Gerir o impacto comercial do coronavírus: implicações para os cuidados de saúde

«Em geral, exceto nas circunstâncias limitadas descritas noutra parte deste Boletim, a divulgação afirmativa à comunicação social ou ao público em geral sobre um paciente identificável, ou a divulgação ao público ou à comunicação social de informações específicas sobre o tratamento de um paciente identificável, tais como exames específicos, resultados de exames ou detalhes da doença de um paciente, não pode ser feita sem a autorização por escrito do paciente[.]» (Departamento de Saúde e Serviços Humanos, comentando sobre as limitações da HIPAA à divulgação de informações de pacientes relacionadas à COVID-19)

O coronavírus (provisoriamente denominado SARS-CoV-2, com a doença a ser denominada COVID-19) já foi documentado em mais de 100 países e territórios. Mais de 120 000 casos foram documentados em todo o mundo, resultando em mais de 4000 mortes, com os casos fora da China a triplicarem apenas na última semana. Nos Estados Unidos, foram relatados mais de 1000 casos em pelo menos 23 estados, resultando em 29 mortes. O coronavírus afetou as viagens domésticas e internacionais, uma vez que os Centros de Controlo e Prevenção de Doenças emitiram um Alerta – Nível 3 (Evitar viagens não essenciais) para viagens à China, Irão, Coreia do Sul e Itália, e emitiram um Alerta – Nível 2 (Tomar precauções reforçadas) para viagens ao Japão. Além disso, muitas empresas impuseram restrições às viagens domésticas e internacionais dos seus funcionários. O Twitter, a Amazon, a Salesforce e a Nike, além de dezenas de fabricantes e empresas de serviços profissionais, estão entre as empresas que proibiram certas viagens de funcionários devido ao coronavírus. Muitas faculdades e universidades em todo o mundo, incluindo nos Estados Unidos, suspenderam as aulas presenciais e certos eventos até várias datas em abril, instando aqueles que estão no campus a praticar o «distanciamento social» adequado, a fim de parar ou retardar a propagação do coronavírus. 

Para lembrar às entidades abrangidas os parâmetros relativos à divulgação de informações de saúde protegidas (PHI) sem autorização individual, o Departamento de Saúde e Serviços Humanos (HHS) publicou um Boletim: Privacidade HIPAA e Novo Coronavírus. O Boletim descreve várias formas pelas quais as PHI relacionadas com a COVID-19 podem ser divulgadas sem a autorização do paciente.

Como pano de fundo, a HIPAA e os seus regulamentos de implementação exigem que as entidades abrangidas obtenham autorização individual por escrito antes de utilizar e divulgar PHI, a menos que se aplique uma exceção. A HIPAA aplica-se apenas a entidades abrangidas (planos de saúde, a maioria dos prestadores de cuidados de saúde e centros de processamento de informações de saúde) e seus parceiros comerciais. Não se aplica a empregadores que utilizam e divulgam informações sobre os seus funcionários que estão contidas nos registos de emprego (em oposição aos registos do plano de saúde do empregador). Ou seja, um empregador não é regulamentado pela HIPAA simplesmente porque recebe informações relacionadas com a saúde de um funcionário, como, por exemplo, que o funcionário testou positivo para COVID-19. (No entanto, essas informações podem ser regidas por outras leis de privacidade.)

A HIPAA tem várias exceções ao requisito de autorização que podem ser relevantes para entidades abrangidas que tratam pacientes com COVID-19. Aqui estão algumas das perguntas mais comuns feitas pelas entidades abrangidas:

Podemos usar e divulgar PHI para fins de tratamento sem a autorização do paciente? Sim. As entidades abrangidas estão autorizadas a usar e divulgar PHI para fins de tratamento sem autorização individual. Isso inclui o uso e a divulgação de PHI para o tratamento do paciente ou de outros pacientes.

Podemos divulgar PHI ao CDC ou a um departamento de saúde estadual ou local sem a autorização do paciente? Sim. A HIPAA permite que as entidades abrangidas divulguem PHI sem autorização individual a uma autoridade de saúde pública, como o CDC ou um departamento de saúde estadual ou local, que esteja autorizada por lei a recolher ou receber tais informações com o objetivo de prevenir ou controlar doenças.

