HIPAA

Der Health Insurance Portability and Accountability Act von 1996 (HIPAA) setzt durch die Privacy, Security und Breach Notification Rules nationale US-Standards zum Schutz von Protected Health Information (PHI). Er gilt für Covered Entities — Krankenversicherer, elektronisch transagierende Leistungserbringer und Healthcare Clearinghouses — sowie für deren Business Associates, die PHI in deren Auftrag verarbeiten. Die Security Rule verlangt administrative, physische und technische Schutzmaßnahmen (z. B. Zugriffskontrollen, Audit-Logs, Übertragungssicherheit, Risikoanalysen). Das HHS Office for Civil Rights (OCR) setzt HIPAA durch und kann zivil- und bei vorsätzlichen Verstößen auch strafrechtliche Sanktionen verhängen.