Gérer l'impact commercial du coronavirus : implications pour les soins de santé

« En général, sauf dans les circonstances limitées décrites ailleurs dans le présent bulletin, la divulgation aux médias ou au grand public d'informations permettant d'identifier un patient, ou la divulgation au public ou aux médias d'informations spécifiques sur le traitement d'un patient identifiable, telles que des tests spécifiques, des résultats de tests ou des détails sur la maladie d'un patient, ne peut être effectuée sans l'autorisation écrite du patient [.] » (Département de la Santé et des Services sociaux, commentant les restrictions imposées par la loi HIPAA en matière de divulgation d'informations relatives aux patients atteints du COVID-19)

Le coronavirus (provisoirement nommé SARS-CoV-2, la maladie étant appelée COVID-19) a désormais été recensé dans plus de 100 pays et territoires. Plus de 120 000 cas ont été recensés à travers le monde, entraînant plus de 4 000 décès, avec un triplement des cas hors de Chine au cours de la seule semaine dernière. Aux États-Unis, plus de 1 000 cas ont été signalés dans au moins 23 États, entraînant 29 décès. Le coronavirus a eu un impact sur les voyages nationaux et internationaux, le Centre pour le contrôle et la prévention des maladies ayant émis une alerte de niveau 3 (éviter les voyages non essentiels) pour les voyages en Chine, en Iran, en Corée du Sud et en Italie, et une alerte de niveau 2 (prendre des précautions renforcées) pour les voyages au Japon. En outre, de nombreuses entreprises ont imposé des restrictions sur les voyages de leurs employés à l'étranger et dans leur propre pays. Twitter, Amazon, Salesforce et Nike, ainsi que de nombreux fabricants et sociétés de services professionnels, font partie des entreprises qui interdisent certains voyages à leurs employés en raison du coronavirus. De nombreux collèges et universités à travers le monde, y compris aux États-Unis, ont suspendu les cours en présentiel et certains événements jusqu'à différentes dates en avril, exhortant les personnes présentes sur le campus à pratiquer une « distanciation sociale » appropriée afin d'arrêter ou de ralentir la propagation du coronavirus. 

Afin de rappeler aux entités concernées les paramètres relatifs à la divulgation d'informations médicales protégées (PHI) sans autorisation individuelle, le ministère américain de la Santé et des Services sociaux (HHS) a publié un bulletin intitulé « HIPAA Privacy and Novel Coronavirus » (Confidentialité HIPAA et nouveau coronavirus). Ce bulletin décrit différentes façons dont les informations médicales protégées liées au COVID-19 peuvent être divulguées sans l'autorisation du patient.

Pour rappel, la loi HIPAA et ses règlements d'application exigent que les entités concernées obtiennent une autorisation écrite individuelle avant d'utiliser et de divulguer des informations médicales protégées, sauf exception. La loi HIPAA s'applique uniquement aux entités concernées (régimes de santé, la plupart des prestataires de soins de santé et centres d'échange d'informations sur les soins de santé) et à leurs partenaires commerciaux. Elle ne s'applique pas aux employeurs qui utilisent et divulguent des informations sur leurs employés figurant dans les dossiers d'emploi (par opposition aux dossiers du régime d'assurance maladie de l'employeur). En d'autres termes, un employeur n'est pas soumis à la loi HIPAA simplement parce qu'il reçoit des informations relatives à la santé d'un employé, par exemple le fait que celui-ci a été testé positif au COVID-19. (Ces informations peuvent toutefois être régies par d'autres lois sur la protection de la vie privée).

La loi HIPAA prévoit un certain nombre d'exceptions à l'obligation d'autorisation qui peuvent concerner les entités couvertes traitant des patients atteints du COVID-19. Voici quelques-unes des questions les plus fréquemment posées par les entités couvertes :

Pouvons-nous utiliser et divulguer des informations médicales protégées à des fins thérapeutiques sans l'autorisation du patient ? Oui. Les entités couvertes sont autorisées à utiliser et à divulguer des informations médicales protégées à des fins thérapeutiques sans autorisation individuelle. Cela inclut l'utilisation et la divulgation d'informations médicales protégées pour le traitement du patient ou d'autres patients.

Pouvons-nous divulguer des informations médicales protégées au CDC ou à un service de santé local ou régional sans l'autorisation du patient ? Oui. La loi HIPAA autorise les entités concernées à divulguer des informations médicales protégées sans autorisation individuelle à une autorité de santé publique, telle que le CDC ou un service de santé local ou régional, qui est légalement autorisée à collecter ou à recevoir ces informations dans le but de prévenir ou de contrôler des maladies.

