La Ley de Responsabilidad y Portabilidad del Seguro Médico de 1996 (HIPAA o Ley Kennedy - Kassebaum [1] [2] ) es una ley del Congreso de los Estados Unidos promulgada por el 104º Congreso de los Estados Unidos y promulgada por el presidente Bill Clinton el 21 de agosto de 1996. [3] Su objetivo era alterar la transferencia de información de atención médica, estipuló las pautas mediante las cuales la información de identificación personal mantenida por las industrias de atención médica y seguros de salud debe protegerse contra fraude y robo, [4] y abordó algunas limitaciones en la cobertura del seguro de atención médica. . Por lo general, prohíbe a los proveedores de atención médica y a las empresas denominadas entidades cubiertas revelar información protegida a cualquier persona que no sea el paciente y los representantes autorizados del paciente sin su consentimiento. El proyecto de ley no impide que los pacientes reciban información sobre ellos mismos (con excepciones limitadas). [5] Además, no prohíbe a los pacientes compartir voluntariamente su información de salud como quieran, ni exige confidencialidad cuando un paciente revela información médica a familiares, amigos u otras personas que no son empleados de una entidad cubierta.
El acto consta de 5 títulos:
La ley consta de cinco secciones, conocidas como títulos.
El Título I de HIPAA regula la disponibilidad y amplitud de los planes de salud grupales y ciertas pólizas de seguro de salud individuales. Modificó la Ley de Seguridad de los Ingresos de Jubilación de los Empleados, la Ley del Servicio de Salud Pública y el Código de Rentas Internas. Además, el Título I aborda la cuestión del "bloqueo laboral", que es la imposibilidad de que un empleado deje su trabajo porque perdería su cobertura médica. [8] Para combatir el problema del bloqueo laboral, el Título protege la cobertura de seguro médico para los trabajadores y sus familias si pierden o cambian de trabajo. [9]
El Título I requiere la cobertura y también limita las restricciones que un plan de salud grupal puede imponer a los beneficios por condiciones preexistentes. Los planes de salud grupales pueden negarse a brindar beneficios en relación con condiciones preexistentes durante los 12 meses posteriores a la inscripción en el plan o los 18 meses en caso de inscripción tardía. [10] El Título I permite a las personas reducir el período de exclusión por la cantidad de tiempo que hayan tenido "cobertura acreditable" antes de inscribirse en el plan y después de cualquier "interrupción significativa" en la cobertura. [11] La "cobertura acreditable" se define de manera bastante amplia e incluye casi todos los planes de salud grupales e individuales, Medicare y Medicaid. [12] Una "interrupción significativa" en la cobertura se define como cualquier período de 63 días sin ninguna cobertura acreditable. [13] Junto con una excepción, permite a los empleadores vincular las primas o copagos al consumo de tabaco o al índice de masa corporal.
El Título I exige que los proveedores de seguros emitan pólizas sin exclusiones para las personas que abandonan los planes de salud grupales, siempre que hayan mantenido una cobertura continua y creíble. (ver arriba) superior a 18 meses, y [14] renovar pólizas individuales mientras se ofrezcan o brindar alternativas a planes discontinuados mientras la aseguradora permanezca en el mercado sin exclusión independientemente de su condición de salud.
Algunos planes de atención médica están exentos de los requisitos del Título I, como los planes de salud a largo plazo y los planes de alcance limitado, como los planes dentales o de la vista, que se ofrecen por separado del plan de salud general. Sin embargo, si dichos beneficios son parte del plan de salud general, entonces HIPAA aún se aplica a dichos beneficios. Por ejemplo, si el nuevo plan ofrece beneficios dentales, entonces debe contar la cobertura continua acreditable del plan de salud anterior para cualquiera de sus períodos de exclusión de beneficios dentales.
Un método alternativo para calcular la cobertura continua acreditable está disponible para el plan de salud según el Título I. Es decir, se pueden considerar 5 categorías de cobertura de salud por separado, incluida la cobertura dental y de la vista. Todo lo que no esté bajo esas 5 categorías debe usar el cálculo general (por ejemplo, se puede contar al beneficiario con 18 meses de cobertura general, pero solo 6 meses de cobertura dental, porque el beneficiario no tenía un plan de salud general que cubriera servicios dentales hasta los 6 meses). antes de la fecha de solicitud). Dado que los planes de cobertura limitada están exentos de los requisitos de HIPAA, existe el caso extraño en el que el solicitante de un plan de salud grupal general no puede obtener certificados de cobertura continua acreditable para planes independientes de alcance limitado, como los dentales, para aplicar a los períodos de exclusión del nuevo plan que sí incluya esas coberturas.
