Warum HIPAA in der medizinischen Abrechnung unverzichtbar ist
Die medizinische Abrechnung verarbeitet in jeder Phase des Revenue Cycle Protected Health Information (PHI): demografische Daten, Diagnose- und Prozedurencodes, Versicherungsangaben und Zahlungsunterlagen. Dadurch ist die Abrechnung ein Risikobereich für HIPAA-Verstöße. Das Office for Civil Rights (OCR) hat bei abrechnungsbezogenen HIPAA-Verstößen Strafen in Millionenhöhe verhängt, und selbst kleine Praxen wurden für Versäumnisse mit Bußgeldern belegt, die ein ordentliches Compliance-Programm verhindert hätte.
Was gilt in der medizinischen Abrechnung als PHI?
In der Abrechnung ist PHI jede individuell identifizierbare Gesundheitsinformation: Name, Adresse, Geburtsdatum, Telefonnummer, Social-Security-Nummer, Patientenaktennummer, Versicherungs-ID, Diagnose- und Prozedurencodes, Behandlungsdaten und alles Weitere, was eine Person nachvollziehbar identifizieren könnte und sich auf ihre Gesundheit, Versorgung oder Bezahlung bezieht. All das muss geschützt werden.
Die HIPAA Security Rule: technische Schutzmaßnahmen für ePHI
Die HIPAA Security Rule stellt konkrete Anforderungen an den Schutz elektronischer PHI (ePHI), der Form, in der praktisch alle Abrechnungsdaten heute vorliegen. Zu den vorgeschriebenen technischen Schutzmaßnahmen gehören Zugriffskontrollen, die ePHI auf autorisierte Nutzer beschränken, Audit-Kontrollen, die nachverfolgen, wer wann auf was zugegriffen hat, Integritätskontrollen gegen unbefugte Änderungen, Verschlüsselung bei der Übertragung und im Ruhezustand sowie automatische Abmeldung nach Inaktivität. Jedes Abrechnungssystem, jede Clearinghouse-Verbindung und jeder Übertragungsweg muss diese Vorgaben erfüllen.
Business Associate Agreements (BAAs)
Wenn eine Covered Entity (Ihre Praxis) PHI für Abrechnungsaufgaben an eine externe Organisation weitergibt, etwa an ein Abrechnungsunternehmen, ein Clearinghouse, einen Kodierdienst oder ein Inkassobüro, wird diese Organisation nach HIPAA zum Business Associate und muss ein Business Associate Agreement (BAA) unterzeichnen. Ein BAA verpflichtet den Business Associate, PHI nach demselben Standard wie Covered Entities zu schützen und jede Datenpanne umgehend zu melden. Die Weitergabe von PHI an einen Dienstleister ohne unterzeichnetes BAA ist ein direkter HIPAA-Verstoß, unabhängig davon, ob eine Datenpanne eintritt.
Häufigste HIPAA-Verstöße in der Abrechnung
- Claims über ungesicherte E-Mail oder unverschlüsselte Dateiübertragung versenden
- Zugangsdaten unter Abrechnungsmitarbeitenden teilen
- PHI auf privaten Geräten ohne Verschlüsselung oder Fernlöschung speichern
- Keine BAAs mit Dienstleistern, Clearinghouses oder Inkassobüros abschließen
- Patientenabrechnungen dort besprechen, wo andere mithören können
- EOBs oder Rechnungen an falsche Adressen versenden
- Die jährliche HIPAA-Schulung für Abrechnungsmitarbeitende auslassen
Einen HIPAA-konformen Abrechnungspartner auswählen
Prüfen Sie bei einer Auslagerung, dass das Abrechnungsunternehmen umfassende HIPAA-Compliance einhält, einschließlich unterzeichneter BAAs, verschlüsselter Datenübertragung, dokumentierter Sicherheitsrichtlinien, jährlicher Mitarbeiterschulungen und eines förmlichen Verfahrens zur Meldung von Datenpannen. Fragen Sie nach Sicherheitszertifizierungen und dem Umgang mit PHI bei der Übertragung, im Ruhezustand und bei Vertragsende. Ein HIPAA-Verstoß eines Dienstleisters kann auf Ihre Praxis durchschlagen, wenn keine Schutzmaßnahmen bestanden.
