La privacidad médica, o privacidad de la salud, es la práctica de mantener la seguridad y confidencialidad de los registros de los pacientes . Implica tanto la discreción conversacional de los proveedores de atención médica como la seguridad de los registros médicos . Los términos también pueden referirse a la privacidad física de los pacientes respecto de otros pacientes y proveedores mientras se encuentran en un centro médico , y a la modestia en entornos médicos . Las preocupaciones modernas incluyen el grado de divulgación a las compañías de seguros , empleadores y otros terceros. La llegada de los registros médicos electrónicos (EMR) y los sistemas de gestión de atención al paciente (PCMS) ha generado nuevas preocupaciones sobre la privacidad, en equilibrio con los esfuerzos para reducir la duplicación de servicios y los errores médicos . [1] [2]
La mayoría de los países desarrollados, incluidos Australia, [3] Canadá, Turquía, el Reino Unido, Estados Unidos, Nueva Zelanda y los Países Bajos, han promulgado leyes que protegen la privacidad de la salud médica de las personas. Sin embargo, muchas de estas leyes de privacidad que protegen la salud han demostrado ser menos efectivas en la práctica que en teoría. [4] En 1996, Estados Unidos aprobó la Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA), cuyo objetivo era aumentar las precauciones de privacidad dentro de las instituciones médicas. [5]
La historia de la privacidad médica se remonta al Juramento Hipocrático , que postula el secreto de la información obtenida al ayudar a un paciente.
Antes del auge tecnológico, las instituciones médicas dependían del soporte en papel para archivar datos médicos individuales. Hoy en día, cada vez se almacena más información en bases de datos electrónicas . [6] Las investigaciones muestran [4] que es más seguro tener información almacenada en un soporte de papel, ya que es más difícil robar datos físicamente, mientras que los registros digitales son vulnerables al acceso de los piratas informáticos . [6]
Para reformar los problemas de privacidad de la atención médica a principios de la década de 1990, los investigadores estudiaron el uso de tarjetas de crédito y tarjetas inteligentes para permitir el acceso a su información médica sin temor a que la robaran. La tarjeta "inteligente" permitía almacenar y procesar información en un microchip singular, pero la gente temía tener tanta información almacenada en un solo lugar al que se pudiera acceder fácilmente. [6] Esta tarjeta "inteligente" incluía el número de seguro social de un individuo como una pieza importante de identificación que puede conducir al robo de identidad si se violan las bases de datos. [6] Además, existía el temor de que las personas apuntaran a estas tarjetas médicas porque contienen información que puede ser valiosa para muchos terceros diferentes, incluidos empleadores, compañías farmacéuticas, comercializadores de medicamentos y revisores de seguros. [6]
En respuesta a la falta de privacidad médica, hubo un movimiento para crear una mejor protección de la privacidad médica, pero no se ha aprobado nada oficialmente. La Oficina de Información Médica se creó así para prevenir el fraude de seguros, pero desde entonces se ha convertido en una importante fuente de información médica para más de 750 compañías de seguros de vida; por lo tanto, es muy peligroso ya que es objeto de violaciones de la privacidad. [6] Aunque el sistema de archivo electrónico de información médica ha aumentado su eficiencia y se han reducido los costos de administración, hay aspectos negativos a considerar. El sistema de archivo electrónico permite que la información individual sea más susceptible a personas externas; aunque su información esté almacenada en una única tarjeta. Por lo tanto, la tarjeta médica sirve como una falsa sensación de seguridad ya que no protege su información por completo.
Con el auge tecnológico, se ha producido una expansión del sistema de archivo de registros y, por tanto, muchos hospitales han adoptado nuevos PCMS. [1] Los PCMS almacenan grandes cantidades de registros médicos y contienen datos personales de muchas personas. Estos se han vuelto críticos para la eficiencia del almacenamiento de información médica debido a los grandes volúmenes de papeleo, la capacidad de compartir información rápidamente entre instituciones médicas y la mayor obligación de presentar informes al gobierno. [1] Los PCMS en última instancia han aumentado la productividad de la utilización de registros de datos y han creado una gran dependencia de la tecnología dentro del campo médico.
