HIPAA protege la información médica protegida, conocida normalmente como PHI (por sus siglas en inglés). Saber qué se considera PHI es el primer paso para protegerla.
Qué es la PHI
La PHI es información de salud que identifica a una persona y que una entidad cubierta o un socio comercial tiene o transmite, en cualquier forma: hablada, en papel o electrónica. Es información que:
- se refiere a la salud o afección física o mental pasada, presente o futura de una persona, a la atención médica que se le presta o al pago de esa atención; y
- identifica a la persona, o podría usarse razonablemente para identificarla.
Ejemplos de PHI:
- una nota del expediente, un resultado de laboratorio, una radiografía o una receta;
- una agenda de citas que muestra quién viene hoy;
- una factura o una reclamación al seguro;
- una conversación sobre el diagnóstico de un paciente;
- una foto de un paciente, o una pulsera con su nombre y fecha de nacimiento.
Incluso el hecho de que alguien sea paciente de una clínica determinada puede ser PHI.
Lo que no es PHI: los registros laborales que una organización guarda en su calidad de empleador (por ejemplo, su propio expediente de licencias por enfermedad en Recursos Humanos) y los registros educativos protegidos por FERPA. La información de salud que se ha desidentificado correctamente tampoco es PHI.
ePHI
La ePHI es la PHI que se crea, recibe, guarda o envía en forma electrónica: el expediente médico electrónico, correos electrónicos, mensajes de texto, archivos en una computadora portátil o en una memoria USB, documentos escaneados, datos en un sistema de facturación. La Regla de Seguridad se aplica a la ePHI. La Regla de Privacidad se aplica a la PHI en todas sus formas, incluidos el papel y la palabra hablada.
Los 18 identificadores
El método de desidentificación de Safe Harbor ("puerto seguro") de la Regla de Privacidad enumera 18 identificadores que deben eliminarse, tanto de la persona como de sus familiares, empleadores o miembros de su hogar:
- Nombres
- Subdivisiones geográficas menores que un estado: dirección, ciudad, condado, código postal (ZIP) (en algunos casos pueden conservarse los tres primeros dígitos del código postal)
- Todos los elementos de las fechas (excepto el año) relacionadas directamente con la persona —fecha de nacimiento, de ingreso, de alta, de fallecimiento— y todas las edades superiores a 89 años
- Números de teléfono
- Números de fax
- Direcciones de correo electrónico
- Números de Seguro Social
- Números de expediente médico
- Números de beneficiario del plan de salud
- Números de cuenta
- Números de certificados o licencias
- Identificadores y números de serie de vehículos, incluidas las placas
- Identificadores y números de serie de dispositivos
- Direcciones web (URL)
- Direcciones IP
- Identificadores biométricos, como huellas dactilares y huellas de voz
- Fotografías de rostro completo e imágenes comparables
- Cualquier otro número, característica o código de identificación único
Conceptos básicos de la desidentificación
La información está desidentificada cuando ya no identifica a una persona y no hay ninguna base razonable para creer que podría identificarla. HIPAA permite dos métodos:
- Safe Harbor — eliminar los 18 identificadores, y que la organización no tenga conocimiento real de que lo que queda podría identificar a la persona.
- Determinación por un experto (Expert Determination) — un experto calificado aplica métodos estadísticos o científicos y documenta que el riesgo de volver a identificar a la persona es muy pequeño.
La información desidentificada no es PHI, así que la Regla de Privacidad ya no la restringe. Sin embargo, en el trabajo diario, eliminar solo el nombre no es desidentificar. Una publicación que dice "la maestra de 34 años de Maple Street que ingresamos el martes con una herida de bala" puede identificar a alguien con facilidad.
Situaciones prácticas
Una pizarra. La pizarra de una unidad muestra números de habitación, apellidos de pacientes y su riesgo de caídas. Es PHI visible para cualquiera que pase. Las organizaciones reducen el riesgo colocando las pizarras fuera de la vista del público o usando información limitada, como las iniciales; siga la política de su unidad.
Una hoja de cálculo para un proyecto de calidad. Un gerente pide una hoja de cálculo con las tasas de infección. Si se va a compartir fuera del equipo, eliminar solo los nombres no basta: las fechas de ingreso, los códigos postales y los números de expediente también son identificadores. Pregunte a su oficial de privacidad si los datos pueden desidentificarse correctamente o si corresponde otra vía permitida.
Una foto en un teléfono. Una foto de una herida tomada para el expediente con un teléfono personal es ePHI en un dispositivo personal, aunque no se vea la cara. Use solo los dispositivos y las aplicaciones que su organización proporciona para las fotos clínicas.
Puntos clave
- La PHI es información identificable sobre la salud, la atención o el pago, en cualquier forma: hablada, en papel o electrónica.
- La ePHI es la PHI en forma electrónica; la Regla de Seguridad la protege.
- La desidentificación por Safe Harbor elimina 18 identificadores, entre ellos fechas, códigos postales, fotos y números de expediente.
- Eliminar solo el nombre no desidentifica la información.