Die drei Regeln, die Abrechnungsteams kennen müssen
Abrechnungsteams arbeiten hauptsächlich unter drei bundesweiten HIPAA-Regeln. Dieser Artikel dient der allgemeinen Information und ist keine Rechtsberatung. Die Pflichten hängen von Ihrer Größe, Ihrem Bundesstaat und Ihren Verträgen ab; lassen Sie Einzelheiten daher von qualifizierten Rechtsberatern im Gesundheitswesen bestätigen.
| Regel | Was sie regelt | Was sie für die Abrechnung bedeutet |
|---|---|---|
| Privacy Rule | Wer PHI zu welchen Zwecken verwenden oder offenlegen darf | Die Abrechnung ist eine zulässige Verwendung zu Zahlungszwecken („payment“), doch Offenlegungen müssen begrenzt sein, und Patienten haben Rechte wie Akteneinsicht |
| Security Rule | Administrative, physische und technische Schutzmaßnahmen für ePHI | Umfasst Abrechnungssysteme, Clearinghouse-Verbindungen, Laptops, gemeinsame Laufwerke und Cloud-Tools |
| Breach Notification Rule | Vorgehen, wenn ungesicherte PHI unzulässig verwendet oder offengelegt wird | Verlangt eine Bewertung des Vorfalls und bei meldepflichtigen Datenpannen die Benachrichtigung der Betroffenen, des HHS und mitunter der Medien |
Der Minimum-Necessary-Standard in der Abrechnung
Bei den meisten Verwendungen und Offenlegungen erwartet HIPAA, dass Sie PHI auf das notwendige Minimum beschränken. Offenlegungen zu Behandlungszwecken zwischen Leistungserbringern sind eine Ausnahme. In der Abrechnung:
- Mitarbeitenden rollenbasierten Zugriff geben; wer Zahlungen bucht, braucht keine klinischen Notizen.
- Kostenträgern nur senden, was sie anfordern, nicht die gesamte Akte.
- Nicht benötigte Identifikatoren in Schulungs- oder Analysebeispielen schwärzen.
- Patientenrechnungen auf das beschränken, was Betrag und Saldo erklärt.
- Zugriffe dokumentieren und bei Rollenwechseln überprüfen.
Eine Sicherheitsrisikoanalyse durchführen
Eine dokumentierte, unternehmensweite Risikoanalyse ist eine zentrale Anforderung der Security Rule und eine häufige Feststellung bei OCR-Untersuchungen. Wiederholen und aktualisieren Sie sie, wenn sich Ihre Umgebung ändert.
- Erfassen, wo ePHI liegtJedes System, Gerät, jeden Cloud-Dienst, jede Clearinghouse-Verbindung, jedes Backup und jeden Arbeitsablauf auflisten, die Abrechnungsdaten erzeugen, speichern oder senden.
- Bedrohungen und Schwachstellen identifizierenVerlorene Geräte, Phishing, Ransomware, fehlgeleitete E-Mails, schwache Passwörter und ungepatchte Software berücksichtigen.
- Wahrscheinlichkeit und Auswirkung bewertenJedes Risiko bewerten, damit die höchsten zuerst behandelt werden.
- Bestehende Schutzmaßnahmen prüfenVorhandene Verschlüsselung, Multi-Faktor-Authentifizierung, Protokollierung und Backups prüfen.
- Einen Risikomanagementplan erstellenVerantwortliche und Termine zur Behebung von Lücken festlegen und jedes akzeptierte Restrisiko festhalten.
- Dokumentieren und wiederholenDie schriftliche Analyse aufbewahren und nach größeren Änderungen wie einem neuen System oder Dienstleister aktualisieren.
Zugriffskontrollen und alltägliche Schutzmaßnahmen
- Eindeutige Benutzer-IDs: gemeinsame Zugänge zerstören die Nachvollziehbarkeit in Audit-Protokollen.
- Starke Authentifizierung: Multi-Faktor-Authentifizierung für Fernzugriff, E-Mail und Abrechnungssysteme verwenden.
- Minimale Berechtigungen: nur gewähren, was eine Rolle benötigt, und bei Ausscheiden oder Rollenwechsel umgehend entziehen.
- Verschlüsselung: ePHI bei der Übertragung und im Ruhezustand schützen, einschließlich Laptops, Telefonen und Wechselmedien.
- Audit-Protokolle: Zugriffsprotokolle regelmäßig auf ungewöhnliche Aktivitäten prüfen.
- Sichere Übertragung: sichere Clearinghouse-Kanäle oder SFTP verwenden, keine gewöhnliche E-Mail.
- Gewohnheiten am Arbeitsplatz: automatische Abmeldung, Blickschutzfilter, verschlossene Papierakten.
- Schulung: neue Mitarbeitende bei der Einarbeitung schulen, regelmäßig auffrischen und Teilnahmenachweise aufbewahren.