Los períodos de exclusión ocultos no son válidos bajo el Título I (por ejemplo, "El accidente, para ser cubierto, debe haber ocurrido mientras el beneficiario estaba cubierto exactamente por este mismo contrato de seguro médico"). El plan de salud no debe aplicar dichas cláusulas. Además, deben reescribirse para que puedan cumplir con HIPAA. [15]
El Título II de HIPAA establece políticas y procedimientos para mantener la privacidad y la seguridad de la información de salud de identificación individual, describe numerosos delitos relacionados con la atención médica y establece sanciones civiles y penales por violaciones. También crea varios programas para controlar el fraude y el abuso dentro del sistema de atención médica. [16] [17] [18] [19] Sin embargo, las disposiciones más significativas del Título II son sus normas de Simplificación Administrativa. El Título II requiere que el Departamento de Salud y Servicios Humanos (HHS) aumente la eficiencia del sistema de atención médica mediante la creación de estándares para el uso y difusión de información sobre atención médica. [19]
Estas reglas se aplican a las "entidades cubiertas", según lo definen HIPAA y HHS. Las entidades cubiertas incluyen planes de salud, cámaras de compensación de atención médica (como servicios de facturación y sistemas de información de salud comunitarios) y proveedores de atención médica que transmiten datos de atención médica de una manera regulada por HIPAA. [20]
Según los requisitos del Título II, el HHS ha promulgado cinco reglas con respecto a la simplificación administrativa: la regla de privacidad, la regla de transacciones y conjuntos de códigos, la regla de seguridad, la regla de identificadores únicos y la regla de cumplimiento. [21]
La Regla de Privacidad HIPAA se compone de regulaciones nacionales para el uso y divulgación de Información de Salud Protegida (PHI) en tratamientos, pagos y operaciones de atención médica por parte de "entidades cubiertas" (generalmente, cámaras de compensación de atención médica, planes de salud patrocinados por empleadores, aseguradoras de salud y proveedores de servicios médicos que realizan determinadas transacciones). [22]
La Regla de Privacidad entró en vigor el 14 de abril de 2003, con una extensión de un año para ciertos "planes pequeños". Por regulación, el HHS extendió la regla de privacidad de HIPAA a los contratistas independientes de entidades cubiertas que se ajustan a la definición de "socios comerciales". [23] PHI es cualquier información que posee una entidad cubierta con respecto al estado de salud, la prestación de atención médica o el pago de la atención médica que puede vincularse a cualquier individuo. [20] Esto se interpreta de manera bastante amplia e incluye cualquier parte del registro médico o del historial de pagos de un individuo. Las entidades cubiertas deben divulgar su PHI al individuo dentro de los 30 días posteriores a su solicitud. [24] También deben divulgar PHI cuando así lo exija la ley, como denunciar sospechas de abuso infantil a las agencias estatales de bienestar infantil. [25]
Las entidades cubiertas pueden divulgar información de salud protegida a funcionarios encargados de hacer cumplir la ley para fines de cumplimiento de la ley según lo exige la ley (incluidas órdenes judiciales, órdenes judiciales, citaciones) y solicitudes administrativas; o para identificar o localizar a un sospechoso, un fugitivo, un testigo material o una persona desaparecida. [26]
Una entidad cubierta puede divulgar PHI a determinadas partes para facilitar el tratamiento, el pago o las operaciones de atención médica sin la autorización expresa por escrito del paciente. [27] Cualquier otra divulgación de PHI requiere que la entidad cubierta obtenga una autorización por escrito del individuo para su divulgación. [28] En cualquier caso, cuando una entidad cubierta divulga cualquier PHI, debe hacer un esfuerzo razonable para divulgar solo la información mínima necesaria para lograr su propósito. [29]
La Regla de Privacidad otorga a las personas el derecho de solicitar a una entidad cubierta que corrija cualquier PHI inexacta. [30] Además, exige que las entidades cubiertas tomen algunas medidas razonables para garantizar la confidencialidad de las comunicaciones con las personas. [31] Por ejemplo, una persona puede solicitar que la llamen a su número de trabajo en lugar de a su casa o a su teléfono celular.
