A Privacy Rule define os limites da forma como a PHI pode ser utilizada (partilhada e tratada dentro da organização) e divulgada (entregue a qualquer pessoa fora dela). O princípio básico é simples: uma entidade abrangida não pode utilizar nem divulgar PHI, a menos que a Privacy Rule o permita ou exija, ou que o doente dê autorização escrita.
Divulgações obrigatórias
Uma entidade abrangida tem de divulgar PHI em apenas duas situações:
- ao próprio (ou ao seu representante pessoal), quando pede acesso à sua informação ou um registo das divulgações;
- ao HHS, quando este investiga uma queixa, faz uma revisão de conformidade ou toma medidas de execução.
Tratamento, pagamento e operações de cuidados de saúde (TPO)
A PHI pode ser utilizada e divulgada sem autorização escrita do doente para:
- Tratamento (treatment) — prestar e coordenar cuidados, consultas e encaminhamentos. Uma enfermeira que partilha informação com o médico, ou uma clínica que envia processos a um especialista para quem o doente é encaminhado, está a tratar.
- Pagamento (payment) — faturação, pedidos de reembolso, verificação de elegibilidade e cobrança.
- Operações de cuidados de saúde (health care operations) — melhoria da qualidade, formação, avaliações do pessoal, auditorias, serviços jurídicos e gestão da atividade.
Outras utilizações e divulgações permitidas
- Familiares e amigos envolvidos nos cuidados. Se o doente estiver presente e não se opuser, ou se for razoável inferir que não se opõe, o pessoal pode partilhar a informação relevante para o envolvimento dessa pessoa nos cuidados ou no pagamento. Se o doente não puder dar o seu acordo, o pessoal pode usar o seu juízo profissional sobre o que é melhor para ele.
- Listas de doentes internados — um hospital pode indicar o nome, a localização e o estado geral de um doente, a menos que este se oponha.
- Fins de interesse público — por exemplo, quando a lei o exige; comunicações de saúde pública; denúncias de abuso, negligência ou violência doméstica; supervisão da saúde; ordens judiciais; certos fins de aplicação da lei; prevenção de uma ameaça grave à saúde ou à segurança; acidentes de trabalho; doação de órgãos; e certa investigação. Cada um tem condições, e estas divulgações costumam ser tratadas por pessoal formado, seguindo procedimentos escritos.
- Divulgações acidentais — um visitante que ouve parte de uma conversa, ou que vê um nome numa folha de registo, não é uma infração se foram aplicadas salvaguardas razoáveis e o mínimo necessário. Uma divulgação acidental é um subproduto de uma utilização permitida, não uma desculpa para descuido.
Quando é necessária autorização escrita
Para utilizações e divulgações que não sejam permitidas de outra forma, o doente tem de assinar uma autorização. Exemplos: a maior parte do marketing, a venda de PHI, a maior parte das utilizações das notas de psicoterapia e o envio de processos a um empregador ou a uma seguradora de vida a pedido do doente. Uma autorização válida é específica quanto ao que pode ser divulgado, a quem e para que fim, tem uma data ou um evento de caducidade e pode ser revogada por escrito.
Mínimo necessário
Ao utilizar, divulgar ou pedir PHI, a organização tem de fazer esforços razoáveis para a limitar ao mínimo necessário para atingir o fim em causa.
- O acesso é normalmente por função: quem marca consultas precisa da informação das marcações, não das notas clínicas completas.
- Ao enviar processos para faturação, envie o que o pedido de reembolso exige, não o processo inteiro.
O mínimo necessário não se aplica às divulgações a um prestador para tratamento, às divulgações ao doente, às divulgações feitas ao abrigo de uma autorização assinada, às divulgações ao HHS e às divulgações exigidas por lei.
Representantes pessoais
Um representante pessoal — por exemplo, o pai ou a mãe de um menor, na maioria dos casos, ou alguém com procuração para cuidados de saúde — tem em geral os mesmos direitos que o doente quanto à informação relevante. A lei estadual influencia quem conta como tal, pelo que deve seguir o procedimento da organização.
Cenários
Um telefonema de uma vizinha. Uma pessoa diz ser vizinha de um doente e pergunta como ele está. Não se sabe que esteja envolvida nos cuidados, e ele não disse que quer que ela seja informada. Não confirme nem partilhe informação; ofereça-se para transmitir um recado, seguindo o procedimento da sua unidade.
Um agente da polícia na receção. Um agente pede os registos de um doente. Algumas divulgações às autoridades são permitidas, mas só em condições específicas. Não entregue os registos de imediato — encaminhe o pedido para a pessoa ou o departamento que trata da divulgação de informação.
Um colega que não faz parte da equipa de cuidados. Uma enfermeira de outro serviço pergunta-lhe por uma doente de que está a cuidar, "só para saber como ela está". Se o colega não tem motivo de tratamento nem de trabalho, a partilha não é uma utilização permitida. O mínimo necessário aplica-se também dentro da organização.
Pontos-chave
- A PHI só pode ser utilizada ou divulgada como a Privacy Rule permite ou exige, ou com a autorização do doente.
- Tratamento, pagamento e operações de cuidados de saúde não precisam de autorização escrita.
- Divulgações obrigatórias: ao doente, a seu pedido, e ao HHS.
- Utilize e partilhe apenas o mínimo necessário — exceto para tratamento e alguns outros casos.