Ein digitales Genogramm kann nur dann in einem HIPAA-regulierten Workflow verwendet werden, wenn die Praxis jedes identifizierbare klinische Detail als potenziell sensibel behandelt, die Rolle jedes Dienstleisters schriftlich bestätigt, eine dokumentierte Risikoanalyse durchführt, den Zugriff einschränkt, Daten bei Speicherung und Übertragung schützt, Audit-Nachweise aufbewahrt und einen definierten Prozess für Aufbewahrung und Incident Response befolgt. Ein Produktlabel oder ein Häkchen bei der Verschlüsselung macht einen Workflow nicht konform. Die Praxis bleibt dafür verantwortlich, wie das Genogramm erfasst, verwendet, geteilt, exportiert und gelöscht wird.
Dieser Leitfaden bietet allgemeine Informationen und einen praxisorientierten Bewertungsrahmen. Er stellt keine Rechtsberatung oder Zertifizierung eines Produkts dar. Bevor Sie ein digitales Genogramm mit ePHI verwenden, prüfen Sie die geltende BAA, Sicherheitsdokumentation, Produktkonfiguration, organisatorischen Richtlinien sowie bundesstaatliche und regionale Anforderungen.
Was macht ein digitales Genogramm zu einem HIPAA-Thema?
Ein Genogramm wird zu einem HIPAA-relevanten Thema, wenn es identifizierbare Personen mit Gesundheits- oder Versorgungsinformationen in einem Kontext verknüpft, der unter die HIPAA-Regeln fällt. Namen, Daten, Diagnosen, Medikamente, genetische Risiken, Vorgeschichte von Substanzgebrauch, psychische Gesundheitsnotizen, familiäre Beziehungen und Freitextbeobachtungen können das Diagramm klinisch wertvoll machen. Dieselben Details können jedoch auch ePHI darstellen, wenn eine abgedeckte Einrichtung oder ein Geschäftspartner diese elektronisch erstellt, empfängt, pflegt oder überträgt.
HIPAA zertifiziert weder einzelne Genogramme noch Softwareprodukte. Die Vorschriften gelten für abgedeckte Einrichtungen, Geschäftspartner und deren Umgang mit geschützten Informationen. Stellen Sie zunächst fest, ob Ihre Organisation eine HIPAA-abgedeckte Einrichtung oder ein Geschäftspartner ist und ob das geplante Genogramm ePHI enthält. Wenn eine dieser Fragen unklar ist, beziehen Sie Ihre Datenschutz- oder Sicherheitsverantwortlichen ein, bevor Sie echte Kundendaten eingeben.
Checkliste für HIPAA-konforme digitale Genogramme
Verwenden Sie diese Checkliste, bevor ein Kliniker ein Genogramm mit ePHI erstellt oder importiert.
- Zweck definieren. Dokumentieren Sie den Behandlungs-, Koordinations-, Bewertungs- oder betrieblichen Grund für die Erstellung des Genogramms.
- Daten klassifizieren. Listen Sie die Identifikatoren, klinischen Fakten, Familiendetails, Anhänge, Kommentare und Metadaten auf, die der Workflow enthalten wird.
- Alle Systeme abbilden. Berücksichtigen Sie Aufnahmeformulare, Diagrammsoftware, Identitätsanbieter, Integrationen, Exporte, Backups, E-Mail, Messaging und die klinische Dokumentation.
- Anbieterstatus bestätigen. Ermitteln Sie, welche Anbieter ePHI erstellen, empfangen, pflegen oder übertragen, und holen Sie vor der Nutzung die erforderlichen BAAs ein.
- Risikoanalyse durchführen. Bewerten Sie Bedrohungen und Schwachstellen entlang des gesamten Datenflusses, nicht nur im Diagrammeditor.
- Zugriff nach dem Least-Privilege-Prinzip konfigurieren. Jede Person sollte nur den Zugriff erhalten, der für ihre Rolle erforderlich ist. Entfernen Sie Zugriffe umgehend bei Rollenänderungen.
- Individuelle Konten verlangen. Verwenden Sie keine gemeinsamen Logins. Setzen Sie starke Authentifizierung ein und nutzen Sie Multi-Faktor-Authentifizierung basierend auf Ihrer Risikoanalyse und den Sicherheitsanforderungen der Organisation.
- Speicherung und Übertragung schützen. Bewerten Sie Verschlüsselung, Schlüsselverwaltung, Gerätekontrollen, Netzwerkschutz und sichere Exporte.
- Audit-Nachweise aktivieren. Bewahren Sie genügend Aktivitätsverlauf auf, um Zugriffe, Änderungen, Freigaben, Exporte und Löschungen untersuchen zu können.
