Ist es ein HIPAA-Verstoß, jemanden nach dem COVID-19-Impfstatus zu fragen?

Jetzt, da vollständig geimpfte Personen in den meisten Umgebungen keine Gesichtsmasken mehr tragen oder physische Distanzierung praktizieren müssen, fragen viele Unternehmen ihre Kunden nach ihrem COVID-19-Impfstatus, bevor sie ihnen den Zutritt gewähren oder ihnen erlauben, ohne Maske zu sein. Einige Leute behaupten jedoch, dass der Health Insurance Portability and Accountability Act von 1996 (HIPAA) Unternehmen dies verbiete, was völlig falsch ist.

Dieses Missverständnis ist gefährlich, da es möglicherweise Personen in die Irre führen könnte, die nicht vollständig verstehen, was HIPAA tatsächlich beinhaltet. Um zu verstehen, warum die Abfrage des Impfstatus einer Person keine Verletzung der Privatsphäre darstellt, ist es wichtig zu wissen, welche Art von Informationen unter HIPAA geschützt sind, welche Unternehmen verpflichtet sind, sich an die Regeln zu halten, und unter welchen Umständen dieser Schutz gilt.

Was ist HIPAA?

Das HIPAA ist ein Bundesgesetz, das darauf abzielt, Ihre Privatsphäre zu schützen, indem es einschränkt, wie sensible Informationen über Ihre Gesundheit verwendet oder offengelegt werden können. Es gibt Ihnen auch das Recht, Ihre Krankenakten einzusehen und eine Kopie davon zu erhalten.

„Wenn sich Menschen auf HIPAA beziehen, meinen sie normalerweise die Datenschutzregel, die von HHS gemäß der Genehmigung des Kongresses über das Gesetz selbst erstellt wurde“, James G. Hodge, Jr., JD, LLM, Direktor des Center for Public Health Law and Policy in Arizona State University, erzählt Verywell. „Zu diesem Zweck bietet die HIPAA-Datenschutzregel umfassende Datenschutznormen und Schutzmaßnahmen für identifizierbare Gesundheitsinformationen, die von betroffenen Unternehmen gespeichert werden.“

Entgegen der landläufigen Meinung bietet HIPAA keinen Schutz für alle Arten von Informationen in jeder Situation. Darüber hinaus sind nicht alle Personen und Organisationen verpflichtet, sich daran zu halten.

Abgedeckte Einheiten

Nur bestimmte Personen und Organisationen mit Zugriff auf Ihre medizinischen Daten unterliegen der HIPAA-Datenschutzregel, wie zum Beispiel:

• Gesundheitsdienstleister wie Hausärzte, Fachärzte oder Psychologen
• Gesundheitspläne, wie Krankenkassen oder Health Maintenance Organizations (HMOs)
• Verrechnungsstellen im Gesundheitswesen, zu denen öffentliche oder private Einrichtungen gehören, die nicht standardmäßige Gesundheitsinformationen verarbeiten
• Geschäftspartner von erfassten Einrichtungen, die ihnen bei der Ausübung ihrer Tätigkeiten und Funktionen im Gesundheitswesen helfen, wie z. B. medizinische Schreibkräfte oder Berater

Die Verantwortung für den Schutz geschützter Gesundheitsinformationen liegt allein bei diesen Stellen, sagt Michael S. Sinha, MD, JD, MPH, Lehrbeauftragter an der Northeastern University School of Law und Gastwissenschaftler am NUSL Center for Health Policy and Law, gegenüber Verywell. Wenn ein Unternehmen nicht unter HIPAA fällt, muss es sich nicht an dessen Datenschutzstandards halten.

Geschützte Gesundheitsinformationen (PHI)

Betroffene Unternehmen sammeln und verwenden routinemäßig Gesundheitsinformationen, um Gesundheitsversorgung zu leisten. Solche Aufzeichnungen sind unter HIPAA geschützt, was Folgendes beinhaltet:

• Personenbezogene Daten wie Name, Adresse, Sozialversicherungsnummer, Krankenversicherungsnummer, Telefonnummern oder Fotos
• Krankenakten, klinische Fallnotizen, Testergebnisse, Diagnosen oder Rezepte
• Versicherungsinformation
• Medizinische Verwaltungsaufzeichnungssysteme, die von oder für einen Gesundheitsplan geführt werden
• Abrechnungs- und Zahlungsaufzeichnungen

„HIPAA schützt nur bestimmte Arten von Informationen in bestimmten Gesundheitseinrichtungen, nicht alle Informationen in allen Einrichtungen“, sagt Sinha. Impfinformationen und Impfausweise können als PHI klassifiziert werden, aber die Frage nach dem Status einer Person führt nicht automatisch zu einer HIPAA-Verletzung.

Ist es ein HIPAA-Verstoß, jemanden nach dem Impfstatus zu fragen?

„Nach dem fragen [vaccination] Der Status an sich ist kein HIPAA-Verstoß, da keine PHI offengelegt wurden“, sagt Jonathan Ishee, JD, MPH, MS, LLM, Assistenzprofessor für biomedizinische Informatik an der University of Texas, gegenüber Verywell. Ein Verstoß würde nur dann eintreten, wenn ein betroffenes Unternehmen PHI ohne Ihre Zustimmung an eine nicht autorisierte Person weitergibt.

