HIPAA-Compliance und E-Mail: Was Sie wissen müssen

Bei HIPAA dreht sich alles um den Schutz und die Sicherheit von Patienteninformationen. Selbst wenn Sie keine Marketing-E-Mails versenden, schicken Sie dennoch Transaktions- und Informations-E-Mails an Patientinnen und Patienten. 

Wie bei vielen staatlichen Vorschriften ist es oft einfacher, Gesetze zu verfassen, als sie zu erklären und durchzusetzen. HIPAA, das ursprünglich 1996 verabschiedet wurde, ist da keine Ausnahme, und das schließt die E-Mail-Compliance ein.

Im Laufe der Jahre HIPAA wurde der Health Insurance Portability and Accountability Act im Zuge der Weiterentwicklung von E-Mail und anderen Technologien aktualisiert und präzisiert. Und auch die Geldstrafen haben sich erhöht. Wenn man aus HIPAA-Geldstrafen ein Geschäft machen könnte, würden Sie Millionen verdienen. Hier ist eine Liste von Geldstrafen aus den letzten Jahren, die Ihre Aufmerksamkeit wecken dürften.

Um es klar zu sagen: Diese Liste bezieht sich auf alle HIPAA-Geldstrafen und -Verstöße. Die HIPAA-E-Mail-Compliance ist nur ein Aspekt, um den sich Organisationen im Gesundheitswesen in ihrer gesamten Compliance-Strategie kümmern müssen. 

Aber es ist ein wichtiger Aspekt, denn E-Mail ist eine wesentliche Kommunikationsmethode, und bei HIPAA dreht sich alles um den Schutz und die Sicherheit von Patienteninformationen. Selbst wenn Sie keine Marketing-E-Mails versenden, schicken Sie dennoch Transaktions-E-Mails und Informations-E-Mails an Patientinnen und Patienten, Lieferanten, medizinisches Fachpersonal und andere … und diese enthalten alle persönliche Gesundheitsinformationen.

Kurz gesagt: HIPAA-Compliance bedeutet, dass Sie alles in Ihrer Macht Stehende tun, um persönliche Gesundheitsinformationen (PHI) vor Offenlegung zu schützen. 

HIPAA ist in verschiedene Kategorien unterteilt. Es gibt eine HIPAA-Datenschutzregel, eine Cybersicherheitsregel, eine Regel zur Benachrichtigung bei Datenschutzverletzungen, eine Durchsetzungsregel und verschiedene andere. Hier ist die offizielle Regierungsseite für alle wichtigen HIPAA-Regeln. 

Eine der häufigsten Ursachen für HIPAA-Probleme ist ein Verstoß gegen den Grundsatz der Datenminimierung, der unter die Datenschutzregel. fällt. Das bedeutet, dass das Personal nur mit der minimalen Menge an PHI arbeiten sollte, um eine bestimmte Aufgabe zu erledigen.

Mit anderen Worten: Erfassen oder verwenden Sie nicht mehr PHI, als Sie unbedingt benötigen. Wenn Daten offengelegt werden und festgestellt wird, dass diese Regel nicht befolgt wurde, können Ihnen Geldstrafen auferlegt werden.

Nun, PHI umfassen recht grundlegende Dinge wie Namen und Kontaktinformationen – einschließlich E-Mail-Adressen – sowie medizinische, finanzielle und biometrische Gesichtsinformationen. Und natürlich Sozialversicherungsnummern. Die Idee dahinter ist, zu verhindern, dass unbefugte Personen auf private medizinische Daten zugreifen und diese einer bestimmten Person zuordnen können. 

Zwei Arten von Organisationen müssen die HIPAA-Anforderungen für ihre gesamten E-Mails sowie andere Kommunikations- und Dokumentationsprozesse erfüllen: 

• Verpflichtete Entitäten (Covered Entities): Gesundheitsdienstleister und Unternehmen, die direkt mit Patientinnen und Patienten zu tun haben, einschließlich Versicherungsgesellschaften.
• Geschäftspartner (Business Associates): Unternehmen, die im Rahmen ihrer Geschäftsbeziehung mit einer verpflichteten Entität mit PHI in Berührung kommen. Zu den Geschäftspartnern zählen E-Mail-Service-Provider wie Mailgun by Pathwire sowie Cloud-Speicheranbieter, Abrechnungsunternehmen und viele andere, die PHI verarbeiten. 

