6.3 Das Prinzip der Datensparsamkeit (Minimum Necessary)

Eines der zentralen Prinzipien der HIPAA Privacy Rule ist das sogenannte Minimum Necessary Standard — das Prinzip der Datensparsamkeit oder Mindestdatennutzung. Es besagt, dass Covered Entities und ihre Business Associates bei jeder Nutzung, Weitergabe oder Anforderung von Protected Health Information (PHI) sicherstellen müssen, dass nur das Minimum an PHI verwendet wird, das für den jeweiligen Zweck vernünftigerweise notwendig ist.

Warum das Prinzip existiert

Der Gedanke dahinter ist simpel, aber wirkungsvoll: Je weniger Gesundheitsdaten im Umlauf sind, desto geringer ist der potenzielle Schaden bei einem Datenleck, einem Cyberangriff oder einer unbefugten Weitergabe. Wenn eine Abrechnungsabteilung nur wissen muss, welcher Behandlungscode abgerechnet wird — nicht aber was genau in der Behandlung besprochen wurde —, sollte sie auch nur diesen Code erhalten. Dieses Prinzip begrenzt das Risiko, ohne die medizinische Versorgung zu beeinträchtigen.

Praxisbeispiele

Ein Abrechnungsmitarbeiter benötigt Diagnosecodes und Abrechnungsnummern, aber keine detaillierten Behandlungsnotizen oder psychotherapeutischen Aufzeichnungen — diese wären für seine Arbeit irrelevant und dürfen ihm nicht routinemäßig zugänglich gemacht werden. Ein behandelnder Arzt hingegen braucht die vollständige Patientenakte, um eine fundierte Diagnose zu stellen und eine sichere Medikation zu verordnen — hier greift das Minimum-Necessary-Prinzip nicht in die klinische Entscheidungsfreiheit ein. Eine Krankenversicherung, die prüft, ob eine Behandlung medizinisch notwendig war, benötigt die relevanten Unterlagen zur Behandlung — aber nicht alle anderen Diagnosen der vergangenen zehn Jahre.

Was das Prinzip nicht bedeutet

Der Minimum Necessary Standard gilt ausdrücklich NICHT für Offenlegungen an den Patienten selbst, an behandelnde Ärzte oder für Anforderungen durch das HHS im Rahmen von Compliance-Prüfungen. Er soll den internen Datenzugang begrenzen, nicht die medizinische Versorgung einschränken.

Vergleich mit der DSGVO

Das Minimum-Necessary-Prinzip entspricht dem DSGVO-Grundsatz der Datensparsamkeit aus Art. 5 Abs. 1 lit. c: Personenbezogene Daten müssen dem Zweck angemessen und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein. Dieser Grundsatz ist in der DSGVO jedoch horizontaler — er gilt für alle Branchen und alle Datenarten, während der HIPAA-Standard sektoriell auf Gesundheitsdaten beschränkt ist.

Bedeutung für die Informationssicherheit

Das Minimum-Necessary-Prinzip ist nicht nur eine rechtliche Anforderung, sondern auch ein Grundpfeiler guter Informationssicherheitspraxis: das sogenannte Need-to-Know-Prinzip. Wenn ein System so konfiguriert ist, dass Mitarbeiter nur auf die Daten zugreifen können, die sie tatsächlich brauchen, reduziert dies das Schadenspotenzial bei kompromittierten Zugangsdaten — ein Gedanke, der in der IT-Sicherheit unter dem Begriff 'Least Privilege' bekannt ist.