La Regla de Privacidad requiere que las entidades cubiertas notifiquen a las personas sobre los usos de su PHI. [32] Las entidades cubiertas también deben realizar un seguimiento de las divulgaciones de PHI y documentar las políticas y procedimientos de privacidad. [33] Deben nombrar un funcionario de privacidad y una persona de contacto [34] responsable de recibir quejas y capacitar a todos los miembros de su fuerza laboral en procedimientos relacionados con la PHI. [35]
Una persona que crea que no se cumple la Regla de Privacidad puede presentar una queja ante la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos. [36] [37] En 2006, el Wall Street Journal informó que la OCR tenía un largo retraso e ignora la mayoría de las quejas. "Las quejas por violaciones de la privacidad se han estado acumulando en el Departamento de Salud y Servicios Humanos. Entre abril de 2003 y noviembre de 2006, la agencia recibió 23,886 quejas relacionadas con reglas de privacidad médica, pero aún no ha tomado ninguna acción coercitiva contra los hospitales. "Médicos, aseguradoras o cualquier otra persona por violaciones de las reglas. Un portavoz de la agencia dice que ha cerrado tres cuartas partes de las quejas, generalmente porque no encontró ninguna violación o después de brindar orientación informal a las partes involucradas". [38] Sin embargo, en julio de 2011, la Universidad de California en Los Ángeles acordó pagar 865.500 dólares en un acuerdo sobre posibles violaciones de HIPAA. Una investigación de la Oficina de Derechos Civiles del HHS mostró que entre 2005 y 2008, empleados no autorizados examinaron repetidamente y sin causa legítima la información de salud electrónica protegida de numerosos pacientes de UCLAHS. [39]
Es un error pensar que la Regla de Privacidad crea el derecho de cualquier individuo a negarse a revelar cualquier información de salud (como enfermedades crónicas o registros de vacunación) si lo solicita un empleador o una empresa. Los requisitos de la Regla de Privacidad de HIPAA simplemente imponen restricciones a la divulgación por parte de entidades cubiertas y sus socios comerciales sin el consentimiento del individuo cuyos registros se solicitan; no imponen ninguna restricción al solicitar información de salud directamente al sujeto de esa información. [40] [41] [42]
En enero de 2013, HIPAA se actualizó mediante la Regla Ómnibus Final. [43] Las actualizaciones incluyeron cambios en las partes de Reglas de seguridad y Notificación de infracciones de la Ley HITECH. Los cambios más significativos se relacionaron con la ampliación de los requisitos para incluir a los socios comerciales, donde originalmente solo las entidades cubiertas debían respetar estas secciones de la ley. [ cita necesaria ]
Además, se actualizó la definición de "daño significativo" a un individuo en el análisis de una infracción para proporcionar un mayor escrutinio a las entidades cubiertas con la intención de revelar infracciones que anteriormente no se habían informado. Anteriormente, una organización necesitaba pruebas de que se había producido un daño, mientras que ahora las organizaciones deben demostrar que no se había producido ningún daño.
La protección de la PHI se cambió de indefinida a 50 años después de la muerte. También se aprobaron sanciones más severas por violación de los requisitos de privacidad de la PHI. [44]
La regla de privacidad de HIPAA puede no aplicarse durante un desastre natural. Este fue el caso del huracán Harvey en 2017. [ cita necesaria ]
Consulte la sección Privacidad de la Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica ( Ley HITECH ).
La Regla de Privacidad requiere que los proveedores médicos brinden a las personas acceso a su PHI. [45] Después de que un individuo solicita información por escrito (generalmente utilizando el formulario del proveedor para este propósito), un proveedor tiene hasta 30 días para proporcionar una copia de la información al individuo. Un individuo puede solicitar la información en formato electrónico o en copia impresa, y el proveedor está obligado a intentar ajustarse al formato solicitado. Para los proveedores que utilizan un sistema de registros médicos electrónicos ( EHR ) certificado según los criterios CEHRT (Tecnología de registros médicos electrónicos certificados), se debe permitir a las personas obtener la PHI en formato electrónico. Se anima a los proveedores a proporcionar la información de manera oportuna, especialmente en el caso de solicitudes de registros electrónicos.