HIPAA-Compliance erfordert jährliche Selbstprüfungen, Schulungen des Personals, die Dokumentation aller Maßnahmen zur Einhaltung der Vorschriften, Prozesse zur Behandlung von Datenschutzverletzungen und mehr. 

Wir gehen gleich noch näher darauf ein, wie Sie HIPAA in Ihrer E-Mail-Kommunikation einhalten.

Erstens gibt es das Offensichtliche: Sie wollen keine Geldstrafen riskieren. Die Offenlegung von Patienteninformationen – selbst wenn sie unbeabsichtigt erfolgt – bringt Sie in große Schwierigkeiten, wenn vernünftigerweise festgestellt wird, dass Sie mehr hätten tun können, um dies zu verhindern.

Der andere Hauptgrund, warum HIPAA-Compliance bei E-Mails so wichtig ist, besteht darin, dass Menschen ein grundlegendes Recht auf Datenschutz haben. Als ein Unternehmen, das mit Patientinnen und Patienten arbeitet, ist der Schutz der Privatsphäre Teil Ihrer Dienstleistung. Dies geht mit dem Vertrauen einher, das sie in Sie setzen. 

Und heute gibt es viele Bedrohungen für diesen Datenschutz, insbesondere in der Online-Welt. 

Wenn Sie eine E-Mail versenden, gibt es vier Kontaktpunkte zwischen Ihnen und den vorgesehenen Empfängern. Es gibt die Software, die Sie zum Senden der E-Mail verwenden, die eigentliche Übertragung der E-Mail, den Empfang dieser E-Mail durch die Person, an die Sie sie senden, und die Speicherung dieser E-Mail auf deren Seite. 

Gegen die Empfängerseite können Sie nicht viel tun, und HIPAA verlangt dies auch nicht von Ihnen. Aber Sie müssen alles in Ihrer Macht Stehende tun, um deren sensible Informationen auf Ihrer Seite zu schützen, einschließlich während der E-Mail-Übertragung.

Medizinische Daten sind ein beliebtes Ziel für Identitätsdiebstahl. Das ist ein Grund dafür, dass in den letzten Jahren so viele Krankenhäuser Opfer von Cyberangriffen geworden sind. 

Leider sind für die meisten Verstöße nicht kriminelle Machenschaften verantwortlich. Die Hauptursache für die meisten HIPAA-Verstöße ist menschliches Versagen, wie z. B. das Senden einer E-Mail mit PHI an die falsche E-Mail-Adresse. 

HIPAA wurde entwickelt, um es bestimmten medizinischen Fachkräften zu erleichtern, Informationen sicher mit anderen Fachleuten zu teilen, die möglicherweise dieselbe Person behandeln. Früher gab es viel Bürokratie, was die Sicherheit von Patientinnen und Patienten gefährdete, da sich Behandlungen verzögerten. Sobald also HIPAA-konforme Kommunikationssysteme vorhanden sind, können Gesundheitsdienstleister sicher mit anderen Dienstleistern über eine behandelte Person kommunizieren, in der Gewissheit, dass sie die Vorschriften einhalten und die Privatsphäre schützen.

Sie haben es bis hierher geschafft. Hier sind die wesentlichen Aspekte der HIPAA-E-Mail-Compliance. 

E-Mails müssen über eine Ende-zu-Ende-Verschlüsselung verfügen, nicht nur während der Übertragung der E-Mail. Das bedeutet, dass auch die Art und Weise, wie Sie E-Mail-Aufzeichnungen vergangener Kommunikation speichern, verschlüsselt sein muss. Der einfachste Weg, dies zu tun, ist die Nutzung von E-Mail-Service-Providern und Speichertechnologien, die standardmäßig alles verschlüsseln. 

