La Regla de Privacidad fija los límites de cómo puede usarse la PHI (compartirse y manejarse dentro de la organización) y divulgarse (entregarse a cualquier persona ajena a ella). El principio básico es sencillo: una entidad cubierta no puede usar ni divulgar PHI salvo que la Regla de Privacidad lo permita o lo exija, o que el paciente dé su permiso por escrito.
Divulgaciones obligatorias
Una entidad cubierta debe divulgar PHI solo en dos situaciones:
- a la persona (o a su representante personal) cuando pide acceso a su propia información o un registro de divulgaciones;
- al HHS cuando está investigando una queja, haciendo una revisión de cumplimiento o tomando medidas de cumplimiento.
Tratamiento, pago y operaciones de atención médica (TPO)
La PHI puede usarse y divulgarse sin la autorización por escrito del paciente para:
- Tratamiento — prestar y coordinar la atención, las consultas y las derivaciones. Una enfermera que comparte información con el médico, o una clínica que envía el expediente a un especialista al que se deriva al paciente, es tratamiento.
- Pago — facturación, reclamaciones, verificación de la elegibilidad y cobro.
- Operaciones de atención médica — mejora de la calidad, capacitación, evaluaciones del personal, auditorías, servicios legales y gestión del negocio.
Otros usos y divulgaciones permitidos
- Familiares y amigos que participan en la atención. Si el paciente está presente y no se opone, o si es razonable deducir que no se opone, el personal puede compartir la información relacionada con la participación de esa persona en la atención o en el pago. Si el paciente no puede dar su consentimiento, el personal puede usar su criterio profesional sobre lo que más le conviene al paciente.
- Directorios del centro — un hospital puede incluir el nombre, la ubicación y el estado general de un paciente, salvo que el paciente se oponga.
- Fines de interés público — por ejemplo, cuando lo exige la ley; para informes de salud pública; denuncias de maltrato, abandono o violencia doméstica; supervisión de la salud; órdenes judiciales; ciertos fines policiales; para prevenir una amenaza grave para la salud o la seguridad; compensación laboral (workers' compensation); donación de órganos; y ciertas investigaciones. Cada caso tiene condiciones, y estas divulgaciones suelen tramitarlas personas capacitadas que siguen procedimientos escritos.
- Divulgaciones incidentales — que un visitante oiga parte de una conversación o vea un nombre en una hoja de registro no es una infracción si se aplicaron salvaguardas razonables y el principio del mínimo necesario. Una divulgación incidental es un efecto secundario de un uso permitido, no una excusa para el descuido.
Cuándo se necesita una autorización por escrito
Para los usos y divulgaciones que no estén permitidos de otro modo, el paciente debe firmar una autorización. Ejemplos: la mayor parte del marketing, la venta de PHI, la mayoría de los usos de las notas de psicoterapia y el envío del expediente a un empleador o a una aseguradora de vida a petición del paciente. Una autorización válida especifica qué puede divulgarse, a quién y con qué fin, tiene una fecha o un hecho de vencimiento y puede revocarse por escrito.
Mínimo necesario
Al usar, divulgar o solicitar PHI, la organización debe hacer esfuerzos razonables para limitarla al mínimo necesario para lograr el fin.
- El acceso suele basarse en la función: quien programa citas necesita la información de las citas, no las notas clínicas completas.
- Al enviar documentación para la facturación, envíe lo que necesita la reclamación, no el expediente completo.
El mínimo necesario no se aplica a las divulgaciones a un proveedor para el tratamiento, las divulgaciones al paciente, las divulgaciones hechas en virtud de una autorización firmada, las divulgaciones al HHS y las divulgaciones exigidas por la ley.
Representantes personales
Un representante personal —por ejemplo, en la mayoría de los casos el padre o la madre de un hijo menor de edad, o alguien con un poder notarial para decisiones de atención médica— por lo general tiene los mismos derechos que el paciente respecto de la información pertinente. La ley estatal influye en quién se considera representante, así que siga el procedimiento de su organización.
Situaciones prácticas
Una llamada de una vecina. Una persona llama, dice que es vecina de un paciente y pregunta cómo está. No se sabe que participe en su atención y él no ha dicho que quiera que se le informe. No confirme ni comparta información; ofrézcase a transmitirle un mensaje, siguiendo el procedimiento de su centro.
Un policía en la recepción. Un agente pide el expediente de un paciente. Algunas divulgaciones a las fuerzas del orden están permitidas, pero solo en condiciones concretas. No entregue documentos en el momento: remita la solicitud a la persona o al departamento que se encarga de la entrega de información.
Un colega que no forma parte del equipo de atención. Una enfermera de otra unidad le pregunta por una paciente que usted atiende, "solo para saber cómo está". Si la colega no tiene un motivo de tratamiento o de trabajo, compartir la información no es un uso permitido. El mínimo necesario también se aplica dentro de la organización.
Puntos clave
- La PHI solo puede usarse o divulgarse según lo que permite o exige la Regla de Privacidad, o con la autorización del paciente.
- El tratamiento, el pago y las operaciones de atención médica no necesitan autorización por escrito.
- Divulgaciones obligatorias: al paciente cuando la pide, y al HHS.
- Use y comparta solo el mínimo necesario, salvo para el tratamiento y algunos otros casos.