Què és HIPAA i com afecta la nostra comprensió del coronavirus?

S'està invocant l'acte àmpliament mal entès per limitar l'accés a les dades de la COVID-19

Hospital Lenox Hill de Manhattan, Nova York, el 7 d'abril de 2020. (John Nacion/STAR MAX/IPx)

Aquesta explicació es va publicar originalment a Cobrint la COVID-19 , la nostra sessió informativa diària de Poynter sobre periodisme i coronavirus, escrita pel professor superior Al Tompkins. Registra't aquí per rebre'l a la teva safata d'entrada tots els dies laborables al matí.

Res ens ajudaria a entendre la gravetat de la situació de la COVID-19 més que si poguéssim veure els efectes que es desenvolupen als nostres hospitals.

Els hospitals estan impedint que els periodistes documentin com és dins de les seves parets i l'escassetat de ventiladors i altres subministraments, així que confiem en les xarxes socials i entrevistes amb metges . Però veure és creure, diu la vella dita. És cert en la guerra, és cert en els desastres, i això és alhora una guerra i un desastre.

'Hi ha un valor informatiu inequívoc a aportar imatges de la gent des dels hospitals, des de la primera línia d'aquest virus', va dir el president de NBC News, Noah Oppenheim. va dir al Washington Post . Va afegir: 'És fonamental que tinguem tantes d'aquestes imatges al món com sigui possible'.

Toquem els frens el temps suficient per dir que cap persona raonable suggeriria que els periodistes s'hagin de colar als hospitals per fer fotos. I cap persona raonable suggeriria que els periodistes treballin al voltant dels pacients afectats sense les màximes precaucions i protecció. Ja hem perdut companys per aquesta malaltia i d'altres ja han estat malalts.

Però hi ha molt per saber sobre qui i què cobreix HIPAA i què no.

Des que la Llei de portabilitat i responsabilitat de l'assegurança mèdica de 1996 i la regla de privadesa que l'acompanya l'any 2003, s'ha convertit en una barrera per als periodistes que busquen fins i tot informació bàsica d'hospitals, residències d'avis, departaments de salut, forenses i policies.

Ara, en un moment en què el públic demana dades fiables sobre la propagació i els efectes de la COVID-19, els periodistes no poden obtenir les dades i les imatges que ajudin a la ciutadania a entendre la urgència d'aquesta pandèmia. No es pot negar l'escassetat d'equips de protecció si ho poguéssim veure.

A Florida, El governador Ron DeSantis es va negar a nomenar les residències d'avis on els pacients van donar positiu. El Tampa Bay Times (propietat de Poynter) va informar:

L'administració de DeSantis ha basat la seva negativa, fins ara, a nomenar habitatges amb resultats positius en la seva voluntat de protegir la confidencialitat dels residents. Tot i que no ha nomenat la llei, sembla que DeSantis invoca la Llei de responsabilitat i portabilitat de l'assegurança mèdica federal, o HIPAA, que protegeix els registres mèdics i la privadesa dels pacients.

Pamela Marsh, una antiga fiscal federal que ara encapçala Fundació de la Primera Esmena amb seu a Tallahassee , va suggerir que la llei HIPAA és una fulla de figuera que s'utilitza per ocultar informació vital.

'Aquesta informació hauria d'estar disponible', va dir Marsh, l'antic advocat dels Estats Units del nord de Florida, al (Miami) Herald. 'No pot ser com és habitual per a les famílies dels éssers estimats que tenen cura'.

Quan el govern de l'estat no va donar nom a les residències d'avis, les mateixes empreses ho van dir al públic que alguns dels seus residents havien donat positiu al virus.

El grup sense ànim de lucre Families for Better Care va llançar una campanya a les xarxes socials atacant el governador per no informar del que fins i tot les mateixes residències d'avis han publicat.

Una publicació a Twitter de Families for Better Care (@FFBC)

Tot i que algunes residències d'avis i hospitals presenten HIPAA com a motiu per no divulgar informació general sobre els pacients que han tractat, hi ha molts exemples de quan denuncien habitualment aquestes coses. Brian Lee, el director executiu de Families for Better Care, va dir a WJXT-TV (Jacksonville):

“Mira, publiquen informació sobre instal·lacions a tot el seu lloc web. Tenen resultats d'inspecció sempre que hi ha brots de sarna, brots de norovirus, es publica informació. Ja no poden utilitzar aquesta excusa. És de riure. No estan divulgant la informació individual d'atenció mèdica de ningú. D'això es tracta HIPAA: informació de salut individual'.