Pouvons-nous informer les personnes qui auraient pu être exposées au COVID-19 ? Oui, dans certaines circonstances. Les entités couvertes peuvent divulguer des informations médicales protégées à une personne qui pourrait avoir été exposée au COVID-19 ou qui pourrait autrement courir le risque de contracter ou de propager le COVID-19, si une autre loi (telle qu'une loi d'État) autorise l'entité couverte à informer cette personne. En outre, la loi HIPAA autorise une entité couverte à divulguer des informations médicales protégées à une personne raisonnablement capable de prévenir ou d'atténuer une menace, si l'entité couverte estime de bonne foi que la divulgation est nécessaire pour prévenir ou atténuer une menace grave et imminente pour la santé ou la sécurité d'une personne ou du public. Il convient de noter que la bonne foi est présumée si cette conviction est fondée sur les connaissances réelles de l'entité couverte ou sur une déclaration crédible d'une personne disposant de connaissances ou d'une autorité apparentes.

Pouvons-nous fournir des informations à la famille, aux amis ou à d'autres personnes impliquées dans les soins prodigués à un patient ? De manière générale, la loi HIPAA autorise les entités concernées à divulguer des informations directement liées à l'implication d'une personne dans les soins prodigués à un patient si ce dernier y consent, ne s'y oppose pas lorsqu'il en a la possibilité ou si l'entité concernée déduit raisonnablement des circonstances, sur la base de son jugement professionnel, que le patient ne s'oppose pas à cette divulgation. Lorsque les patients ne sont pas présents ou qu'il n'est pas possible de leur donner la possibilité d'accepter ou de s'opposer à l'utilisation ou à la divulgation en raison de leur incapacité ou d'une situation d'urgence, l'entité couverte peut, en exerçant son jugement professionnel, déterminer si la divulgation est dans l'intérêt du patient et, si tel est le cas, ne divulguer que les informations médicales protégées qui sont directement liées à l'implication de la personne dans les soins prodigués au patient.

Comment répondre si quelqu'un appelle pour demander l'état actuel d'un patient ? Si quelqu'un appelle et demande à parler à un patient en donnant son nom, l'entité couverte peut divulguer l'emplacement du patient dans l'établissement et son état de santé en termes généraux qui ne communiquent pas d'informations médicales spécifiques sur le patient (par exemple, état critique ou stable, décédé ou traité et sorti). L'entité couverte doit informer le patient des informations médicales protégées qu'elle peut inclure dans un annuaire de l'établissement et des personnes à qui elle peut divulguer ces informations, et donner au patient la possibilité de restreindre ou d'interdire la divulgation. Lorsque la possibilité de s'opposer ne peut être offerte dans la pratique parce que le patient est incapable ou reçoit des soins d'urgence, les informations contenues dans l'annuaire de l'établissement peuvent être divulguées si cette divulgation est conforme à une préférence exprimée au préalable par le patient, le cas échéant, qui est connue de l'entité couverte et dans l'intérêt supérieur de la personne, tel que déterminé par l'entité couverte, dans l'exercice de son jugement professionnel.

Veuillez noter que l'autorisation du patient est requise pour divulguer des informations médicales protégées aux médias, sauf si la divulgation correspond à l'une des exceptions mentionnées ci-dessus. Les entités concernées doivent tenir compte des exigences minimales requises par la loi HIPAA lorsqu'elles procèdent aux divulgations susmentionnées. 

Pour plus d'informations, consultez le bulletin du HHS : HIPAA Privacy and Novel Coronavirus (Confidentialité HIPAA et nouveau coronavirus) et les réglementations HIPAA applicables aux articles 45 C.F.R. § 164.506, 45 C.F.R. § 164.510 et 45 C.F.R. § 164.512. Remarque : ce résumé explique comment la loi HIPAA autorise les entités couvertes à utiliser et à divulguer des informations médicales protégées sans autorisation. La loi fédérale 42 C.F.R. Partie 2 (Partie 2), applicable à certaines informations relatives aux troubles liés à l'usage de substances, et la loi de l'État peuvent être, et sont souvent, plus strictes que la loi HIPAA. La Partie 2 exigera une autorisation individuelle pour la plupart des divulgations mentionnées ci-dessus. Si une loi étatique plus stricte en matière de confidentialité exige une autorisation individuelle pour utiliser ou divulguer les informations, une autorisation individuelle sera requise, sauf si les autorités étatiques accordent une dérogation à ces exigences dans le cadre d'une ordonnance d'urgence ou si cette divulgation est requise en vertu d'une autre loi étatique, telle qu'une loi sur la déclaration des maladies infectieuses ou de santé publique. Nous vous recommandons de consulter les sites web des départements de la santé des États concernés pour obtenir des informations supplémentaires sur les exigences en matière de déclaration du COVID-19.

Pour plus d'informations sur les mesures recommandées, veuillez contacter votre partenaire Foley. Pour obtenir d'autres ressources en ligne susceptibles de vous aider à surveiller la propagation du coronavirus à l'échelle mondiale, vous pouvez consulter les sites du CDC et de l'Organisation mondiale de la santé. 

Foley continuera à vous tenir au courant des développements pertinents. Cliquez ici pour accéder au centre de ressources sur le coronavirus de Foley et obtenir des informations et des ressources pour soutenir votre entreprise pendant cette période difficile.