Warum ist die Anonymisierung von Gesundheitsdaten sinnvoll und was hat die DSGVO oder der HIPAA damit zu tun?

Die Datenschutz-Grundverordnung (DSGVO) und der Health Insurance Portability and Accountability Act (HIPAA) sind beides Datenschutzstandards zum Schutz personenbezogener Daten. Sowohl DSGVO als auch HIPAA verlangen von Unternehmen, dass sie personenbezogene Daten schützen, um Risiken im Zusammenhang mit personenbezogenen Daten zu mindern.  

In einem kürzlich erschienenen Artikel in Information Management wurde erörtert, wie sich sowohl HIPAA als auch DSGVO auf Organisationen im Gesundheitswesen auswirken können. In diesem Blogbeitrag wird erläutert, wie sich die Aktualisierungen der DSGVO und des HIPAA überschneiden, welche Gemeinsamkeiten und Unterschiede sie aufweisen und was Sie über die Anonymisierung von Gesundheitsdaten im Rahmen dieser beiden Vorschriften wissen müssen. 

Was ist die Datenschutz-Grundverordnung (DSGVO)?  

Die Datenschutz-Grundverordnung (GDPR) ist eine Verordnung, die die Privatsphäre des Einzelnen schützen soll. Angesichts des zunehmenden Einsatzes von Technologie hilft die DSGVO Organisationen, die Daten über Bürger der Europäischen Union (EU) sammeln oder verarbeiten, indem sie größere Transparenzanforderungen und härtere Strafen für die Nichteinhaltung vorschreibt.  

Die Datenschutz-Grundverordnung gilt für alle EU-Bürger, unabhängig davon, wo die Organisation, die ihre Daten verwaltet, ihren Sitz hat. Organisationen, die Daten über EU-Bürger sammeln oder verwalten, wie z. B. Einrichtungen des Gesundheitswesens, müssen die DSGVO-Vorschriften einhalten. Die DSGVO hat fünf Hauptprinzipien:  

Datenminimierung – Organisationen sollten nur so viele Daten erheben, wie zur Erreichung des angegebenen Zwecks erforderlich sind.  

Datengenauigkeit – Organisationen sollten genaue Daten pflegen und Informationen regelmäßig aktualisieren, um sicherzustellen, dass sie aktuell bleiben.  

Datenaufbewahrung – Organisationen sollten Daten nur so lange aufbewahren, wie es für die Erfüllung des angegebenen Zwecks erforderlich ist.  

Datenübertragbarkeit – Personen, deren Daten von einer Organisation erfasst wurden, sollten auf ihre Daten zugreifen und sie an eine andere Organisation übertragen können.  

Datensicherheit – Organisationen sollten die Daten von Personen durch geeignete Sicherheitskontrollen, wie z. B. Verschlüsselung, schützen. 

Was ist HIPAA?  

Der Health Insurance Portability and Accountability Act (HIPAA) ist ein Gesetz in den Vereinigten Staaten, das die Verwendung und Offenlegung geschützter Gesundheitsinformationen regelt. Der HIPAA gilt für Gesundheitspläne, Verrechnungsstellen im Gesundheitswesen und Einrichtungen, die Gesundheitsdaten im Zusammenhang mit bestimmten Vorgängen im Gesundheitswesen übermitteln.  

Es gilt auch für Gesundheitsdienstleister, die Gesundheitsinformationen im Zusammenhang mit bestimmten Vorgängen der Gesundheitsversorgung übermitteln. Sie gilt nicht für Health Maintenance Organizations (HMOs), wohl aber für Treuhänder des Gesundheitswesens.  

Die HIPAA Privacy Rule schützt die Privatsphäre der Gesundheitsdaten von Einzelpersonen. Die HIPAA Security Rule schützt die Gesundheitsdaten von Einzelpersonen, indem sie von bestimmten betroffenen Einrichtungen und Geschäftspartnern verlangt, die Sicherheit elektronischer Gesundheitsdaten zu schützen. 

Wie überschneiden sich die Vorschriften der DSGVO und des HIPAA?  

Die DSGVO und die HIPAA-Vorschriften überschneiden sich in folgenden Punkten:

Zustimmung der Verbraucher – Sowohl die DSGVO als auch die HIPAA-Datenschutzrichtlinie geben Einzelpersonen das Recht zu entscheiden, ob ihre persönlichen Daten verwendet werden dürfen oder nicht.  

Datenminimierung – Sowohl die DSGVO als auch die HIPAA Privacy Rule fordern von Organisationen, nur so viele Daten zu erheben, wie zum Erreichen des angegebenen Zwecks erforderlich sind.  

Benachrichtigung bei Datenschutzverletzungen – Sowohl die DSGVO als auch die HIPAA Privacy Rule verlangen von Organisationen, dass sie betroffene Personen benachrichtigen, wenn eine Sicherheitsverletzung vorliegt, die ihre Daten gefährdet.  

Datenübermittlung – Sowohl die DSGVO als auch die HIPAA Privacy Rule erlauben es Organisationen, Daten außerhalb der EU und der Vereinigten Staaten nur an andere Organisationen zu übermitteln, die die jeweiligen Vorschriften einhalten. 

Wie unterscheiden sich die DSGVO- und die HIPAA-Vorschriften?  

Die DSGVO und die HIPAA-Vorschriften unterscheiden sich in folgenden Punkten:  

Strafen – Die DSGVO sieht bei Nichteinhaltung höhere Strafen vor als die HIPAA-Sicherheitsregel. In Bezug auf die DSGVO können Unternehmen mit Geldstrafen von bis zu 4 % des weltweiten Jahresumsatzes oder 20 Millionen Euro (je nachdem, welcher Betrag höher ist) belegt werden. In Bezug auf die HIPAA-Sicherheitsregel können Unternehmen mit einer Geldstrafe von bis zu 1.350 US-Dollar pro Verstoß belegt werden.   