También ha generado problemas sociales y éticos porque se considera que el PCMS viola los derechos humanos básicos, ya que ahora es más probable que los hospitales y los servicios de información sanitaria compartan información con empresas de terceros. [1] Por lo tanto, es necesario que haya una reforma para especificar qué personal del hospital tiene acceso a los registros médicos. Esto ha llevado a la discusión sobre los derechos de privacidad y ha creado salvaguardas que ayudarán a los encargados de los datos a comprender situaciones en las que es ético compartir la información médica de un individuo, proporcionar formas para que las personas obtengan acceso a sus propios registros y determinar quién es el propietario de esos registros. . [1] Además, se utiliza para garantizar que la identidad de una persona se mantenga confidencial con fines de investigación o estadísticos y para comprender el proceso para informar a las personas que se está utilizando su información de salud. [1] Por lo tanto, se debe mantener un equilibrio entre privacidad y confidencialidad para limitar la cantidad de información divulgada y proteger los derechos de los pacientes salvaguardando la información sensible de terceros.
Los registros médicos electrónicos son una forma más eficiente de almacenar información médica, pero este tipo de sistema de archivo también tiene muchos aspectos negativos. Los hospitales están dispuestos a adoptar este tipo de sistema de archivo sólo si pueden garantizar que la información privada de sus pacientes esté suficientemente protegida. [2]
Los investigadores han descubierto que la legislación estatal de EE. UU. y la regulación de las leyes de privacidad médica reducen la cantidad de hospitales que adoptan EMR en más de un 24%. [2] Esto se debe a la disminución de las externalidades positivas de la red que se crean mediante protecciones estatales adicionales. [2] Con el aumento de las restricciones contra la difusión de información médica, los hospitales se han negado a adoptar los nuevos EMR porque las leyes de privacidad restringen los intercambios de información médica. Con un número cada vez menor de instituciones médicas que adoptan el sistema de archivo EMR, el plan del gobierno de Estados Unidos de crear una red nacional de salud no ha sido plenamente reconocido. [2] La red nacional costará en última instancia 156 mil millones de dólares en inversiones, pero para que esto suceda, el gobierno de los EE. UU. debe poner un mayor énfasis en la protección de la privacidad individual. [2] Muchos políticos y líderes empresariales consideran que los EMR permiten una mayor eficiencia tanto en tiempo como en dinero, pero no abordan la disminución de las protecciones de la privacidad, lo que demuestra la importante compensación entre los EMR y la privacidad individual. [2]
Los tres objetivos de la seguridad de la información , incluida la seguridad de la información electrónica, son la confidencialidad , la integridad y la disponibilidad . Las organizaciones están intentando cumplir estos objetivos, conocidos como la Tríada de la CIA , que es la "práctica de defender la información del acceso, uso, divulgación, interrupción, modificación, inspección, registro o destrucción no autorizados". [7]
En un editorial de 2004 en el Washington Post , los senadores estadounidenses Bill Frist y Hillary Clinton apoyaron esta observación, afirmando que "[los pacientes] necesitan... información, incluido el acceso a sus propios registros médicos... Al mismo tiempo, debemos garantizar la privacidad de los sistemas, o socavarán la confianza que están diseñados para crear". Un informe de 2005 de la California Health Care Foundation encontró que "el 67 por ciento de los encuestados nacionales se sentían 'algo' o 'muy preocupados' por la privacidad de sus registros médicos personales".
La importancia de la privacidad en los registros médicos electrónicos se hizo prominente con la aprobación de la Ley Estadounidense de Recuperación y Reinversión (ARRA) en 2009. Una de las disposiciones (conocida como Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica [HITECH]) de la ARRA exigió incentivos a los médicos para la implementación de registros médicos electrónicos para 2015. Los defensores de la privacidad en los Estados Unidos han expresado su preocupación por el acceso no autorizado a datos personales a medida que más prácticas médicas cambian de registros médicos en papel a registros médicos electrónicos. [ cita necesaria ] La Oficina del Coordinador Nacional de Tecnología de la Información de Salud (ONC) explicó que algunas de las medidas de seguridad que los sistemas EHR pueden utilizar son contraseñas y números PIN que controlan el acceso a dichos sistemas, cifrado de información y una pista de auditoría para realizar un seguimiento de los cambios realizados en los registros. [ cita necesaria ]
Proporcionar acceso a los pacientes a los EHR es un mandato estricto de la regla de privacidad de HIPAA. Un estudio encontró que cada año se estima que hay 25 millones de autorizaciones obligatorias para la divulgación de registros médicos personales. Sin embargo, los investigadores han descubierto que, como resultado, se abren nuevas amenazas a la seguridad. Algunas de estas amenazas a la seguridad y la privacidad incluyen piratas informáticos, virus , gusanos y las consecuencias no deseadas de la velocidad a la que se espera que los pacientes divulguen sus registros, mientras que con frecuencia contienen términos confidenciales que conllevan el riesgo de divulgación accidental. [8]
