À la lumière de l'épidémie de COVID-19, l'Office for Civil Rights (OCR) du ministère américain de la Santé et des Services sociaux (HHS) veille à ce que les entités couvertes par la HIPAA et leurs associés soient conscients de la manière dont les informations sur les patients peuvent être partagées. en vertu de la règle de confidentialité HIPAA en cas d'épidémie de maladie infectieuse ou autre situation d'urgence, et pour rappeler que les protections de la règle de confidentialité ne sont pas mises de côté en cas d'urgence.
Arrière-plan
La règle de confidentialité de la Health Insurance Portability and Accountability Act de 1996 (HIPAA) protège la confidentialité des informations de santé des patients (informations de santé protégées), mais est équilibrée pour garantir que les utilisations et divulgations appropriées des informations peuvent toujours être faites lorsque cela est nécessaire pour traiter un patient. , pour protéger la santé publique du pays et à d’autres fins critiques.
HIPAA et santé publique
La règle de confidentialité HIPAA reconnaît le besoin légitime pour les autorités de santé publique et les autres responsables de la santé et de la sécurité publiques d'avoir accès aux informations de santé protégées nécessaires à l'accomplissement de leur mission de santé publique. Par conséquent, la règle de confidentialité permet aux entités couvertes de divulguer les informations de santé protégées nécessaires sans autorisation individuelle :
À une autorité de santé publique, telle que le CDC ou un département de santé d'État ou local, comme le département de santé de Tulsa, autorisé par la loi à collecter ou à recevoir de telles informations dans le but de prévenir ou de contrôler une maladie, une blessure ou un handicap. Cela comprendrait, par exemple, le signalement d'une maladie ou d'une blessure ; signaler les événements d'état civil, tels que les naissances ou les décès ; et mener une surveillance, des enquêtes ou des interventions en matière de santé publique. Une « autorité de santé publique » est une agence ou une autorité du gouvernement des États-Unis, d'un État, d'un territoire, d'une subdivision politique d'un État ou d'un territoire, ou d'une tribu indienne qui est responsable des questions de santé publique dans le cadre de son mandat officiel, comme ainsi qu'une personne ou une entité agissant en vertu d'une autorité accordée ou en vertu d'un contrat avec une agence de santé publique. Voir 45 CFR §§ 164.501 et 164.512(b)(1)(i). Par exemple, une entité couverte peut divulguer au CDC des informations de santé protégées de manière continue, selon les besoins, pour signaler tous les cas antérieurs et potentiels de patients exposés, suspectés ou confirmés comme étant atteints du nouveau coronavirus (2019-nCoV).
Divulgation
Divulgations aux médias ou à d'autres personnes non impliquées dans les soins du patient/Notification : En général, sauf dans les circonstances limitées décrites ailleurs dans ce bulletin, un reportage affirmatif aux médias ou au grand public au sujet d'un patient identifiable, ou la divulgation à le public ou les médias d'informations spécifiques sur le traitement d'un patient identifiable, telles que des tests spécifiques, des résultats de tests ou des détails sur la maladie d'un patient, ne peuvent pas être fournis sans l'autorisation écrite du patient (ou l'autorisation écrite d'un représentant personnel qui est une personne légalement autorisé à prendre des décisions en matière de soins de santé pour le patient). Voir 45 CFR 164.508 pour les exigences relatives à une autorisation HIPAA. Lorsqu'un patient ne s'est pas opposé ou n'a pas restreint la divulgation d'informations de santé protégées, un hôpital ou un autre établissement de soins de santé couvert peut, sur demande, divulguer des informations nominatives sur un patient particulier, peut divulguer des informations limitées sur l'annuaire de l'établissement pour reconnaître qu'une personne est une patient dans l'établissement et peut fournir des informations de base sur l'état du patient en termes généraux (par exemple, critique ou stable, décédé ou traité et libéré). Les entités couvertes peuvent également divulguer des informations si le patient est incapable et si la divulgation est considérée comme étant dans le meilleur intérêt du patient et conforme aux préférences exprimées antérieurement par le patient. Voir 45 CFR 164.510(a).
Pour la plupart des informations à fournir, une entité couverte doit faire des efforts raisonnables pour limiter les informations divulguées au « minimum nécessaire » pour atteindre l’objectif. (Les exigences minimales nécessaires ne s'appliquent pas aux divulgations aux prestataires de soins de santé à des fins de traitement.) Les entités couvertes peuvent s'appuyer sur les déclarations d'une autorité de santé publique ou d'un autre agent public selon lesquelles les informations demandées constituent le minimum nécessaire à cette fin, lorsque cette confiance est raisonnable. d'après les circonstances. Par exemple, une entité couverte peut s'appuyer sur les déclarations du CDC selon lesquelles les informations de santé protégées demandées par le CDC sur tous les patients exposés ou suspectés ou confirmés comme étant atteints du nouveau coronavirus (2019-nCoV) constituent le minimum nécessaire aux fins de santé publique. En outre, en interne, les entités couvertes devraient continuer à appliquer leurs politiques d'accès basées sur les rôles afin de limiter l'accès aux informations de santé protégées aux seuls membres du personnel qui en ont besoin pour exercer leurs fonctions. Voir 45 CFR §§ 164.502(b), 164.514(d).
