen können je nach Schwere des Verstoßes mit einer Geldstrafe belegt werden.
Ist es ein Verbrechen, gegen HIPAA zu verstoßen?
Strafrechtliche Sanktionen für HIPAA-Verstöße sind selten. Viele HIPAA-Verstöße werden als Vergehen angesehen. Aus diesem Grund konzentriert sich die OCR auf die Behebung der zugrunde liegenden Gründe für HIPAA-Verstöße und hilft Organisationen im Gesundheitswesen, die Einhaltung von Vorschriften zu erreichen.
Bei der Nichteinhaltung von HIPAA handelt es sich selten um extreme Fälle von unrechtmäßiger Offenlegung von PHI mit böswilliger Absicht unter falschen Vorwänden, die ein Verbrechen darstellen würden. Die Verstöße ziehen in der Regel finanzielle Sanktionen und Korrekturmaßnahmen nach sich. Wenn Verstöße gegen die HIPAA-Nichteinhaltung ein Verbrechen darstellen, können die Strafen, wie oben beschrieben, viel schwerwiegender sein.