Geltungsbereich – Die Datenschutz-Grundverordnung gilt für alle EU-Bürger, unabhängig davon, wo die Organisation, die ihre Daten verwaltet, ansässig ist. Die HIPAA Privacy Rule gilt nur für Organisationen, die unter den HIPAA fallen und in den Vereinigten Staaten tätig sind. 

Warum ist die Anonymisierung von Gesundheitsdaten wichtig?  

Die DSGVO- und HIPAA-Vorschriften verpflichten Organisationen und medizinische Einrichtungen zum Schutz personenbezogener Daten.  

Obwohl beide Verordnungen ähnlich sind, unterscheiden sie sich in der Art und Weise, wie sie personenbezogene Daten definieren und welche Art von Daten geschützt werden muss. DSGVO definiert personenbezogene Daten als alle Informationen, die zur Identifizierung einer natürlichen Person verwendet werden können, während HIPAA sie als alle Informationen definiert, die zur Identifizierung eines Patienten verwendet werden können.   

DSGVO verlangt von Organisationen, alle personenbezogenen Daten zu schützen, während HIPAA nur den Schutz von Gesundheitsinformationen verlangt. Gesundheitsdaten sind alle Informationen, die zur Identifizierung eines Patienten verwendet werden können und die sich auf dessen Gesundheit beziehen. Dazu gehören Krankenakten, Krankenversicherungsdaten und alle anderen Informationen, die für Entscheidungen über den Gesundheitszustand einer Person verwendet werden können.  

Organisationen müssen Maßnahmen ergreifen, um personenbezogene Daten vor unbefugtem Zugriff, Verwendung, Weitergabe oder Zerstörung zu schützen. Außerdem müssen sie sicherstellen, dass personenbezogene Daten korrekt und auf dem neuesten Stand sind. DSGVO verlangt von Organisationen, dass sie Einzelpersonen Zugang zu ihren personenbezogenen Daten gewähren und ihnen das Recht einräumen, diese zu korrigieren, wenn sie unrichtig sind.  

Der HIPAA verlangt nicht, dass Organisationen Einzelpersonen Zugang zu ihren Gesundheitsdaten gewähren, aber sie müssen Patienten die Möglichkeit geben, ihre medizinischen Daten zu korrigieren, wenn diese ungenau sind.  

Ein unsachgemäßer Umgang mit Daten kann zu rechtlichen Konsequenzen und erheblichen Geldbußen führen. Die Anonymisierung von Daten kann die Privatsphäre des Einzelnen schützen und gleichzeitig die Anforderungen von DSGVO und HIPAA erfüllen und die Nutzung der Daten ermöglichen. 

Anonymisierung für medizinische Zwecke  

Medizinische Daten enthalten eindeutige persönliche Informationen wie Namen, Telefonnummern, Adressen und andere Details. Solche Informationen müssen mit Sorgfalt behandelt werden, damit sie nicht zur Identifizierung einer Person verwendet werden können.  

Ein Patient kann einem Arzt oder einem anderen Gesundheitsdienstleister freiwillig persönliche Informationen zur Verfügung stellen, wenn er das Gefühl hat, dass er ihm seine vertraulichen Daten anvertrauen kann. Andererseits gibt es viele Patienten, die solche Daten aus verschiedenen Gründen nicht preisgeben wollen. Hier kommt die Anonymisierung ins Spiel!  

Bei der Anonymisierung werden die Daten so verändert, dass sie nicht mehr zur Identifizierung einer bestimmten Person dienen. Durch den Einsatz von Anonymisierungstools können Gesundheitseinrichtungen die Privatsphäre der Patienten schützen, indem sie alle persönlich identifizierbaren Informationen aus ihrer Datenbank entfernen. 

Das richtige Werkzeug für Datenanonymisierung und sicheren Datenaustausch  

Wenn Sie z. B. an einem Forschungsprojekt arbeiten, kann das Sammeln und Analysieren von Daten eine Herausforderung darstellen. Vielleicht haben Sie Bedenken, wie die Daten verwendet oder weitergegeben werden sollen, insbesondere wenn sie in irgendeiner Weise sensibel sind. Oder Sie müssen Ihre Daten mit Kollegen teilen, die keinen Zugang zu denselben Datensätzen haben.   

Die Arbeit mit anonymisierten Daten ermöglicht es Ihnen, die Daten für weitere Forschungen zu nutzen, ohne dass ausdrückliche Vereinbarungen getroffen werden müssen und ohne dass bei jeder Änderung ein organisatorischer Aufwand erforderlich ist, z. B. wenn ein neuer Partner dem Projekt beitritt oder ähnliche Forschungen durchführt, bei denen die bereits erfassten Daten genutzt werden könnten.  

Sie können die vorhandenen Tools nutzen, wie z. B. ShareMedix, die es ermöglichen, die Daten auf einfache Weise zu anonymisieren und sie mit den Forschungspartnern zu teilen. 

Geben Sie medizinische Daten auf die richtige Weise weiter  

Wenn Sie mehr über unsere Lösung erfahren möchten, die den Anonymisierungsprozess automatisiert und Ihnen einen einfachen Austausch medizinischer Daten ermöglicht, kontaktieren Sie uns und vereinbaren Sie einen Termin für eine kostenlose Demo. Oder besuchen Sie unseren FAQ-Bereich. 

ShareMedix by theBlue.ai