HIPAA: Las enmiendas para proteger la información sobre la atención médica reproductiva ya pueden implementarse con la norma definitiva de la OCR.
Las entidades reguladas por la HIPAA ya pueden comenzar a aplicar las enmiendas a la Norma de Privacidad de la HIPAA para proporcionar protecciones adicionales a la información sobre la salud reproductiva emitida por la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos (OCR) a principios de este año. Las entidades reguladas por la HIPAA no están obligadas a cumplir los nuevos requisitos hasta el 23 de diciembre de 2024 (con una fecha de cumplimiento posterior para los cambios requeridos en el Aviso de Prácticas de Privacidad (NPP)). Sin embargo, el mensaje de la OCR es que se anima a las entidades reguladas por la HIPAA a comenzar a implementar los cambios el 25 de junio de 2024, fecha de entrada en vigor de la norma definitiva. En esa fecha, la directora de la OCR, Melanie Fontes Rainer, declaró:
«La OCR anima a las entidades y socios comerciales cubiertos por la HIPAA a que comiencen a aplicar hoy mismo los nuevos requisitos de la Norma de Privacidad. Los pacientes merecen contar con estas protecciones de privacidad lo antes posible».
La «atención sanitaria reproductiva»se define de manera amplia en las enmiendas a la Norma de Privacidad de la HIPAA como la atención sanitaria que afecta a la salud de una persona en todos los aspectos relacionados con el sistema reproductivo y sus funciones y procesos. Las enmiendas se pueden resumir en tres componentes principales:
- Usos y divulgaciones prohibidosLas entidades reguladas por la HIPAA no pueden utilizar ni divulgar información médica protegida (PHI). para cualquiera de las siguientes actividades (Actividades prohibidas):
- Llevar a cabo una investigación penal, civil o administrativa sobre cualquier persona por el mero hecho de buscar, obtener, proporcionar o facilitar atención sanitaria reproductiva.
- Imponer responsabilidad penal, civil o administrativa a cualquier persona por el mero hecho de buscar, obtener, proporcionar o facilitar atención de salud reproductiva.
- Identificar a cualquier persona para cualquiera de los fines anteriores.
«Buscar, obtener, proporcionar o facilitar atención sanitaria reproductiva» incluye, entre otros , expresar interés en, utilizar, realizar, suministrar, pagar, difundir información sobre, organizar, asegurar, administrar, autorizar, proporcionar cobertura, aprobar, asesorar, ayudar o tomar cualquier otra medida para participar en la atención sanitaria reproductiva; o intentar cualquiera de estas acciones.
Esta prohibición se aplica cuando la actividad está relacionada con cualquier persona que solicite, obtenga, proporcione o facilite atención de salud reproductiva y la entidad regulada por la HIPAA haya determinado que la atención de salud reproductiva es legal o está protegida por la ley. Se presume que la atención de salud reproductiva es legal, a menos que la entidad regulada por la HIPAA tenga conocimiento real de lo contrario o que el solicitante proporcione información factual que demuestre una «base factual sustancial» de que la atención de salud reproductiva era ilegal.
La OCR publicó una hoja informativa con ejemplos para ayudar a las entidades reguladas por la HIPAA a aplicar las enmiendas. La hoja informativa establece que la HIPAA sigue permitiendo a las entidades reguladas por la HIPAA «utilizar o divulgar la PHI para los fines permitidos por la Norma de Privacidad cuando la solicitud de uso o divulgación de la PHI no se haga con el fin de investigar o imponer responsabilidad a ninguna persona por el mero hecho de buscar, obtener, proporcionar o facilitar atención sanitaria reproductiva». A continuación, la OCR ofrece como ejemplo de dicho uso o divulgación el caso de un proveedor de atención médica cubierto que utiliza o divulga la PHI «para defenderse en una investigación o procedimiento relacionado con una falta profesional o negligencia, cuando la supuesta falta profesional o negligencia esté relacionada con la prestación de atención médica reproductiva».
- Certificación. Las entidades reguladas por la HIPAA deben obtener una certificación antes de utilizar o divulgar información sobre la atención de la salud reproductiva a organismos de supervisión sanitaria, fuerzas del orden, médicos forenses o examinadores médicos, o en procedimientos judiciales o administrativos (incluidas las respuestas a citaciones y órdenes judiciales). La certificación debe incluir una declaración de que la información no se utilizará para las actividades prohibidas y debe estar firmada por la persona que solicita la información, entre otros elementos. La OCR proporcionó un modelo de certificación.
- Actualización del NPP. Para el 16 de febrero de 2026, todas las entidades cubiertas por la HIPAA deben actualizar su NPP para (i) indicar que la entidad cubierta no utilizará ni divulgará la PHI para las actividades prohibidas e incluir un ejemplo del tipo de uso o divulgación que está prohibido; y (ii) incluir una descripción y un ejemplo de los tipos de actividades que requieren una certificación.
Próximos pasos para las entidades reguladas por la HIPAA
Las entidades reguladas por la HIPAA deberán implementar lo siguiente:
- Una revisión interna del proceso de la entidad regulada por la HIPAA para revisar y divulgar información de conformidad con una solicitud de registros médicos o información para comprender qué cambios son necesarios, si los hay. Esto deberá incluir un proceso para garantizar que se obtenga una certificación para todas las divulgaciones a organismos de supervisión sanitaria, fuerzas del orden, forenses o médicos forenses, o en procedimientos judiciales o administrativos en los que se vea involucrada cualquier información sobre atención sanitaria reproductiva, incluso si la entidad cubierta no cree que la atención sanitaria reproductiva de la persona sea el objeto de la solicitud.
- Una revisión y actualización de la NPP actual de la entidad cubierta. Además, los socios comerciales también deben revisar las NPP de sus entidades cubiertas ascendentes para garantizar el cumplimiento.
- Políticas y procedimientos para implementar, capacitar y auditar contra los usos y divulgaciones prohibidos que impondrán las nuevas regulaciones.
La normativa sobre privacidad de los datos sanitarios ha evolucionado rápidamente durante la primera mitad de 2024. Si tiene alguna pregunta sobre la aplicación de los requisitos anteriores y otros cambios recientes en las leyes de privacidad de los datos sanitarios, póngase en contacto con cualquiera de los autores o con cualquiera de los socios o asesores jurídicos sénior delGrupo de Ciberseguridad y Privacidad de Datoso del Grupo de Práctica Sanitaria de Foley.