- Aufbewahrungs- und Entsorgungsregeln festlegen. Definieren Sie, wo die maßgebliche Datenquelle liegt, wie lange Kopien aufbewahrt werden und wie sie sicher zurückgegeben oder zerstört werden.
- Incident Response testen. Dokumentieren Sie, wer Benachrichtigungen erhält, wer einen Vorfall bewertet und wie die Organisation vertragliche und gesetzliche Meldepflichten erfüllt.
- Mitarbeitende schulen. Behandeln Sie angemessene Inhalte, sicheres Teilen, Sitzungsschutz, Exportverwaltung und Vorfallsmeldung.
Speicherlösungen nach Datenfluss wählen, nicht nach Produktlabel
Die sicherste Speicherentscheidung beginnt mit einer Datenflussanalyse. Verfolgen Sie Informationen von der Datenerfassung über die Live-Sitzung, das gespeicherte Diagramm, die klinische Dokumentation, das Backup, den Export bis zur endgültigen Löschung. Ein sicherer Editor kann dennoch durch ein heruntergeladenes PDF auf einem nicht verwalteten Laptop oder einen öffentlichen Freigabelink über persönliche E-Mail kompromittiert werden.
Dokumentieren Sie für jeden Speicherort, welche ePHI gespeichert oder übertragen wird, wer darauf zugreifen kann und warum, welche Organisation das Konto und die Verschlüsselungsschlüssel kontrolliert, ob der Anbieter eine geeignete BAA unterzeichnet, welche Aktivitäten geprüft werden können, wie Backup und Wiederherstellung funktionieren und was passiert, wenn ein Kliniker ausscheidet oder der Vertrag endet.
HHS erklärt, dass ein Cloud-Service-Anbieter im Allgemeinen als Geschäftspartner gilt, wenn er ePHI im Auftrag einer abgedeckten Einrichtung oder eines Geschäftspartners erstellt, empfängt, pflegt oder überträgt. Dies gilt auch dann, wenn der Anbieter nur verschlüsselte ePHI speichert und den Entschlüsselungsschlüssel nicht besitzt. Eine BAA und ein risikobasierter Satz von Schutzmaßnahmen sind daher zentrale Prüfungen und keine optionale Formalität.
Business Associate Agreement und Servicebedingungen prüfen
Laden Sie keine ePHI hoch, nur weil eine Verkaufsseite Begriffe wie „HIPAA ready“ oder „HIPAA compliant“ verwendet. Fordern Sie die tatsächliche BAA an und lesen Sie sie zusammen mit der Servicevereinbarung, Sicherheitsdokumentation und Konfigurationsanleitung.
Prüfen Sie, ob die Dokumente zulässige und erforderliche Verwendungen und Offenlegungen von PHI, Schutzmaßnahmen gemäß Security Rule, Vorfall- und Datenschutzverletzungsmeldungen, Unterauftragnehmer, Datenverfügbarkeit und Wiederherstellung, Rückgabe oder Zerstörung bei Vertragsende sowie Konflikte zwischen BAA, Service-Level-Agreement und Produkteinstellungen behandeln.
HHS nennt zehn zentrale Vertragsanforderungen für Business Associate Agreements. Dazu gehören Schutzmaßnahmen, Vorfallsmeldungen, Einschränkungen für Unterauftragnehmer, Rückgabe oder Zerstörung bei Vertragsende soweit praktikabel sowie Kündigungsrechte bei wesentlichen Verstößen. Nutzen Sie diese Anforderungen als Grundlage für Ihre Prüfung und lassen Sie die Vereinbarung anschließend von qualifizierter Rechtsberatung für Ihre Organisation und Rechtsordnung bewerten.
Zugriff, Audit, Integrität und Übertragungskontrollen konfigurieren
Die Security Rule verlangt mehr als Vertraulichkeit. Sie fordert administrative, physische und technische Schutzmaßnahmen zum Schutz der Vertraulichkeit, Integrität und Verfügbarkeit von ePHI.
Für einen digitalen Genogramm-Workflow bedeutet das konkrete Kontrollen:
- Zugriffskontrolle: Verwenden Sie personenbezogene Konten, rollenbasierte Berechtigungen, zeitnahes Offboarding und kontrollierten Notfallzugriff.
- Authentifizierung: Verifizieren Sie, dass die Person, die Zugriff anfordert, der autorisierte Benutzer ist.
- Audit-Kontrollen: Erfassen und überprüfen Sie relevante Zugriffe und Aktivitäten in Systemen, die ePHI enthalten oder verwenden.
