HIPAA: OCR publica novas perguntas frequentes esclarecendo divulgações entre entidades abrangidas
Em 26 de junho de 2019, o Departamento de Saúde e Serviços Humanos, Gabinete de Direitos Civis (OCR) publicou duas novas perguntas frequentes que esclarecem:
- Os parâmetros relativos às entidades abrangidas que partilham informações de saúde protegidas (PHI) para as operações de cuidados de saúde de uma entidade abrangida destinatária; e
- Que, uma vez que uma entidade abrangida receba PHI ao abrigo da HIPAA, a entidade abrangida destinatária pode utilizá-la e divulgá-la sem autorização individual, de qualquer forma permitida pela HIPAA (mesmo que seja diferente da razão pela qual a entidade abrangida recebeu inicialmente a PHI).
Estas perguntas frequentes, embora focadas em planos de saúde, esclarecem para todas as entidades abrangidas os tipos de divulgação de PHI que são permitidos para as operações de cuidados de saúde de uma entidade abrangida destinatária e que uma entidade abrangida não está restringida pela HIPAA a apenas usar e divulgar PHI para os fins para os quais foi inicialmente recebida.
Pergunta frequente 1: Divulgações para as operações de cuidados de saúde do destinatário
A primeira nova FAQ aborda a capacidade de uma entidade abrangida divulgar PHI a outra entidade abrangida para as operações de cuidados de saúde da entidade abrangida destinatária. As entidades abrangidas procuram cada vez mais partilhar PHI para fins de operações de cuidados de saúde no mundo interligado de hoje, e os parâmetros da HIPAA em torno dessas divulgações têm sido historicamente mal interpretados.
A HIPAA permite que uma entidade abrangida divulgue PHI a outra entidade abrangida para as atividades de cuidados de saúde do destinatário, se:
-
Cada entidade abrangida tem ou teve uma relação com o indivíduo cujas PHI estão a ser solicitadas;
-
A PHI diz respeito a essa relação; e
-
A divulgação é para um dos fins listados nos parágrafos (1) ou (2) da definição de «operações de cuidados de saúde» ou para fins de deteção de fraudes e abusos nos cuidados de saúde ou conformidade.
Os parágrafos (1) e (2) da definição de «operações de cuidados de saúde» incluem as seguintes atividades:
-
Realização de atividades de avaliação e melhoria da qualidade, incluindo avaliação de resultados e desenvolvimento de diretrizes clínicas, desde que a obtenção de conhecimento generalizável não seja o objetivo principal de quaisquer estudos resultantes de tais atividades; atividades relacionadas à segurança do paciente; atividades baseadas na população relacionadas à melhoria da saúde ou redução dos custos com cuidados de saúde, desenvolvimento de protocolos, gestão de casos e coordenação de cuidados, contato com prestadores de cuidados de saúde e pacientes com informações sobre alternativas de tratamento; e funções relacionadas que não incluem tratamento.
-
Avaliação da competência ou qualificações dos profissionais de saúde, avaliação do desempenho dos médicos e prestadores de serviços, desempenho dos planos de saúde, realização de programas de formação nos quais estudantes, estagiários ou profissionais da área da saúde aprendem, sob supervisão, a praticar ou melhorar as suas competências como prestadores de serviços de saúde, formação de profissionais não ligados à área da saúde, acreditação, certificação, licenciamento ou atividades de credenciamento.
A resposta da OCR às perguntas frequentes esclarece que, uma vez que a gestão de casos e a coordenação de cuidados estão entre as atividades listadas no parágrafo (1) da definição de operações de cuidados de saúde, se o Plano de Saúde A (uma entidade abrangida) fornecer seguro de saúde a um indivíduo que tenha acesso à rede de prestadores de outro plano fornecido pelo Plano de Saúde B, o Plano de Saúde A poderá divulgar as PHI ao Plano de Saúde B para que este possa coordenar os cuidados do indivíduo, sem autorização individual. A OCR incluiu um lembrete de que as divulgações continuam sujeitas aos requisitos mínimos necessários da HIPAA.
Pergunta frequente 2: Utilizações e divulgações por parte da entidade destinatária abrangida que diferem da razão pela qual as PHI foram inicialmente recebidas
A segunda FAQ esclarece que, se uma entidade abrangida tiver recebido PHI ao abrigo da HIPAA, a entidade abrangida destinatária pode utilizar e divulgar PHI conforme permitido pela HIPAA sem autorização individual. Este é o caso mesmo que a entidade abrangida tenha inicialmente recebido a PHI para uma finalidade diferente. A FAQ aborda então especificamente os planos de saúde que utilizam PHI que receberam para outra finalidade nas suas próprias comunicações de marketing.
A HIPAA proíbe as entidades abrangidas de utilizar ou divulgar as PHI de um indivíduo para fins de «marketing» sem autorização, salvo em casos excecionais. 45 C.F.R. § 164.508(a)(3). No entanto, a definição de«marketing»exclui, entre outras coisas, comunicações para descrever um produto ou serviço relacionado com a saúde (ou pagamento por tal produto ou serviço) que é fornecido por, ou incluído num plano de benefícios da, entidade abrangida que faz a comunicação, a menos que a entidade abrangida receba remuneração financeira em troca da comunicação.
Por exemplo, se o Plano de Saúde A divulgar PHI ao Plano de Saúde B, o Plano de Saúde B poderá então usar essas PHI conforme permitido pela HIPAA. A HIPAA permitiria que o Plano de Saúde B utilizasse as PHI do indivíduo para enviar comunicações sobre os produtos e serviços do Plano de Saúde B (por exemplo, um plano de saúde que possa substituir o plano de saúde atual do indivíduo), sem autorização individual, assumindo que o Plano de Saúde B não receba remuneração pelo envio da comunicação e cumpra quaisquer acordos comerciais aplicáveis.
As perguntas frequentes da OCR são fundamentais para compreender como a OCR interpreta os regulamentos da HIPAA. É provável que essas novas perguntas frequentes sejam amplamente utilizadas pelas entidades abrangidas, uma vez que elas utilizam e divulgam PHI para coordenação de cuidados, gestão de casos e outros fins no futuro.