Podemos notificar pessoas que possam ter sido expostas à COVID-19? Sim, em determinadas circunstâncias. As entidades abrangidas podem divulgar PHI a uma pessoa que possa ter sido exposta à COVID-19 ou que possa estar em risco de contrair ou propagar a COVID-19, se outra lei (como a lei estadual) autorizar a entidade abrangida a notificar essa pessoa. Além disso, a HIPAA permite que uma entidade abrangida divulgue PHI a uma pessoa razoavelmente capaz de prevenir ou diminuir uma ameaça, se a entidade abrangida acreditar, de boa-fé, que a divulgação é necessária para prevenir ou diminuir uma ameaça grave e iminente à saúde ou segurança de uma pessoa ou do público. Note-se que a boa-fé é presumida se a crença se basear no conhecimento real da entidade abrangida ou na confiança numa representação credível por parte de uma pessoa com conhecimento ou autoridade aparentes.

Podemos fornecer informações à família, amigos ou outras pessoas envolvidas nos cuidados do paciente? De modo geral, a HIPAA permite que as entidades abrangidas divulguem informações diretamente relevantes para o envolvimento de uma pessoa nos cuidados de um paciente se o paciente concordar, não se opuser quando tiver a oportunidade de se opor ou se a entidade abrangida inferir razoavelmente, com base no exercício do seu julgamento profissional, que o paciente não se opõe à divulgação. Quando os pacientes não estão presentes, ou a oportunidade de concordar ou se opor ao uso ou divulgação não pode ser praticável devido à incapacidade do paciente ou a uma circunstância de emergência, a entidade abrangida pode, no exercício do seu julgamento profissional, determinar se a divulgação é do melhor interesse do paciente e, em caso afirmativo, divulgar apenas as PHI que são diretamente relevantes para o envolvimento da pessoa nos cuidados do paciente.

Como podemos responder se alguém ligar a perguntar pelo estado atual de um paciente? Se alguém ligar e perguntar por um paciente pelo nome, a entidade abrangida pode divulgar a localização do paciente nas instalações e o seu estado em termos gerais, sem comunicar informações médicas específicas sobre o paciente (por exemplo, estado crítico ou estável, falecido ou tratado e liberado). A entidade abrangida deve informar o paciente sobre as PHI que pode incluir num diretório da instituição e as pessoas a quem pode divulgar tais informações, além de fornecer ao paciente a oportunidade de restringir ou proibir a divulgação. Quando a oportunidade de se opor não puder ser praticamente fornecida porque o paciente está incapacitado ou a receber tratamento de emergência, as divulgações do diretório da instituição podem ser feitas se tal divulgação for consistente com uma preferência prévia expressa pelo paciente, se houver, que seja do conhecimento da entidade abrangida e no melhor interesse do indivíduo, conforme determinado pela entidade abrangida, no exercício do seu julgamento profissional.

Observe que é necessária a autorização do paciente para divulgar PHI à mídia, a menos que a divulgação se enquadre em uma das exceções discutidas acima. As entidades abrangidas devem estar cientes dos requisitos mínimos necessários da HIPAA ao fazer as divulgações acima. 

Para obter mais informações, consulte o Boletim do HHS : Privacidade HIPAA e Novo Coronavírus e os regulamentos HIPAA aplicáveis em 45 C.F.R. § 164.506, 45 C.F.R. § 164.510 e 45 C.F.R. § 164.512. Observação: este resumo discute como a HIPAA permite que entidades cobertas utilizem e divulguem PHI sem autorização. A lei federal 42 C.F.R. Parte 2 (Parte 2), aplicável a determinadas informações sobre transtornos relacionados ao uso de substâncias, e a lei estadual podem ser, e muitas vezes são, mais rigorosas do que a HIPAA. A Parte 2 exigirá autorização individual para a maioria das divulgações discutidas acima. Se uma lei estadual de privacidade mais rigorosa exigir autorização individual para usar ou divulgar as informações, a autorização individual será necessária, a menos que as autoridades estaduais emitam uma isenção de tais requisitos sob uma ordem de emergência ou que tal divulgação seja exigida por outra lei estadual, como uma lei de notificação relacionada a doenças infecciosas ou saúde pública. Recomendamos consultar os sites dos departamentos de saúde estaduais aplicáveis para obter informações adicionais sobre os requisitos de notificação da COVID-19.

Para obter mais informações sobre as medidas recomendadas, contacte o seu parceiro de relações Foley. Para obter recursos adicionais baseados na Internet disponíveis para o ajudar a monitorizar a propagação do coronavírus a nível global, poderá visitar o CDC e a Organização Mundial de Saúde. 

A Foley continuará a mantê-lo informado sobre os desenvolvimentos relevantes. Clique aqui para aceder ao Centro de Recursos Coronavírus da Foley para obter informações e recursos para apoiar o seu negócio durante este período desafiante.