AVISO DE PRÁCTICAS DE PRIVACIDAD PARA INFORMACIÓN DE SALUD PROTEGIDA
[45 CFR 164.520]
Antecedentes
La Regla de Privacidad de HIPAA otorga a las personas un nuevo derecho fundamental a estar informados de las prácticas de privacidad de sus planes de salud y de la mayoría de sus proveedores de atención médica, así como a estar informados de sus derechos de privacidad con respecto a su información personal de salud. Se requiere que los planes de salud y los proveedores de atención médica cubiertos desarrollen y distribuyan un aviso que proporcione una explicación clara de estos derechos y prácticas. El aviso está destinado a enfocar a las personas en asuntos y preocupaciones de privacidad, y para instarlos a conversar con sus planes de salud y proveedores de atención médica y ejercer sus derechos.
Cómo funciona la regla
Regla general. La Regla de Privacidad establece que un individuo tiene derecho a recibir una notificación adecuada de cómo una entidad cubierta puede usar y divulgar información de salud protegida sobre el individuo, así como sus derechos y las obligaciones de la entidad cubierta con respecto a esa información. La mayoría de las entidades cubiertas deben desarrollar y proporcionar a las personas este aviso de sus prácticas de privacidad.
La Regla de privacidad no requiere que las siguientes entidades cubiertas desarrollen un aviso:
- Centros de intercambio de información médica, si la única información médica protegida que crean o reciben es como un socio comercial de otra entidad cubierta. Consulte 45 CFR 164.500 (b) (1).
- Una institución correccional que es una entidad cubierta (por ejemplo, que tiene un componente de proveedor de atención médica cubierto).
- Un plan de salud grupal que brinda beneficios solo a través de uno o más contratos de seguro con emisores de seguros de salud o HMO, y que no crea ni recibe información de salud protegida que no sea información de salud resumida o información de inscripción o desafiliación.
Ver 45 CFR 164.520 (a).
Contenido del aviso. Las entidades cubiertas deben proporcionar un aviso en lenguaje simple que describe:
- Cómo la entidad cubierta puede usar y divulgar información de salud protegida sobre un individuo.
- Los derechos del individuo con respecto a la información y cómo el individuo puede ejercer estos derechos, incluida la forma en que el individuo puede presentar una queja ante la entidad cubierta.
- Las obligaciones legales de la entidad cubierta con respecto a la información, incluida una declaración de que la entidad cubierta está obligada por ley a mantener la privacidad de la información de salud protegida.
- Con quién pueden comunicarse las personas para obtener más información sobre las políticas de privacidad de la entidad cubierta.
El aviso debe incluir una fecha de vigencia. Consulte 45 CFR 164.520 (b) para conocer los requisitos específicos para desarrollar el contenido del aviso. Se requiere que una entidad cubierta revise y distribuya rápidamente su aviso cada vez que realice cambios materiales en cualquiera de sus prácticas de privacidad. Consulte 45 CFR 164.520 (b) (3), 164.520 (c) (1) (i) (C) para planes de salud y 164.520 (c) (2) (iv) para proveedores de atención médica cubiertos con relaciones de tratamiento directo con individuos .
Proporcionar el aviso.
- Una entidad cubierta debe poner su aviso a disposición de cualquier persona que lo solicite.
- Una entidad cubierta debe publicar de manera destacada y poner a disposición su aviso en cualquier sitio web que mantenga que brinde información sobre sus servicios o beneficios para el cliente.
- Planes de Salud también debe:
- Proporcione el aviso a las personas cubiertas por el plan a más tardar en abril 14, 2003 (abril 14, 2004, para planes de salud pequeños) y a los nuevos afiliados al momento de la inscripción.
- Proporcione un aviso revisado a las personas cubiertas por el plan dentro de los días 60 de una revisión material.
- Notifique a las personas cubiertas por el plan sobre la disponibilidad y cómo obtener el aviso al menos una vez cada tres años.
- Proveedores de tratamiento directo cubiertos también debe:
- Proporcione el aviso a la persona a más tardar en la fecha de la primera entrega del servicio (después de la fecha de cumplimiento de 14, 2003 de abril de la Regla de Privacidad) y, excepto en una situación de tratamiento de emergencia, haga un esfuerzo de buena fe para obtener el reconocimiento por escrito de la persona recibo del aviso. Si no se puede obtener un reconocimiento, el proveedor debe documentar sus esfuerzos para obtener el reconocimiento y la razón por la cual no se obtuvo.
- Cuando la primera entrega de servicios a un individuo se proporciona a través de Internet, por correo electrónico o de otro modo por vía electrónica, el proveedor debe enviar un aviso electrónico de forma automática y contemporánea en respuesta a la primera solicitud de servicio del individuo. El proveedor debe hacer un esfuerzo de buena fe para obtener un acuse de recibo u otra transmisión de la persona en respuesta a la recepción de la notificación.
- En una situación de tratamiento de emergencia, proporcione el aviso tan pronto como sea razonablemente posible hacerlo después de que la situación de emergencia haya terminado. En estas situaciones, los proveedores no están obligados a hacer un esfuerzo de buena fe para obtener un reconocimiento por escrito de las personas.
- Haga que el último aviso (es decir, el que refleja los cambios en las políticas de privacidad) esté disponible en la oficina o instalación del proveedor para que las personas lo soliciten y lo publique en un lugar claro y prominente en el centro.
- Una entidad cubierta puede enviar el aviso por correo electrónico a una persona si esta acepta recibir una notificación electrónica.
Consulte 45 CFR 164.520 (c) para conocer los requisitos específicos para proporcionar el aviso.
Opciones de organización.
- Cualquier entidad cubierta, incluida una entidad híbrida o una entidad cubierta afiliada, puede optar por desarrollar más de un aviso, como cuando una entidad realiza diferentes tipos de funciones cubiertas (es decir, las funciones que lo convierten en un plan de salud, un proveedor de atención médica , o un centro de intercambio de información sobre salud) y existen variaciones en sus prácticas de privacidad entre estas funciones cubiertas. Se alienta a las entidades cubiertas a proporcionar a las personas la notificación más específica posible.
- Las entidades cubiertas que participan en un acuerdo organizado de atención médica pueden optar por producir un aviso único y conjunto si se cumplen ciertos requisitos. Por ejemplo, el aviso conjunto debe describir las entidades cubiertas y los sitios de prestación de servicios a los que se aplica. Si alguna de las entidades cubiertas participantes proporciona la notificación conjunta a una persona, el requisito de distribución de notificaciones con respecto a esa persona se cumple para todas las entidades cubiertas. Consulte 45 CFR 164.520 (d).