Las personas tienen el amplio derecho a acceder a su información relacionada con la salud, incluidos registros médicos, notas, imágenes, resultados de laboratorio e información de facturación y seguros. [46] Quedan explícitamente excluidas las notas de psicoterapia privadas de un proveedor y la información recopilada por un proveedor para defenderse de una demanda. [47]
Los proveedores pueden cobrar una cantidad razonable relacionada con el costo de proporcionar la copia; sin embargo, no se permite ningún cargo cuando se proporcionan datos electrónicamente de un EHR certificado utilizando la función "ver, descargar y transferir" que se requiere para la certificación. Cuando se entrega a la persona en formato electrónico, la persona puede autorizar la entrega mediante correo electrónico cifrado o no cifrado, la entrega mediante medios (unidad USB, CD, etc., que pueden implicar un cargo), mensajería directa (una tecnología de correo electrónico segura de uso común). en la industria de la salud), o posiblemente otros métodos. Al utilizar correo electrónico no cifrado, la persona debe comprender y aceptar los riesgos para la privacidad al utilizar esta tecnología (la información puede ser interceptada y examinada por otros). Independientemente de la tecnología de entrega, un proveedor debe continuar asegurando completamente la PHI mientras esté en su sistema y puede negar el método de entrega si representa un riesgo adicional para la PHI mientras esté en su sistema. [48]
Una persona también puede solicitar (por escrito) que su PHI se entregue a un tercero designado, como un proveedor de atención familiar.
Una persona también puede solicitar (por escrito) que el proveedor envíe su PHI a un servicio designado utilizado para recopilar o administrar sus registros, como una aplicación de Registro médico personal. Por ejemplo, una paciente puede solicitar por escrito que su obstetra y ginecólogo transmita digitalmente los registros de su última visita prenatal a una aplicación de autocuidado durante el embarazo que tiene en su teléfono móvil.
Según sus interpretaciones de HIPAA, los hospitales no revelarán información por teléfono a los familiares de los pacientes ingresados. En algunos casos, esto ha impedido la localización de personas desaparecidas. Después del accidente del vuelo 214 de Asiana Airlines en San Francisco, algunos hospitales se mostraron reacios a revelar las identidades de los pasajeros que estaban tratando, lo que dificultó para Asiana y sus familiares localizarlos. [49] En un caso, un hombre en el estado de Washington no pudo obtener información sobre su madre herida. [50]
Janlori Goldman, directora del grupo de defensa Health Privacy Project, dijo que algunos hospitales están siendo "demasiado cautelosos" y están aplicando mal la ley, informa el Times. Suburban Hospital en Bethesda, Maryland, ha interpretado una regulación federal que requiere que los hospitales permitan a los pacientes optar por no ser incluidos en el directorio del hospital en el sentido de que los pacientes quieren permanecer fuera del directorio a menos que digan específicamente lo contrario. Como resultado, si un paciente está inconsciente o no puede elegir ser incluido en el directorio, es posible que sus familiares y amigos no puedan encontrarlo, dijo Goldman. [51]
HIPAA tenía como objetivo hacer que el sistema de atención médica en los Estados Unidos fuera más eficiente al estandarizar las transacciones de atención médica. HIPAA agregó una nueva Parte C titulada "Simplificación administrativa" al Título XI de la Ley del Seguro Social. [52] Se supone que esto simplificará las transacciones de atención médica al exigir que todos los planes de salud realicen transacciones de atención médica de manera estandarizada.
La disposición HIPAA/EDI ( intercambio electrónico de datos ) estaba programada para entrar en vigor el 16 de octubre de 2003, con una extensión de un año para ciertos "planes pequeños". Sin embargo, debido a la confusión generalizada y la dificultad para implementar la regla, los Centros de Servicios de Medicare y Medicaid (CMS) otorgaron una extensión de un año a todas las partes. [53] El 1 de enero de 2012, las versiones más nuevas, ASC X12 005010 y NCPDP D.0 entran en vigencia, reemplazando el mandato anterior de ASC X12 004010 y NCPDP 5.1. [54] La versión ASC X12 005010 proporciona un mecanismo que permite el uso de ICD-10-CM , así como otras mejoras.
Según HIPAA, los planes de salud cubiertos por HIPAA ahora deben utilizar transacciones electrónicas estandarizadas de HIPAA. Consulte 42 USC § 1320d-2 y 45 CFR Parte 162. Puede encontrar información sobre esto en la regla final para los estándares de transacciones electrónicas HIPAA (74 Fed. Reg. 3296, publicada en el Registro Federal el 16 de enero de 2009), y en el sitio web de la CMS. [55]
El Conjunto de transacciones de reclamaciones de atención médica de EDI (837) se utiliza para enviar información de facturación de reclamaciones de atención médica, información de encuentros o ambas, excepto para reclamaciones de farmacias minoristas (consulte Transacción de reclamaciones de farmacias minoristas de EDI). Puede ser enviado desde los proveedores de servicios de atención médica a los pagadores, ya sea directamente o a través de facturadores intermediarios y cámaras de compensación de reclamaciones. También se puede utilizar para transmitir reclamos de atención médica e información de pago de facturación entre pagadores con diferentes responsabilidades de pago cuando se requiere coordinación de beneficios o entre pagadores y agencias reguladoras para monitorear la prestación, facturación y/o pago de servicios de atención médica dentro de un área específica. segmento de la industria de atención médica/seguros.