Wenn Sie die E-Mail bei jedem Versand manuell verschlüsseln müssen, riskieren Sie menschliches Versagen (ganz zu schweigen vom Zeitaufwand für jeden manuellen Vorgang).

Wer in Ihrem Team muss auf PHI zugreifen, um Mitteilungen über eine behandelte Person senden zu können? Sie müssen sicherstellen, dass nur das Personal Zugriff hat, das diesen auch benötigt. Personen, die E-Mail-Nachrichten an Patientinnen und Patienten senden, benötigen offensichtlich Zugriff auf PHI, es sei denn, Sie verwenden ein sicheres Portal, worauf wir gleich eingehen werden.

In welchen Situationen müssen Sie möglicherweise Patienteninformationen per E-Mail versenden? Das betrifft nicht nur die behandelte Person. Es könnte auch als Antwort auf eine E-Mail von dieser Person geschehen. Möglicherweise senden Sie auch E-Mails mit PHI an anderes medizinisches Fachpersonal, Versicherungsgesellschaften, Abrechnungsunternehmen und mehr. Zudem versenden Sie E-Mails innerhalb Ihrer eigenen Einrichtung zwischen den Teammitgliedern. 

Die HIPAA-E-Mail-Compliance deckt jedes dieser Szenarien ab. Hier sind einige weitere Empfehlungen zur E-Mail-Sicherheit.

Wenn jemand Zugriff auf die Patientenakte und die Kommunikation benötigt, müssen Sie diese bereitstellen können. Daher benötigen Sie eine sichere Speichertechnologie, die diese Informationen sowohl speichert als auch schützt. Neben der behandelten Person können auch Anwaltskanzleien, Versicherungen, staatliche Prüfstellen oder anderes medizinisches Fachpersonal diese Informationen benötigen. 

Stellen Sie jedoch sicher, dass Sie auch alle Schritte dokumentieren, die Sie zur sicheren Speicherung von PHI unternehmen, einschließlich der E-Mail-Kommunikation. Eventuell ist es sinnvoll, einen E-Mail-Archivierungsdienst von Drittanbietern zu beauftragen. 

Patientinnen und Patienten müssen eine schriftliche Einwilligung erteilen, dass sie damit einverstanden sind, E-Mails von Ihnen zu erhalten, die ihre persönlichen medizinischen Informationen enthalten können. Wenn Sie um diese Einwilligung bitten, müssen Sie sie auch darüber informieren, dass ihr eigener E-Mail-Client wie Google, Yahoo oder Microsoft Outlook möglicherweise nicht sicher ist. 

Falls sie eine solche Einwilligung nicht erteilen möchten, müssen Sie eine andere sichere Option für die Kommunikation anbieten können. Eine gängige Lösung ist ein sicheres Online-Portal mit einem eigenen Passwort und Konto. In diesem Fall bestünde Ihre E-Mail-Kommunikation mit der jeweiligen Person kaum aus mehr als Benachrichtigungen, die sie darüber informieren, dass eine neue sichere Nachricht vorliegt und sie sich in ihr Portal-Konto einloggen soll. 

Dieser Punkt ist entscheidend. Beliebte E-Mail-Anbieter wie Gmail und Yahoo sowie webbasierte E-Mail-Services, wie sie von Bluehost und GoDaddy angeboten werden, gelten nicht als HIPAA-konform.

Sie müssen einen E-Mail-Service-Provider nutzen, der HIPAA-konform ist. Das HIPAA Journal empfiehlt die Nutzung eines E-Mail-Service-Providers von Drittanbietern, wie beispielsweise Mailgun, sowohl für kleinere Gesundheitsdienstleister (Zahnarztpraxen, Physiotherapiezentren …) als auch für größere Gesundheitseinrichtungen. Das ist einfacher, als ein eigenes System aufzubauen.

Woher wissen Sie, ob der von Ihnen gewählte E-Mail-Anbieter die Vorschriften einhält? Achten Sie auf E-Mail-Anbieter mit einem Business Associate Agreement (BAA). Ja, die Abkürzungen häufen sich. Wir sprechen hier schließlich von Regierungsangelegenheiten.

