¿Qué es HIPAA y cómo afecta nuestra comprensión del coronavirus?

La ley ampliamente mal entendida se invoca para limitar el acceso a los datos de COVID-19

Hospital Lenox Hill en Manhattan, Nueva York, el 7 de abril de 2020. (John Nacion/STAR MAX/IPx)

Este explicador fue publicado originalmente en Cubriendo COVID-19 , nuestro informe diario de Poynter sobre periodismo y coronavirus, escrito por el profesorado senior Al Tompkins. Regístrese aquí para recibirlo en su bandeja de entrada todas las mañanas de lunes a viernes.

Nada nos ayudaría más a comprender la gravedad de la situación de COVID-19 que si pudiéramos ver los efectos que se desarrollan en nuestros hospitales.

Los hospitales están impidiendo que los periodistas documenten cómo es dentro de sus paredes y la escasez de ventiladores y otros suministros, por lo que confiamos en las redes sociales y entrevistas con medicos . Pero ver para creer, dice el viejo refrán. Es cierto en la guerra, es cierto en los desastres, y esto es a la vez una guerra y un desastre.

“Hay un valor noticioso inequívoco en traer imágenes de personas desde el interior de los hospitales, desde la primera línea de este virus”, dijo el presidente de NBC News, Noah Oppenheim. le dijo al Washington Post . Agregó: “Es fundamental que obtengamos tantas de esas imágenes en el mundo como sea posible”.

Toquemos el freno lo suficiente para decir que ninguna persona razonable sugeriría que los periodistas deberían colarse en los hospitales para tomar fotos. Y ninguna persona razonable sugeriría que los periodistas trabajen con pacientes afectados sin las máximas precauciones y protección. Ya hemos perdido compañeros por esta enfermedad y otros ya se han enfermado.

Pero hay mucho que saber sobre quién y qué cubre y qué no cubre la HIPAA.

Desde la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 y la Regla de Privacidad que la acompaña aprobada en 2003, se ha convertido en un obstáculo para los periodistas que buscan incluso información básica de hospitales, hogares de ancianos, departamentos de salud, médicos forenses y policía.

Ahora, en un momento en que el público exige datos confiables sobre la propagación y los efectos del COVID-19, los periodistas no pueden obtener los datos y las imágenes que ayudarían al público a comprender la urgencia de esta pandemia. No se podría negar la escasez de equipo de protección si pudiéramos verlo.

En Florida, El gobernador Ron DeSantis se negó a nombrar hogares de ancianos donde los pacientes dieron positivo. El Tampa Bay Times (propiedad de Poynter) informó:

La administración de DeSantis ha basado su negativa, hasta ahora, a nombrar casas con resultados positivos en su deseo de proteger la confidencialidad de los residentes. Si bien no nombró la ley, DeSantis parece estar invocando la Ley federal de Portabilidad y Responsabilidad del Seguro Médico, o HIPAA, que protege los registros médicos y la privacidad de los pacientes.

Pamela Marsh, ex fiscal federal de alto rango que ahora dirige la Fundación de la Primera Enmienda con sede en Tallahassee , sugirió que la ley HIPAA es una hoja de parra que se usa para ocultar información vital.

“Esa información debería estar disponible”, dijo Marsh, exfiscal de los Estados Unidos para el norte de Florida, al (Miami) Herald. “No puede ser lo de siempre para las familias de los seres queridos bajo cuidado”.

Cuando el gobierno estatal no quiso nombrar los hogares de ancianos, las propias empresas le dijeron al público que algunos de sus residentes habían dado positivo por el virus.

El grupo sin fines de lucro Families for Better Care lanzó una campaña en las redes sociales atacando al gobernador por no informar lo que incluso los propios hogares de ancianos han publicado.

Una publicación en Twitter de Families for Better Care (@FFBC)

Aunque algunos hogares de ancianos y hospitales sostienen HIPAA como una razón para no divulgar información general sobre los pacientes que han tratado, hay muchos ejemplos de cuando informan rutinariamente tales cosas. Brian Lee, director ejecutivo de Families for Better Care, le dijo a WJXT-TV (Jacksonville):

“Mira, publican información sobre las instalaciones en todo su sitio web. Tienen resultados de inspección cada vez que hay brotes de sarna, hay brotes de norovirus, se da a conocer información. Ya no pueden usar esa excusa. Es risible. No están divulgando la información de atención médica individual de nadie. De eso se trata HIPAA: información de salud individual”.