Checkliste für das Business Associate Agreement
Ein BAA sollte vorliegen, bevor PHI an ein Abrechnungsunternehmen, Clearinghouse, einen Kodieranbieter, ein Inkassobüro, einen IT-Dienstleister oder einen Cloud-Dienst weitergegeben wird, der sie speichert. Ein solides BAA deckt in der Regel Folgendes ab; lassen Sie den Wortlaut rechtlich prüfen:
- Die zulässigen Verwendungen und Offenlegungen von PHI sowie das Verbot jeder anderen Verwendung
- Erforderliche Schutzmaßnahmen, einschließlich Einhaltung der Security Rule
- Umgehende Meldung von Vorfällen und Datenpannen innerhalb einer festgelegten Frist
- Weitergabe derselben Pflichten an Subunternehmer, die mit PHI in Berührung kommen
- Unterstützung bei Anträgen von Patienten auf Einsicht und Berichtigung
- Rückgabe oder Vernichtung der PHI bei Vertragsende bzw. fortgesetzter Schutz, wenn eine Rückgabe nicht möglich ist
- Ihr Kündigungsrecht bei wesentlichem Verstoß
Wenn es zu einer Datenpanne kommt: Schritte zur Reaktion
Die Breach Notification Rule geht davon aus, dass eine unzulässige Verwendung oder Offenlegung ungesicherter PHI eine Datenpanne ist, es sei denn, eine dokumentierte Risikobewertung zeigt eine geringe Wahrscheinlichkeit der Kompromittierung.
- EindämmenDas Konto sperren, die Nachricht zurückrufen oder das Gerät sicherstellen.
- Beweise sichernProtokolle und Unterlagen aufbewahren. Systeme noch nicht löschen.
- Intern eskalierenDatenschutz- und Sicherheitsverantwortliche informieren sowie, soweit angemessen, Rechtsberatung und Ihre Cyberversicherung.
- Das Risiko bewertenDie Art der PHI dokumentieren, wer sie erhalten hat, ob sie tatsächlich eingesehen oder erlangt wurde und inwieweit das Risiko verringert ist.
- Wie vorgeschrieben benachrichtigenHandelt es sich um eine meldepflichtige Datenpanne, benachrichtigen Sie die Betroffenen ohne unangemessene Verzögerung und spätestens 60 Tage nach Entdeckung. Melden Sie an das HHS (Datenpannen mit 500 oder mehr Betroffenen innerhalb derselben 60-Tage-Frist, kleinere Datenpannen innerhalb von 60 Tagen nach Ende des Kalenderjahres) und bei großen Datenpannen in einem einzelnen Bundesstaat an die Medien. Business Associates müssen die Covered Entity benachrichtigen. Einige Bundesstaaten sehen kürzere Fristen vor.
- Beheben und dokumentierenDie Grundursache beheben, Mitarbeitende nachschulen, die Risikoanalyse aktualisieren.
Häufige Fehler und Lösungen
| Fehler | Lösung |
|---|---|
| Keine dokumentierte Risikoanalyse oder eine, die Jahre veraltet ist | Jetzt eine erstellen, dann planmäßig und nach größeren Änderungen aktualisieren |
| Dienstleister mit PHI-Zugriff, aber ohne BAA | Dienstleister erfassen, dann BAAs abschließen oder aktualisieren, bevor weitere PHI übermittelt wird |
| Gemeinsame Zugänge zum Abrechnungssystem | Eindeutige IDs vergeben und Audit-Protokollierung aktivieren |
| Claims oder Rechnungen per einfacher E-Mail versandt | Sichere Übertragung sowie ein Patientenportal oder verschlüsselte Nachrichten verwenden |
| Unverschlüsselte Laptops und Telefone | Verschlüsselung und Fernlöschung durchsetzen und private Geräte einschränken |
| Ausgeschiedene Mitarbeitende behalten Zugriff | Die Kontolöschung in die Checkliste für das Ausscheiden aufnehmen |
| Schulung einmalig durchgeführt, nie dokumentiert | Auffrischungen planen und Anwesenheitsnachweise aufbewahren |
Sprechen Sie mit einem Rechtsberater. Diese Übersicht ist allgemein gehalten. Landesgesetze, Kostenträgerverträge und Ihr Risikoprofil können Anforderungen über HIPAA hinaus mit sich bringen. Lassen Sie Ihre Richtlinien, BAAs und Ihren Vorfallsplan von einem Rechtsanwalt für Gesundheitsrecht oder einer qualifizierten Compliance-Fachkraft prüfen.
Wichtigste Erkenntnisse
- Die Abrechnung berührt täglich die Privacy Rule, die Security Rule und die Breach Notification Rule.
- Bei jeder Aufgabe das Minimum-Necessary-Prinzip und rollenbasierten Zugriff anwenden.
- Eine dokumentierte, aktuelle Risikoanalyse ist die Grundlage der Security-Rule-Compliance.
- Ein BAA unterzeichnen, bevor ein Dienstleister PHI sieht.
- Einen schriftlichen Plan zur Reaktion auf Datenpannen vorhalten und die Fristen von Bund und Bundesstaaten kennen.