Modelos de Avisos de Prácticas de Privacidad

Antecedentes

La Regla de Privacidad de HIPAA otorga a las personas el derecho a ser informadas sobre las prácticas de privacidad de sus planes de salud y de la mayoría de los proveedores de atención médica, así como sobre sus derechos con respecto a la información personal de salud. Los planes de salud y los proveedores de atención médica cubiertos deben desarrollar y distribuir un aviso claro que explique estas prácticas y derechos. El aviso tiene la intención de ayudar a las personas a comprender los asuntos de privacidad, discutirlos con sus planes y proveedores, y ejercer sus derechos.

Cómo funciona la Regla

Regla general

Una persona tiene derecho a un aviso adecuado sobre cómo una entidad cubierta puede usar y divulgar la información de salud protegida, los derechos de la persona y las obligaciones de la entidad cubierta con respecto a esa información. La mayoría de las entidades cubiertas deben desarrollar y proporcionar este aviso.

La Regla de Privacidad no exige que las siguientes entidades cubiertas desarrollen un aviso:

• Una cámara de compensación de atención médica cuya única información de salud protegida se crea o recibe como asociado comercial de otra entidad cubierta.
• Una institución correccional que sea una entidad cubierta.
• Un plan de salud grupal que proporciona beneficios únicamente a través de contratos de seguro u HMO y no recibe información de salud protegida que no sea información resumida, de inscripción o de cancelación de inscripción.

Véase 45 CFR 164.500(b)(1) y 45 CFR 164.520(a).

Contenido del aviso

El aviso de una entidad cubierta debe usar lenguaje sencillo y describir:

• Cómo la entidad cubierta puede usar y divulgar la información de salud protegida de una persona.
• Los derechos de la persona y cómo ejercerlos, incluyendo cómo presentar una queja ante la entidad cubierta.
• Los deberes legales de la entidad cubierta, incluido su deber de mantener la privacidad de la información de salud protegida.
• A quién contactar para obtener más información sobre sus políticas de privacidad.
• La fecha de vigencia del aviso.

Véase 45 CFR 164.520(b). Una entidad cubierta debe revisar y distribuir de inmediato su aviso después de modificar materialmente sus prácticas de privacidad.

Entrega del aviso

• Una entidad cubierta debe poner su aviso a disposición de cualquier persona que lo solicite.
• Una entidad cubierta debe publicar de manera prominente y poner el aviso a disposición en cualquier sitio web que mantenga y que describa servicios o beneficios para los clientes.

Planes de salud

Los planes de salud también deben:

• Proporcionar el aviso a los nuevos afiliados al momento de la inscripción.
• Proporcionar un aviso revisado después de una revisión material según lo exija la ley.
• Notificar periódicamente a las personas cubiertas que el aviso está disponible y explicar cómo obtenerlo.

Proveedores de tratamiento directo cubiertos

Los proveedores de tratamiento directo cubiertos también deben:

• Proporcionar el aviso a más tardar en la primera prestación del servicio y, excepto en una emergencia, hacer un esfuerzo de buena fe para obtener un acuse de recibo por escrito. Si no se puede obtener el acuse de recibo, documentar el esfuerzo y la razón.
• Cuando el primer servicio se preste electrónicamente, enviar el aviso automáticamente y al mismo tiempo que la primera solicitud de servicio de la persona, y hacer un esfuerzo de buena fe para obtener un acuse de recibo u otra respuesta.
• Después de que finalice una situación de tratamiento de emergencia, proporcionar el aviso tan pronto como sea razonablemente posible.
• Poner el aviso vigente a disposición en la oficina o instalación del proveedor y publicarlo en un lugar claro y prominente.

Una entidad cubierta puede enviar el aviso por correo electrónico cuando la persona acepte recibirlo electrónicamente. Véase 45 CFR 164.520(c).

Opciones organizacionales

Una entidad cubierta, incluida una entidad cubierta híbrida o afiliada, puede desarrollar más de un aviso cuando desempeña diferentes funciones cubiertas y sus prácticas de privacidad varían entre ellas. Se anima a las entidades cubiertas a proporcionar a las personas el aviso más específico posible.

Las entidades cubiertas que participan en un acuerdo organizado de atención médica pueden usar un aviso conjunto cuando se cumplan los requisitos legales. El aviso conjunto debe describir las entidades cubiertas y las ubicaciones de servicio a las que se aplica. Si una entidad participante proporciona el aviso conjunto, se cumple el requisito de distribución para las demás entidades participantes. Véase 45 CFR 164.520(d).