Por ejemplo, una agencia estatal de salud mental puede exigir que todos los reclamos de atención médica. Los proveedores y planes de salud que intercambian reclamos de atención médica profesional (médica) electrónicamente deben utilizar el estándar 837 Health Care Claim: Professional para enviar reclamos. Como existen muchas aplicaciones comerciales diferentes para el reclamo de Atención Médica, puede haber ligeras derivaciones para cubrir reclamos que involucran reclamos únicos, como para instituciones, profesionales, quiroprácticos, dentistas, etc.
Transacción de reclamo de farmacia minorista EDI ( NCPDP Telecomunicaciones se utiliza para presentar reclamos de farmacia minorista a los pagadores por parte de profesionales de la salud que dispensan medicamentos, ya sea directamente o a través de facturadores intermediarios y cámaras de compensación de reclamos. También se puede usar para transmitir reclamos por servicios de farmacia minorista y pago de facturación. información entre pagadores con diferentes responsabilidades de pago donde se requiere coordinación de beneficios o entre pagadores y agencias reguladoras para monitorear la prestación, facturación y/o pago de servicios de farmacia minorista dentro del segmento de la industria de seguros/atención médica farmacéutica.
El conjunto de transacciones de asesoramiento/pago de reclamaciones de atención médica de EDI (835) se puede utilizar para realizar un pago, enviar una Explicación de beneficios (EOB), enviar un aviso de remesa de Explicación de pagos (EOP) o realizar un pago y enviar una remesa EOP. asesoramiento únicamente de una aseguradora de salud a un proveedor de atención médica, ya sea directamente o a través de una institución financiera.
El Conjunto de inscripción y mantenimiento de beneficios de EDI (834) puede ser utilizado por empleadores, sindicatos, agencias gubernamentales, asociaciones o agencias de seguros para inscribir miembros en un pagador. El pagador es una organización de atención médica que paga reclamos, administra seguros, beneficios o productos. Ejemplos de pagadores incluyen una compañía de seguros, un profesional de la salud (HMO), una organización de proveedores preferidos (PPO), una agencia gubernamental (Medicaid, Medicare, etc.) o cualquier organización que pueda ser contratada por uno de estos grupos anteriores.
EDI Nómina deducida y otro grupo, Pago de primas para productos de seguros (820), es un conjunto de transacciones para realizar un pago de primas para productos de seguros. Se puede utilizar para ordenar a una institución financiera que realice un pago a un beneficiario.
La consulta de elegibilidad/beneficios de atención médica de EDI (270) se utiliza para consultar sobre los beneficios de atención médica y la elegibilidad asociados con un suscriptor o dependiente.
EDI Elegibilidad de atención médica/Respuesta de beneficios (271) se utiliza para responder a una solicitud de consulta sobre los beneficios de atención médica y la elegibilidad asociados con un suscriptor o dependiente.
La Solicitud de estado de reclamo de atención médica de EDI (276) es un conjunto de transacciones que puede utilizar un proveedor, un destinatario de productos o servicios de atención médica o su agente autorizado para solicitar el estado de un reclamo de atención médica.
La notificación de estado de reclamo de atención médica EDI (277) es un conjunto de transacciones que puede ser utilizado por un pagador de atención médica o un agente autorizado para notificar a un proveedor, destinatario o agente autorizado sobre el estado de un reclamo o encuentro de atención médica, o para solicitar información adicional de al proveedor con respecto a un reclamo o encuentro de atención médica. Este conjunto de transacciones no pretende reemplazar el Conjunto de transacciones de asesoramiento/pago de reclamaciones de atención médica (835) y, por lo tanto, no se utiliza para la contabilización de pagos de cuentas. La notificación es a nivel de detalle de línea de servicio o resumen. La notificación podrá ser solicitada o no solicitada.