En Iowa, los funcionarios de salud de varios condados no revelaron cuántas personas se habían hecho las pruebas de COVID-19 y citaron a HIPAA como una de las razones por las que no revelaron la información. Director ejecutivo del Consejo de Libertad de Información de Iowa Randy Evans señaló los mismos hospitales no tienen problema en informar cuántos bebés nacen en sus instalaciones cada año.

Lo primero que hay que entender es que HIPAA se refiere SÓLO a “entidades cubiertas”, que incluyen proveedores de atención médica (como técnicos de emergencias médicas, médicos, enfermeras y trabajadores sociales) y compañías de seguros. HIPAA no cubre a periodistas, departamentos de policía y bomberos (excepto técnicos de emergencias médicas). HIPAA no cubre organizaciones religiosas que no son proveedores de atención médica.

El Departamento de Salud y Servicios Humanos de los Estados Unidos emitió un página informativa específica sobre cómo HIPAA se relaciona con el brote de COVID-19. El aviso recuerda a los proveedores de atención médica, incluidos los médicos, que no pueden divulgar Información específica sobre un paciente, el nombre de una persona que dio positivo (o negativo) para COVID-19, sin la autorización por escrito del paciente.

Pero seamos claros: HIPAA tenía la intención de proteger la información médica y de salud individual . Esas protecciones individuales aún se aplican incluso en una pandemia. HIPAA no permite que un proveedor de atención divulgue información demográfica individual, pero la palabra clave allí es 'individuo'. Es por eso que los hospitales pueden, por ejemplo, en el caso de un tiroteo masivo, decir cuántas personas ingresaron, fueron a cirugía y fueron tratadas y dadas de alta.

HIPAA cubre la 'Información de salud protegida', que es información que haría identificable a una persona. Entonces, si bien no sería una violación de la HIPAA que un proveedor de atención médica diga que el 70 % de sus camas en la UCI están llenas o que ha evaluado a 300 personas o que todas las personas en la UCI tienen más de 65 años, sería una violación. decir 'Al Tompkins está en la UCI'. Nuevamente, eso es solo para una 'entidad cubierta'. No es una violación de HIPAA que un periodista informe un nombre, solo es un problema para el proveedor de atención médica.

Y HIPAA SÍ permite que un proveedor de atención médica divulgue incluso información de identificación personal a una autoridad de salud pública, por ejemplo, los Centros para el Control y la Prevención de Enfermedades, con el fin de controlar una enfermedad, como COVID-19. (Ver 45 CFR § 164.501 y 164.512(b)(1)(i).)

Mi amigo, el asesor legal de la Asociación Nacional de Fotógrafos de Prensa, Mickey Osterreicher, ofreció algunos consejos para periodistas si la policía o los hospitales intentan detener su cobertura de COVID-19 . Dijo que ha escuchado de algunos fotoperiodistas que los hospitales han tratado de usar HIPAA como una razón para prohibir a los fotógrafos fotografiar edificios o trabajadores del hospital.

ProPublica también publicó ayuda para periodistas que intentan navegar las reglas de HIPAA :

Incluso con HIPAA, aún puede obtener datos 'desidentificados'

Si un conjunto de datos ha sido 'desidentificado', las reglas de privacidad de HIPAA no apliques . Hay dos métodos para la desidentificación: “ Puerto seguro ”, que suprime los campos que revelan información de identificación personal, y “determinación de expertos”, que se basa en expertos para verificar que existe un riesgo limitado de identificar a los pacientes.

• Compruebe si los datos anonimizados están disponibles para descargar en línea. Las agencias de salud locales y estatales a veces ponen en línea conjuntos de datos no identificados. Estos conjuntos de datos tienen restricciones mínimas, si las hay, sobre su uso.
• Pídale a un oficial de registros que elimine los campos de identificación personal. Si los datos de salud que desea incluyen identificadores personales, considere solicitar los datos con estas variables eliminadas o redactadas. Si hay números de cuenta o de Seguro Social para identificar a cada paciente, solicite identificaciones ficticias (pero asegúrese de averiguar qué variables han sido reemplazadas por números ficticios).
• Solicitar datos agregados. Algunos oficiales de registros pueden denegar su solicitud con el argumento de que agregar datos es lo mismo que 'crear' datos, lo cual es posible que no estén legalmente obligados a hacerlo. ¡Así que pide amablemente y negocia! Si puede obtener datos agregados (o datos que solo puede publicar en forma agregada), es posible que se le prohíba publicar datos sobre pequeños grupos de personas para proteger la privacidad de los pacientes.

Al Tompkins es profesor senior en Poynter. Se le puede contactar por correo electrónico o en Twitter, @atompkins.