Jeder kann Ihren Gesundheitsdienstleister nach Ihrem Impfstatus fragen, aber es wäre nur ein Verstoß, wenn er ihn ohne Erlaubnis offenlegt. Wenn nicht erfasste Personen wie Familie oder Freunde Sie direkt nach Ihrem Status fragen, ist dies kein Verstoß. Sie dürfen diese Informationen auch selbst offenlegen.

„Amerikaner denken oft, dass die HIPAA-Datenschutzregel die Privatsphäre ihrer Gesundheitsdaten in vielen Umgebungen schützt, in denen sie nicht gilt“, sagt Hodge. „Wenn Sie Ihrem Nachbarn Ihren COVID-19-Impfstatus mitteilen, gilt die Regel nicht. Wenn Sie Ihren Arbeitgeber davon in Kenntnis setzen, gilt die Regel wiederum nicht direkt.“

Ein weiterer Punkt, den Sie beachten sollten, ist, dass die HIPAA Unternehmen, Firmen, Schulen oder Fluggesellschaften nicht daran hindert, Sie zu fragen, ob Sie geimpft wurden oder nicht. Wenn sie nach Ihrem Impfstatus fragen, bevor Sie eine Einrichtung betreten, am Unterricht teilnehmen oder persönlich zur Arbeit kommen oder sogar einen Flug buchen dürfen, ist das kein Verstoß. Es bleibt Ihnen überlassen, ob Sie diese Informationen weitergeben möchten.

„Arbeitgeber haben das Recht, Arbeitnehmer nach dem Impfstatus zu fragen oder einen Impfnachweis als Bedingung für die Weiterbeschäftigung zu verlangen“, sagt Sinha. „In ähnlicher Weise können Hochschulen und Universitäten einen Impfnachweis für Lehrkräfte, Mitarbeiter und Studenten verlangen. Das bedeutet, dass eine Person ihren Job verlieren oder ihre College-Zulassung verwirken kann, wenn sie sich weigert, ihren Impfstatus offenzulegen. HIPAA spielt bei diesem Informationsaustausch keine Rolle.“

Unter welchen Umständen liegt ein HIPAA-Verstoß vor?

Es würde nur dann eine HIPAA-Verletzung vorliegen, wenn eine betroffene Einheit den Impfstatus einer Person ohne deren Genehmigung an eine nicht abgedeckte Einheit weitergibt. Beispielsweise ist es einem Gesundheitsdienstleister nicht gestattet, den Impfstatus einer Person ohne deren Zustimmung an ihren Arbeitgeber weiterzugeben.

„Wenn eine Ärztin den Medien den COVID-Impfstatus ihrer prominenten Patientin ohne die schriftliche Genehmigung der Patientin mitteilt, liegt wahrscheinlich ein Verstoß vor“, sagt Hodge. „Wenn eine Medien-Website die gleichen Informationen über eine Berühmtheit bereitstellt, liegt kein Verstoß gegen die HIPAA-Datenschutzbestimmungen vor, da die Medien-Website keine ‚erfasste Einheit‘ gemäß der Regel ist. Die Website hat möglicherweise gegen andere Datenschutznormen verstoßen, ob gesetzlich, behördlich oder gerichtlich auferlegt, aber nicht gegen die Datenschutzrichtlinie selbst.“

In einigen Situationen, die dem öffentlichen Wohl zugute kommen, wie z. B. Gerichts- und Verwaltungsverfahren, wichtige Regierungsfunktionen oder Aktivitäten im Bereich der öffentlichen Gesundheit, können betroffene Einrichtungen PHI ohne Genehmigung verwenden oder an eine nicht abgedeckte Einrichtung weitergeben. Wenn sie den Impfstatus einer Person außerhalb dieser zulässigen Offenlegungen mit einer nicht autorisierten Person – einem Freund, Nachbarn oder Kollegen – teilen, ist dies wahrscheinlich eine HIPAA-Verletzung.

„Während die HIPAA-Datenschutzregel eine solide Grundlage für den Schutz der Privatsphäre im Gesundheitswesen bietet, bietet sie außerhalb dieser spezifischen Einstellungen keinen ausfallsicheren Datenschutz“, sagt Hodge.

Während dieser COVID-19-Pandemie ist es verständlich, dass Sie Ihre Privatsphäre und Gesundheitsdaten schützen müssen. Denken Sie jedoch daran, dass das HIPAA niemanden daran hindert, nach Ihrem Impfstatus zu fragen, da es die medizinische Privatsphäre oder die Rechte des Einzelnen nicht verletzt. Sie können die Offenlegung Ihres Impfstatus dennoch verweigern.

„HIPAA ist nichts, was eine Person versuchen kann, sich als Schutzschild zu berufen, wenn Arbeitgeber oder Schulen nach dem Impfstatus fragen“, sagt Sinha. „Es ist ein praktisches – und oft falsch geschriebenes – Schlagwort, aber es hat in diesem Zusammenhang keine Relevanz.“

Die Informationen in diesem Artikel sind zum angegebenen Datum aktuell, was bedeutet, dass neuere Informationen möglicherweise verfügbar sind, wenn Sie diesen Artikel lesen. Die neuesten Updates zu COVID-19 finden Sie auf unserer Coronavirus-News-Seite.