La información de revisión del servicio de atención médica de EDI (278) es un conjunto de transacciones que se puede utilizar para transmitir información del servicio de atención médica, como datos demográficos, de diagnóstico o de tratamiento, del suscriptor, del paciente, con el fin de solicitar revisión, certificación, notificación o generación de informes. el resultado de una revisión de los servicios de atención médica.
El conjunto de transacciones de reconocimiento funcional EDI (997) es un conjunto de transacciones que se puede utilizar para definir las estructuras de control de un conjunto de reconocimientos para indicar los resultados del análisis sintáctico de los documentos codificados electrónicamente. Aunque no se menciona específicamente en la legislación HIPAA ni en la regla final, es necesario para el procesamiento del conjunto de transacciones X12. Los documentos codificados son conjuntos de transacciones, que se agrupan en grupos funcionales, que se utilizan para definir transacciones para el intercambio de datos comerciales. Este estándar no cubre el significado semántico de la información codificada en los conjuntos de transacciones.
La Norma Final sobre Estándares de Seguridad se emitió el 20 de febrero de 2003. La Norma de Seguridad complementa la Norma de Privacidad. Si bien la Regla de Privacidad se aplica a toda la Información Médica Protegida (PHI), incluida la impresa y la electrónica, la Regla de Seguridad trata específicamente la Información Médica Protegida Electrónica (EPHI). Establece tres tipos de salvaguardias de seguridad necesarias para el cumplimiento: administrativas, físicas y técnicas. [58] Para cada uno de estos tipos, la Regla identifica varios estándares de seguridad, y para cada estándar, nombra especificaciones de implementación tanto requeridas como direccionables. Las especificaciones requeridas deben adoptarse y administrarse según lo dicta la Regla. Las especificaciones direccionables son más flexibles. Las entidades cubiertas individuales pueden evaluar su propia situación y determinar la mejor manera de implementar especificaciones abordables. Algunos defensores de la privacidad han argumentado que esta "flexibilidad" puede dar demasiada libertad a las entidades cubiertas. [59] Se han desarrollado herramientas de software para ayudar a las entidades cubiertas en el análisis de riesgos y el seguimiento de las medidas correctivas. Los estándares y especificaciones son los siguientes:
Las entidades cubiertas por HIPAA, como proveedores que completan transacciones electrónicas, cámaras de compensación de atención médica y grandes planes de salud, deben usar solo el Identificador Nacional de Proveedor (NPI) para identificar a los proveedores de atención médica cubiertos en transacciones estándar antes del 23 de mayo de 2007. Los planes de salud pequeños deben usar solo el NPI antes del 23 de mayo de 2007. 23 de mayo de 2008. A partir de mayo de 2006 (mayo de 2007 para planes de salud pequeños), todas las entidades cubiertas que utilizan comunicaciones electrónicas (por ejemplo, médicos, hospitales, compañías de seguros de salud, etc.) deben utilizar un único NPI nuevo. El NPI reemplaza todos los demás identificadores utilizados por los planes de salud, Medicare, Medicaid y otros programas gubernamentales. [60] Sin embargo, el NPI no reemplaza el número DEA, el número de licencia estatal o el número de identificación fiscal de un proveedor. El NPI tiene 10 dígitos (puede ser alfanumérico), siendo el último dígito una suma de verificación. El NPI no puede contener ninguna inteligencia incorporada; en otras palabras, el NPI es simplemente un número que en sí mismo no tiene ningún significado adicional. El NPI es único y nacional, nunca se reutiliza y, salvo en el caso de las instituciones, un proveedor normalmente sólo puede tener uno. Una institución puede obtener múltiples NPI para diferentes "subpartes", como un centro oncológico independiente o un centro de rehabilitación.
