HIPAA-Compliance

Was macht HIPAA-Compliance?

Verwende dies als HIPAA-spezifischen Einstiegspunkt, wenn eine Aufgabe klar die US-amerikanische Healthcare-Compliance betrifft. Diese Skill bleibt bewusst schlank und kanonisch:

• healthcare-phi-compliance bleibt die primäre Implementierungs-Skill für PHI/PII-Handling, Datenklassifikation, Audit-Logging, Verschlüsselung und Leck-Prävention.
• healthcare-reviewer bleibt der spezialisierte Reviewer, wenn Code, Architektur oder Produktverhalten einen healthcare-bewussten zweiten Durchlauf benötigen.
• security-review gilt weiterhin für allgemeine Authentifizierung, Eingabevalidierung, Geheimnisse, API und Deployment-Härtung.

Wann verwenden

• Die Anfrage erwähnt explizit HIPAA, PHI, versicherte Einrichtungen (covered entities), Geschäftspartner (business associates) oder BAAs.
• Erstellung oder Überprüfung von US-Healthcare-Software, die PHI speichert, verarbeitet, exportiert oder überträgt.
• Bewertung, ob Logging, Analysen, LLM-Prompts, Speicherung oder Support-Workflows ein HIPAA-Risiko darstellen.
• Entwurf von patienten- oder klinikerorientierten Systemen, bei denen minimal notwendiger Zugriff und Auditierbarkeit wichtig sind.

Funktionsweise

Behandle HIPAA als Überlagerung der breiteren Healthcare-Datenschutz-Skill:

1. Beginne mit healthcare-phi-compliance für die konkreten Implementierungsregeln.
2. Wende HIPAA-spezifische Entscheidungsgates an:
   • Handelt es sich bei diesen Daten um PHI?
   • Ist dieser Akteur eine versicherte Einrichtung oder ein Geschäftspartner?
   • Benötigt ein Anbieter oder Modellanbieter eine BAA, bevor er die Daten berührt?
   • Ist der Zugriff auf den minimal notwendigen Umfang beschränkt?
   • Sind Lese-/Schreib-/Export-Ereignisse auditierbar?
3. Eskaliere zu healthcare-reviewer, wenn die Aufgabe die Patientensicherheit, klinische Workflows oder regulierte Produktionsarchitektur betrifft.

HIPAA-spezifische Leitplanken

• Platziere NIEMALS PHI in Logs, Analysedaten, Crash-Reports, Prompts oder client-sichtbaren Fehlerstrings.
• Lege NIEMALS PHI in URLs, Browser-Speicher, Screenshots oder kopierten Beispiel-Payloads offen.
• Erzwinge authentifizierten Zugriff, berechtigte Autorisierung und Audit-Trails für PHI-Lese- und Schreibzugriffe.
• Behandle Drittanbieter-SaaS, Observability-, Support-Tools und LLM-Anbieter als standardmäßig blockiert, bis der BAA-Status und die Datengrenzen klar sind.
• Befolge das Prinzip des minimal notwendigen Zugriffs: Der richtige Benutzer sollte nur die kleinste PHI-Teilmenge sehen, die für die Aufgabe erforderlich ist.
• Bevorzuge opaque interne IDs gegenüber Namen, MRNs, Telefonnummern, Adressen oder anderen Identifikatoren.

Beispiele

Beispiel 1: Produktanfrage im HIPAA-Kontext

Benutzeranfrage:

Füge KI-generierte Besuchszusammenfassungen zu unserem Klinik-Dashboard hinzu. Wir bedienen US-Kliniken und müssen HIPAA-konform bleiben.

Antwortmuster:

• Aktiviere hipaa-compliance
• Verwende healthcare-phi-compliance, um PHI-Bewegungen, Logging, Speicherung und Prompt-Grenzen zu prüfen.
• Verifiziere, ob der Zusammenfassungsanbieter durch eine BAA abgedeckt ist, bevor PHI gesendet wird.
• Eskaliere zu healthcare-reviewer, wenn die Zusammenfassungen klinische Entscheidungen beeinflussen.

Beispiel 2: Anbieter-/Tooling-Entscheidung

Benutzeranfrage:

Können wir Support-Transkripte und Patientennachrichten in unseren Analyse-Stack senden?

Antwortmuster:

• Gehe davon aus, dass diese Nachrichten PHI enthalten könnten.
• Blockiere den Entwurf, es sei denn, der Analyseanbieter ist für HIPAA-belastete Workloads zugelassen UND der Datenpfad ist minimiert.
• Fordere nach Möglichkeit eine Schwärzung oder ein Nicht-PHI-Ereignismodell.

Verwandte Skills

• healthcare-phi-compliance
• healthcare-reviewer
• healthcare-emr-patterns
• healthcare-eval-harness
• security-review