Erinnern Sie sich an vorhin: Es gibt zwei Arten von Entitäten, die HIPAA einhalten müssen: verpflichtete Entitäten und Geschäftspartner. Jeder Geschäftspartner, mit dem Sie zusammenarbeiten, sollte über ein BAA verfügen. Das BAA legt die Einhaltung von HIPAA durch dieses Unternehmen fest. Hier ist die BAA-Richtlinie von Mailgun. 

Wir bieten keine Rechtsberatung im Gesundheitswesen. Unabhängig davon, welche Richtlinien Sie einführen, sollten Sie mit einer Anwaltskanzlei zusammenarbeiten, um sicherzustellen, dass Sie alle Vorschriften einhalten. Stellen Sie dabei natürlich immer sicher, dass die Kanzlei auf HIPAA-Compliance spezialisiert ist.

Arbeitet Ihr Personal von zu Hause aus und geht dabei mit medizinischen Patienteninformationen um? Wenn ja, benötigen Sie eine Möglichkeit, deren Geräte abzusichern. Einer der häufigsten HIPAA-Verstöße tritt auf, wenn Geräte wie Laptops, USB-Laufwerke und Mobiltelefone gestohlen werden. Sie werden nicht für den Diebstahl bestraft. Sie erhalten eine Geldstrafe, weil Sie das Gerät nicht ordnungsgemäß durch Verschlüsselung, Passwörter oder andere Schutzmaßnahmen gesichert haben.

Wenn Teammitglieder E-Mails von Mobilgeräten senden, die möglicherweise PHI enthalten, müssen die gleichen Sicherheitsvorkehrungen getroffen werden. Hier finden Sie weitere Informationen dazu, wie Sie die HIPAA-Sicherheitsregel für Geräte einhalten. 

Wie Sie sehen, ist das eine Menge – für alle Beteiligten, einschließlich Ihrer Teammitglieder, die all dies befolgen müssen. Denken Sie aber daran, dass dies zum Schutz der Privatsphäre von Patientinnen und Patienten geschieht. Es ist wichtig.

Im Rahmen der HIPAA-Compliance müssen Sie eine jährliche Schulung für das Personal durchführen und bestätigen, dass jede Person daran teilgenommen hat. Diese sollte Themen wie die Gerätesicherheit, die Zugriffsrechte auf Informationen, die zulässigen Inhalte von E-Mails an verschiedene Entitäten abdecken – im Grunde das meiste von dem, was in diesem Artikel steht.

Stellen Sie sicher, dass Sie auch Schulungen zur Erkennung und Vermeidung von E-Mail-Phishing-Betrug einbeziehen. Es nützt nicht viel, Richtlinien für die HIPAA-E-Mail-Compliance zu erstellen, wenn niemand weiß, wie man sie befolgt.

Wenn es um HIPAA-Compliance geht, gibt es viel zu tun. Und wir haben gerade erst das Thema E-Mail abgedeckt. 

Je mehr Arbeit Sie sich und Ihrem Team ersparen können, desto mehr werden Ihr Personal und Ihr Budget geschont. Die Zusammenarbeit mit Geschäftspartnern, die bereits HIPAA-konform sind, spart Ihnen einen Teil dieser Zeit und Kosten. Das liegt daran, dass Sie sich um bestimmte Aufgaben wie die ordnungsgemäße E-Mail-Verschlüsselung und Datenspeicherung nicht kümmern müssen.

Mailgun bietet HIPAA-konforme E-Mail-Services, und Sie kennen bereits unser Business Associate Addendum. 

Wenn Sie einen HIPAA-konformen E-Mail-Anbieter benötigen, haben Sie Ihre Lösung gefunden. Erstellen Sie noch heute ein Konto, unterzeichnen Sie unser BAA und nutzen Sie Mailgun, um Ihre E-Mail-Kommunikation zu vereinfachen und zu schützen.

Autor: Darine Fayed Darine Fayed is the Vice President Head of Legal EMEA for Sinch. She provides legal counsel on our international contracts, oversees our data protection and handles a variety of other legal matters. She writes often about compliance laws and policy standards that affect email communication.