El 16 de febrero de 2006, el HHS emitió la regla final sobre la aplicación de la HIPAA. Entró en vigor el 16 de marzo de 2006. La Regla de Cumplimiento establece sanciones monetarias civiles por violar las reglas de HIPAA y establece procedimientos para investigaciones y audiencias por violaciones de HIPAA. Durante muchos años hubo pocos procesamientos por violaciones. [61]
Esto puede haber cambiado con la multa de $50,000 al Hospice of North Idaho (HONI) como la primera entidad en ser multada por una posible violación de la Regla de Seguridad HIPAA que afecta a menos de 500 personas. Rachel Seeger, portavoz del HHS, declaró: "HONI no realizó un análisis de riesgo preciso y exhaustivo para la confidencialidad de la ePHI [información médica protegida electrónica] como parte de su proceso de gestión de seguridad desde 2005 hasta el 17 de enero de 2012". Esta investigación se inició con el robo de un vehículo de empleados de una computadora portátil no cifrada que contenía 441 registros de pacientes. [62]
Hasta marzo de 2013, el Departamento de Salud y Servicios Humanos de los Estados Unidos (HHS) ha investigado más de 19.306 casos que se han resuelto exigiendo cambios en las prácticas de privacidad o mediante medidas correctivas. Si el HHS determina un incumplimiento, las entidades deben aplicar medidas correctivas. Se han investigado quejas contra muchos tipos diferentes de empresas, como cadenas nacionales de farmacias, importantes centros de atención médica, grupos de seguros, cadenas de hospitales y otros pequeños proveedores. Hubo 9,146 casos en los que la investigación del HHS encontró que se siguió correctamente la HIPAA. Hubo 44,118 casos en los que el HHS no encontró causa elegible para la aplicación de la ley; por ejemplo, una infracción que comenzó antes de que comenzara HIPAA; casos retirados por el perseguidor; o una actividad que en realidad no viola las Reglas.
El Título III estandariza la cantidad que se puede ahorrar por persona en una cuenta de ahorro médico antes de impuestos . A partir de 1997, una cuenta de ahorro médico ("MSA") estuvo disponible para los empleados cubiertos por un plan con deducible alto patrocinado por el empleador, ya sean pequeños empleadores y trabajadores por cuenta propia.
El Título IV especifica las condiciones para los planes de salud grupales con respecto a la cobertura de personas con condiciones preexistentes y modifica los requisitos de continuación de la cobertura. También aclara los requisitos de continuación de la cobertura e incluye aclaraciones sobre COBRA .
El Título V incluye disposiciones relacionadas con los seguros de vida de la empresa para los empleadores que proporcionan primas de seguros de vida de la empresa, prohibiendo la deducción fiscal de intereses sobre préstamos de seguros de vida, dotaciones de empresas o contratos relacionados con la empresa. También deroga la regla de institución financiera a las reglas de asignación de intereses. Finalmente, modifica las disposiciones de la ley relativas a las personas que renuncian a la ciudadanía estadounidense o a la residencia permanente, ampliando el impuesto de expatriación que se aplicará a aquellos que se considera que están renunciando a su estatus estadounidense por razones fiscales, y haciendo que los nombres de los ex ciudadanos formen parte de el registro público a través de la creación de la Publicación Trimestral de Personas que Han Elegido Expatriarse . [63]
La promulgación de las Normas de Privacidad y Seguridad ha provocado cambios importantes en la forma en que operan los médicos y los centros médicos. Las complejas legalidades y las sanciones potencialmente severas asociadas con HIPAA, así como el aumento del papeleo y el costo de su implementación, fueron motivos de preocupación entre los médicos y los centros médicos. Un artículo de agosto de 2006 en la revista Annals of Internal Medicine detalló algunas de estas preocupaciones sobre la implementación y los efectos de HIPAA. [64]
Las restricciones de HIPAA sobre los investigadores han afectado su capacidad para realizar investigaciones retrospectivas basadas en gráficos, así como su capacidad para evaluar prospectivamente a los pacientes contactándolos para realizar un seguimiento. Un estudio de la Universidad de Michigan demostró que la implementación de la regla de privacidad HIPAA resultó en una caída del 96% al 34% en la proporción de encuestas de seguimiento completadas por los pacientes del estudio que fueron seguidos después de un ataque cardíaco . [65] Otro estudio, que detalla los efectos de HIPAA en el reclutamiento para un estudio sobre prevención del cáncer, demostró que los cambios exigidos por HIPAA condujeron a una disminución del 73 % en la acumulación de pacientes, a triplicar el tiempo dedicado a reclutar pacientes y a triplicar el reclutamiento medio. costos. [66]
Además, ahora se requiere que los formularios de consentimiento informado para estudios de investigación incluyan detalles extensos sobre cómo se mantendrá privada la información de salud protegida del participante. Si bien dicha información es importante, la adición de una sección larga y legalista sobre privacidad puede hacer que estos documentos, ya complejos, sean aún menos fáciles de usar para los pacientes a quienes se les pide que los lean y firmen.