- Integritätskontrollen: Verhindern oder erkennen Sie unzulässige Änderungen oder Zerstörung und bewahren Sie eine verlässliche klinische Dokumentation.
- Übertragungssicherheit: Schützen Sie ePHI bei der Übertragung zwischen Browser, Integrationen, Exporten und klinischer Dokumentation.
- Verfügbarkeit: Sorgen Sie für getestete Backups und Wiederherstellungsverfahren, die den klinischen Anforderungen entsprechen.
Vermeiden Sie vollständige klinische Narrative im Diagramm, wenn ein codierter Verweis oder eine kurze Notation ausreicht. Das Begrenzen unnötiger Details reduziert das Risiko, ersetzt jedoch nicht die erforderlichen Schutzmaßnahmen für die aufbewahrten Informationen.
Digitale Genogramme während Sitzungen sicher verwenden
Live-Familienabbildungen schaffen zusätzliche Datenschutzrisiken, da Klienten, Familienmitglieder, Remote-Teilnehmende und Mitarbeitende das Diagramm sehen oder beeinflussen können.
Erklären Sie vor der Sitzung, wie das Genogramm verwendet und dokumentiert wird. Bestätigen Sie, wer anwesend ist, positionieren Sie Bildschirme außerhalb des Blickfelds von Passanten, deaktivieren Sie unerwartete Benachrichtigungen und verwenden Sie ein genehmigtes Gerät und Netzwerk. Fügen Sie während der Sitzung nur Informationen hinzu, die für den klinischen Zweck relevant sind. Vermeiden Sie öffentliche Links und uneingeschränkten Gastzugriff. Schließen Sie nach der Sitzung den Zugriff, gleichen Sie das Diagramm mit der vorgesehenen klinischen Dokumentation ab und entfernen Sie temporäre lokale Dateien oder Exporte gemäß Richtlinie.
Trennen Sie bei Sitzungen mit mehreren Personen klinische Autorisierungsfragen von technischen Freigabeberechtigungen. Die Möglichkeit, Personen einzuladen, Kommentare hinzuzufügen oder zu bearbeiten, bedeutet nicht automatisch, dass eine Offenlegung zulässig ist.
Exporte, Integrationen und KI-Funktionen verwalten
Exporte sind Kopien klinischer Daten. Behandeln Sie PDF-, Bild-, CSV-, Backup- und Druckdateien mit derselben Sorgfalt wie das Originaldiagramm. Speichern Sie sie nur an genehmigten Orten, beschränken Sie den Zugriff und beziehen Sie sie in Aufbewahrungs- und Löschworkflows ein.
Prüfen Sie Integrationen einzeln. Eine Integration kann Namen, Diagramminhalte, Vorschaubilder, Kommentare, Prompts, Telemetriedaten oder Dateimetadaten an einen anderen Dienst senden. Identifizieren Sie vor der Aktivierung für ePHI den Empfänger, den Zweck, die Datenfelder, das Aufbewahrungsverhalten, Unterauftragnehmer, BAA-Abdeckung und Kontrollen.
Wenden Sie dieselbe Prüfung auf KI-gestützte Funktionen an. Ermitteln Sie, welche Daten an das Modell oder den Dienst gesendet werden, ob Prompts und Ausgaben gespeichert werden, ob Daten für das Training verwendet werden, welche Parteien Zugriff erhalten und ob die Vereinbarung durch die erforderlichen Verträge abgedeckt ist. Fügen Sie keine Aufnahmeprotokolle oder Klienten-Genogramme in nicht genehmigte KI-Tools ein.
Regeln für Aufbewahrung, Rückgabe und sichere Entsorgung festlegen
HIPAA definiert keine einheitliche Aufbewahrungsfrist für medizinische Unterlagen. Die Aufbewahrung kann durch staatliche Gesetze, berufliche Lizenzierungsregeln, organisatorische Richtlinien, Verträge, Anforderungen von Kostenträgern, Alter der Klienten und Aufbewahrungspflichten im Zusammenhang mit Rechtsstreitigkeiten bestimmt werden. Definieren Sie die für Ihre Praxis geltende Regel und dokumentieren Sie sie.
Wählen Sie eine maßgebliche Datenquelle. Wenn das Genogramm Teil der klinischen Dokumentation ist, legen Sie fest, wo diese gepflegt wird und wie Aktualisierungen abgeglichen werden. Definieren Sie separate Grenzen für Entwürfe, automatische Speicherungen, Exporte, Backups und temporäre Dateien. Bestätigen Sie bei Vertragsende, wie PHI zurückgegeben oder zerstört wird und welche Schutzmaßnahmen fortbestehen, wenn eine Zerstörung nicht praktikabel ist.
