A la luz del brote de COVID-19, la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos (HHS) de EE. UU. garantiza que las entidades cubiertas por HIPAA y sus socios comerciales conozcan las formas en que se puede compartir la información de los pacientes. bajo la Regla de Privacidad HIPAA en un brote de enfermedad infecciosa u otra situación de emergencia, y para servir como recordatorio de que las protecciones de la Regla de Privacidad no se dejan de lado durante una emergencia.
Fondo
La Regla de Privacidad de la Ley de Responsabilidad y Portabilidad del Seguro Médico de 1996 (HIPAA) protege la privacidad de la información médica de los pacientes (información médica protegida), pero está equilibrada para garantizar que se puedan hacer usos y divulgaciones apropiados de la información cuando sea necesario para tratar a un paciente. , para proteger la salud pública de la nación y para otros fines críticos.
HIPAA y salud pública
La Regla de Privacidad de HIPAA reconoce la necesidad legítima de que las autoridades de salud pública y otras personas responsables de garantizar la salud y la seguridad públicas tengan acceso a la información de salud protegida que es necesaria para llevar a cabo su misión de salud pública. Por lo tanto, la Regla de Privacidad permite a las entidades cubiertas revelar información de salud protegida necesaria sin autorización individual:
A una autoridad de salud pública, como los CDC o un departamento de salud estatal o local, como el Departamento de Salud de Tulsa, que esté autorizado por ley para recopilar o recibir dicha información con el fin de prevenir o controlar enfermedades, lesiones o discapacidades. Esto incluiría, por ejemplo, la notificación de enfermedades o lesiones; informar sobre acontecimientos vitales, como nacimientos o defunciones; y realizar vigilancia, investigaciones o intervenciones de salud pública. Una “autoridad de salud pública” es una agencia o autoridad del gobierno de los Estados Unidos, un estado, un territorio, una subdivisión política de un estado o territorio, o una tribu indígena que es responsable de asuntos de salud pública como parte de su mandato oficial, como así como una persona o entidad que actúa bajo una concesión de autoridad o bajo un contrato con una agencia de salud pública. Consulte 45 CFR §§ 164.501 y 164.512(b)(1)(i). Por ejemplo, una entidad cubierta puede revelar a los CDC información de salud protegida de forma continua según sea necesario para informar todos los casos anteriores y potenciales de pacientes expuestos, sospechosos o confirmados que tienen el nuevo coronavirus (2019-nCoV).
Divulgación
Divulgaciones a los medios u otras personas no involucradas en la atención del paciente/Notificación: En general, excepto en las circunstancias limitadas descritas en otras partes de este Boletín, la información afirmativa a los medios o al público en general sobre un paciente identificable, o la divulgación a el público o los medios de comunicación de información específica sobre el tratamiento de un paciente identificable, como pruebas específicas, resultados de pruebas o detalles de la enfermedad de un paciente, no se puede hacer sin la autorización escrita del paciente (o la autorización escrita de un representante personal que sea una persona legalmente autorizado para tomar decisiones de atención médica para el paciente). Consulte 45 CFR 164.508 para conocer los requisitos para una autorización HIPAA. Cuando un paciente no se haya opuesto o restringido la divulgación de información médica protegida, un hospital cubierto u otro centro de atención médica puede, previa solicitud, revelar información sobre un paciente en particular por su nombre, puede divulgar información limitada del directorio del centro para reconocer que un individuo es un paciente en el centro y puede proporcionar información básica sobre la condición del paciente en términos generales (p. ej., crítico o estable, fallecido o tratado y dado de alta). Las entidades cubiertas también pueden divulgar información si el paciente está incapacitado y si se cree que la divulgación es en el mejor interés del paciente y consistente con cualquier preferencia expresada previamente por el paciente. Véase 45 CFR 164.510(a).
Para la mayoría de las divulgaciones, una entidad cubierta debe hacer esfuerzos razonables para limitar la información divulgada a lo que sea el "mínimo necesario" para lograr el propósito. (Los requisitos mínimos necesarios no se aplican a las divulgaciones a proveedores de atención médica con fines de tratamiento). Las entidades cubiertas pueden confiar en las declaraciones de una autoridad de salud pública u otro funcionario público de que la información solicitada es la mínima necesaria para el propósito, cuando esa confianza sea razonable. bajo las circunstancias. Por ejemplo, una entidad cubierta puede confiar en las declaraciones de los CDC de que la información de salud protegida solicitada por los CDC sobre todos los pacientes expuestos, sospechosos o confirmados que tienen el nuevo coronavirus (2019-nCoV) es el mínimo necesario para fines de salud pública. Además, internamente, las entidades cubiertas deben continuar aplicando sus políticas de acceso basado en roles para limitar el acceso a información de salud protegida solo a aquellos miembros de la fuerza laboral que la necesitan para llevar a cabo sus funciones. Véase 45 CFR §§ 164.502(b), 164.514(d).