Estos datos sugieren que la regla de privacidad HIPAA, tal como se implementa actualmente, puede estar teniendo impactos negativos en el costo y la calidad de la investigación médica . El Dr. Kim Eagle, profesor de medicina interna de la Universidad de Michigan, fue citado en el artículo de Annals diciendo: "La privacidad es importante, pero la investigación también es importante para mejorar la atención. Esperamos resolver esto y hacerlo bien". ". [64]
La complejidad de HIPAA, combinada con sanciones potencialmente severas para los infractores, puede llevar a los médicos y centros médicos a ocultar información a quienes puedan tener derecho a ella. Una revisión de la implementación de la Regla de Privacidad HIPAA realizada por la Oficina de Responsabilidad Gubernamental de EE. UU. encontró que los proveedores de atención médica estaban "inseguros acerca de sus responsabilidades legales de privacidad y a menudo respondieron con un enfoque demasiado cauteloso a la hora de revelar información... de lo necesario para garantizar el cumplimiento de la Regla de privacidad". [64] Continúan los informes sobre esta incertidumbre. [67]
En el período inmediatamente anterior a la promulgación de las Leyes de Seguridad y Privacidad de HIPAA, los centros médicos y los consultorios médicos estaban encargados de "cumplirlas". Con un énfasis temprano en las sanciones potencialmente severas asociadas con la violación, muchos consultorios y centros recurrieron a "consultores de HIPAA" privados con fines de lucro que estaban íntimamente familiarizados con los detalles de la legislación y ofrecieron sus servicios para garantizar que los médicos y los centros médicos estuvieran plenamente "de conformidad".
La educación y capacitación de los proveedores de atención médica es un requisito para la implementación correcta tanto de la Regla de Privacidad como de la Regla de Seguridad de HIPAA. [68] [69]
"La gente inventa lo que significa ese acrónimo".
Deven McGraw, ex subdirector del HHS , citado en Vox [70]
Aunque el acrónimo HIPAA coincide con el título de la Ley Pública 104-191 de 1996, Ley de Responsabilidad y Portabilidad del Seguro Médico , a veces se hace referencia incorrectamente a HIPAA como HIPPA , y se dice que se refiere a la "Ley de Portabilidad y Privacidad de la Información Médica", [71] [72] "Ley de Protección de la Privacidad de la Información de Salud", [70] o "Ley de Protección y Privacidad de los Seguros de Salud". [73] Se ha observado un error ortográfico de HIPPA entre los estafadores de COVID-19 . [74]
Según la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU., entre abril de 2003 y enero de 2013 recibió 91.000 denuncias de violaciones de la HIPAA, de las cuales 22.000 condujeron a acciones coercitivas de diversos tipos (desde acuerdos hasta multas) y 521 condujeron a remisiones al Departamento de Justicia de Estados Unidos como acciones criminales. [75] Ejemplos de violaciones importantes de información protegida y otras violaciones de HIPAA incluyen:
Según Koczkodaj et al., 2018, [78] el número total de personas afectadas desde octubre de 2009 es 173.398.820.
Las diferencias entre sanciones civiles y penales se resumen en la siguiente tabla:
En 1994, el presidente Clinton expresó sus objetivos de mejorar el sistema de salud. Sin embargo, sus reformas no tuvieron éxito, probablemente por falta de apoyo. [79] El Almanaque Trimestral del Congreso de 1996 explica cómo dos senadores, Nancy Kassebaum (R-KS) y Ted Kennedy (D-MA) se unieron y crearon un proyecto de ley llamado Ley de Reforma del Seguro Médico de 1995 o más comúnmente conocida como Kassebaum. -Kennedy Bill. [80] Este proyecto de ley quedó estancado a pesar de haber salido del Senado. En el discurso sobre el Estado de la Unión de 1996, Clinton insistió en la cuestión y el resultado fue una cooperación bipartidista. [79] Después de mucho debate y negociación, hubo un cambio de impulso una vez que se aceptó un compromiso entre Kennedy y el presidente del Comité de Medios y Arbitrios, Bill Archer , después de que se hicieran modificaciones al proyecto de ley Kassebaum-Kennedy original. [81] Poco después, el presidente Clinton promulgó el proyecto de ley y lo denominó Ley de Responsabilidad y Portabilidad del Seguro Médico de 1996 (HIPAA).
{{cite journal}}: Citar diario requiere |journal=( ayuda ){{cite news}}: |first=tiene nombre genérico ( ayuda )Mantenimiento CS1: varios nombres: lista de autores ( enlace )violación de la Ley de Portabilidad y Privacidad de la Información de Salud.
("HIPPA")
La Ley de Portabilidad y Privacidad de Seguros Médicos (HIPPA) estipula que...