Sichere Entsorgung sollte Cloud-Daten, lokale Geräte, Wechselmedien, gedruckte Diagramme, zwischengespeicherte Browserdateien, Integrationen und Backups umfassen. Bewahren Sie Nachweise darüber auf, dass der genehmigte Prozess eingehalten wurde.
Vorbereitung auf Sicherheitsvorfälle und Datenschutzverletzungen
Ein praxisorientierter Vorfallplan definiert Verantwortliche und Entscheidungen, bevor ein Ereignis eintritt. Mitarbeitende sollten wissen, wie ein verlorenes Gerät, eine fehlgeleitete Einladung, ein offengelegter Freigabelink, ein verdächtiger Login, ein unzulässiger Export oder unerwartetes Integrationsverhalten gemeldet wird.
Das Incident-Response-Team sollte in der Lage sein, Protokolle zu sichern, Zugriffe einzudämmen, die betroffenen Informationen zu bewerten, mit Geschäftspartnern zu koordinieren, Entscheidungen zu dokumentieren und geltende Benachrichtigungspflichten zu erfüllen. Laut HHS müssen Cloud-Anbieter als Geschäftspartner Sicherheitsvorfälle identifizieren und darauf reagieren, schädliche Auswirkungen soweit praktikabel mindern, Vorfälle und Ergebnisse dokumentieren und Vorfälle gemäß ihren Vereinbarungen und den HIPAA-Regeln melden.
Testen Sie den Workflow mit einer Tabletop-Übung. Ein kurzes Szenario mit einem versehentlich öffentlichen Genogramm-Link kann Lücken bei Zuständigkeiten, Protokollierung, Anbieter-Eskalation und Kommunikation aufdecken, bevor ein realer Vorfall eintritt.
Fragen an einen Anbieter für digitale Genogramme
Nutzen Sie diese Fragen bei der Beschaffung und regelmäßigen Überprüfung:
- Unterzeichnen Sie eine BAA für das genaue Produkt, den Tarif und die Funktionen, die wir nutzen werden?
- Welche Dienste und Unterauftragnehmer erstellen, empfangen, pflegen oder übertragen unsere ePHI?
- Wie werden Daten bei der Übertragung und Speicherung geschützt, und wer kontrolliert die Schlüssel?
- Können wir SSO, Multi-Faktor-Authentifizierung, Rollen und Sitzungskontrollen durchsetzen?
- Welche Zugriffs-, Bearbeitungs-, Freigabe-, Export-, Administrations- und Löschereignisse werden protokolliert?
- Wie lange werden Protokolle aufbewahrt und können wir sie für Untersuchungen exportieren?
- Wie werden Backups getestet, wiederhergestellt, aufbewahrt und gelöscht?
- Welche Daten erhalten, speichern oder verwenden Integrationen und KI-Funktionen?
- Wie sehen der Vorfallsmeldeprozess und die vertraglichen Fristen aus?
- Wie exportieren, geben und zerstören wir Daten sicher nach Ende des Dienstes?
Dokumentieren Sie die Antworten. Prüfen Sie sie erneut nach wesentlichen Änderungen an Produkt, Vertrag, Unterauftragnehmern oder Workflow.
Ein praxisorientierter Prüfungsrhythmus
Überprüfen Sie den Workflow vor dem Start, nach wesentlichen Änderungen, nach Vorfällen und in einem dokumentierten regelmäßigen Rhythmus. Eine Überprüfung sollte die Datenflussanalyse, Risikoanalyse, BAAs, Produktkonfiguration, Benutzerzugriffe, Audit-Protokolle, Integrationen, Schulungen, Aufbewahrung, Wiederherstellungstests und Incident-Response-Kontakte umfassen.
Teams, die bewerten möchten, wie Genogramme die klinische Familienabbildung unterstützen, sollten zunächst prüfen, was ein Genogramm dokumentiert, praktische Genogramm-Beispiele vergleichen und den Leitfaden für Familien-Genogramme mit nicht identifizierbaren Beispieldaten verwenden. Geben Sie keine ePHI ein, bevor die HIPAA- und BAA-Prüfung Ihrer Organisation abgeschlossen ist. Legen Sie vor der Veröffentlichung einen genehmigten nächsten Schritt für klinische Benutzer fest.
Offizielle HIPAA-Quellen
- HHS-Leitfaden zu HIPAA und Cloud-Computing
- HHS-Zusammenfassung der HIPAA Security Rule
- HHS-Leitfaden zur Risikoanalyse
- HHS-Musterbestimmungen für Business Associate Agreements