A Iowa, els funcionaris sanitaris de diversos comtats no van donar a conèixer quantes persones havien fet proves de COVID-19 i van citar HIPAA com una de les raons per les quals no publicarien la informació. Director executiu del Consell de Llibertat d'Informació d'Iowa va assenyalar Randy Evans els mateixos hospitals no tenen cap problema per informar quants nadons neixen a les seves instal·lacions cada any.

El primer que cal entendre és que HIPAA només pertany 'entitats cobertes', que inclou els proveïdors d'assistència sanitària (com ara EMT, metges, infermeres i treballadors socials) i companyies d'assegurances. HIPAA no cobreix els periodistes, la policia i els departaments de bombers (excepte els EMT). HIPAA no cobreix les organitzacions religioses que no són proveïdors d'atenció mèdica.

El Departament de Salut i Serveis Humans dels Estats Units va emetre un pàgina informativa específica sobre com es relaciona HIPAA amb el brot de COVID-19. L'avís recorda als proveïdors d'atenció mèdica, inclosos els metges, que no poden alliberar informació específica sobre un pacient, el nom d'aquesta persona que va donar positiu (o negatiu) per a la COVID-19, sense autorització escrita del pacient.

Però deixem-ho clar: HIPAA estava pensat protegir la informació mèdica i sanitària individual . Aquestes proteccions individuals encara s'apliquen fins i tot en una pandèmia. HIPAA no permet que un proveïdor d'atenció alliberi informació demogràfica individual, però la paraula clau és 'individu'. És per això que els hospitals poden, per exemple en el cas d'un tiroteig massiu, dir quantes persones han ingressat, han anat a quiròfan i han estat ateses i donades d'alta.

HIPAA cobreix 'Informació de salut protegida', que és informació que permeti identificar una persona. Així, tot i que no seria una infracció de la HIPAA que un proveïdor d'atenció mèdica digués que el 70% dels llits de la UCI estan plens o que ha fet proves a 300 persones o que totes les persones de l'UCI tenen més de 65 anys, seria una violació. per dir 'Al Tompkins està a la UCI'. De nou, això només és per a una 'entitat coberta'. No és una violació de la HIPAA que un periodista informi d'un nom, només és un problema per al proveïdor d'atenció mèdica.

I HIPAA SI permet que un proveïdor d'atenció mèdica divulgu fins i tot informació d'identificació personal a una autoritat de salut pública, per exemple, els Centres per al Control i la Prevenció de Malalties, amb la finalitat de controlar una malaltia, com la COVID-19. (Vegeu 45 CFR § 164.501 i 164.512(b)(1)(i).)

El meu amic, l'assessor legal de l'Associació Nacional de Fotògrafs de Premsa, Mickey Osterreicher, en va oferir alguns consells per als periodistes si la policia o els hospitals intenten aturar els vostres informes de COVID-19 . Va dir que està escoltant d'alguns fotoperiodistes que els hospitals han intentat utilitzar HIPAA com a motiu per prohibir als fotògrafs fotografiar edificis o treballadors dels hospitals.

També es va publicar ProPublica ajuda per als periodistes que intenten navegar per les normes HIPAA :

Fins i tot amb HIPAA, encara podeu obtenir dades 'desidentificades'.

Si un conjunt de dades ha estat 'desidentificat', les normes de privadesa de HIPAA no s'apliquen . Hi ha dos mètodes per a la desidentificació: ' port segur ”, que suprimeix els camps que revelen informació d'identificació personal, i la “determinació d'experts”, que es basa en experts per verificar que hi ha un risc limitat d'identificar pacients.

• Comproveu si les dades no identificades estan disponibles per descarregar-les en línia. Les agències sanitàries locals i estatals de vegades posen en línia conjunts de dades no identificades. Aquests conjunts de dades tenen restriccions mínimes, si n'hi ha, sobre el seu ús.
• Demaneu a un oficial de registres que elimineu els camps d'identificació personal. Si les dades de salut que voleu inclouen identificadors personals, considereu la possibilitat de sol·licitar les dades amb aquestes variables eliminades o redactades. Si hi ha números de compte o de la Seguretat Social per identificar cada pacient, demaneu identificacions ficticis (però assegureu-vos d'esbrinar quines variables s'han substituït per números ficticis).
• Sol·licitar dades agregades. Alguns oficials de registres poden denegar la vostra sol·licitud per raó que agregar dades és el mateix que 'crear' dades, cosa que potser no estan obligats legalment a fer. Així que pregunta bé i negocia! Si podeu obtenir dades agregades (o dades que només podeu publicar en forma agregada), és possible que se us prohibeix la publicació de dades de grups reduïts de persones per tal de protegir la privadesa dels pacients.

Al Tompkins és professor superior de Poynter. Es pot contactar amb ell per correu electrònic o a Twitter, @atompkins.