Estas amenazas a la privacidad se vuelven más prominentes con la aparición de la " computación en la nube ", que es el uso de potencia de procesamiento informática compartida. [9] Las organizaciones de atención médica utilizan cada vez más la computación en la nube como una forma de manejar grandes cantidades de datos. Este tipo de almacenamiento de datos , sin embargo, es susceptible a desastres naturales , delitos cibernéticos y terrorismo tecnológico , y fallas de hardware. Las violaciones de la información de salud representaron el 39 por ciento de todas las violaciones en 2015. Se necesitan costos e implementaciones de seguridad de TI para proteger a las instituciones de salud contra las violaciones de seguridad y datos. [10]
Aunque los problemas de privacidad relacionados con los exámenes de salud son una gran preocupación entre individuos y organizaciones, se ha prestado poca atención a la cantidad de trabajo que se realiza dentro de la ley para mantener la expectativa de privacidad que la gente desea. [11] Muchas de estas cuestiones se encuentran dentro del carácter abstracto del término "privacidad", ya que existen muchas interpretaciones diferentes del término, especialmente en el contexto de la ley. [11] Antes de 1994, no había habido casos relacionados con las prácticas de detección y las implicaciones para la privacidad médica de un individuo, a menos que se tratara de pruebas de VIH y drogas. [11] Dentro de Glover v Eastern Nebraska Community Office of Retardation , una empleada demandó a su empleador por violar sus derechos de la 4ª enmienda debido a pruebas de VIH innecesarias . [11] El tribunal falló a favor del empleador y argumentó que no era razonable realizar una prueba. Sin embargo, este fue sólo uno de los pocos precedentes que la gente tiene que utilizar. Con más precedentes, las relaciones entre empleados y empleadores estarán mejor definidas. Sin embargo, con más requisitos, las pruebas entre pacientes conducirán a estándares adicionales para cumplir con los estándares de atención médica. [11] La detección se ha convertido en un gran indicador para las herramientas de diagnóstico, sin embargo, existen preocupaciones con respecto a la información que se puede obtener y posteriormente compartir con otras personas además del paciente y el proveedor de atención médica.
One of the main dangers to an individual's privacy are private corporations because of the profits they can receive from selling seemingly private information.[12] Privacy merchants are made up of two groups - one that tries to collect people's personal information while the other focuses on using client's information to market company products.[12] Subsequently, privacy merchants purchase information from other companies, such as health insurance companies, if there is not sufficient information from their own research.[12] Privacy merchants target health insurance companies because, nowadays, they collect huge amounts of personal information and keep them in large databases. They often require patients to provide more information that is needed for purposes other than that of doctors and other medical workers.[12]
Additionally, people's information can be linked to other information outside of the medical field. For example, many employers use insurance information and medical records as an indicator of work ability and ethic.[12] The selling of privacy information can also lead employers to make much money; however, this happens to many people without their consent or knowledge.
Within the United States, in order to define clear privacy laws regarding medical privacy, Title 17 thoroughly explains the ownership of one's data and adjusted the law so that people have more control over their own property.[13] The Privacy Act of 1974 offers more restrictions regarding what corporations can access outside of an individual's consent.[13]
States have created additional supplements to medical privacy laws. With HIPAA, many individuals were pleased to see the federal government take action in protecting the medical information of individuals. Yet when people looked into it, there was proof that the government was still protecting the rights of corporations.[13] Many rules were seen as more of suggestions and the punishment for compromising the privacy of its patients were minimal.[13] Even if release of medical information requires consent, blank authorizations can be allowed and will not ask for individuals for additional consent later on.[13]
Aunque hay un gran grupo de personas que se oponen a la venta de información médica individual, hay grupos como Health Benefits Coalition, Healthcare Leadership Council y Health Insurance Association of America que están en contra de las nuevas reformas para la protección de datos, ya que puede arruinar su trabajo y sus ganancias. [12] Controversias anteriores, como el "Proyecto Nightingale" de Google en 2019, han demostrado posibles lagunas en las regulaciones sobre datos de pacientes e información médica. El Proyecto Nightingale, un esfuerzo conjunto entre Google y la red de atención médica Ascension, se encargó de vender la información médica identificable de millones de pacientes sin su consentimiento. Aunque Google afirmó que su proceso fue legal para obtener la información, hubo preocupación entre los investigadores sobre esta afirmación. [14]
Con la falta de ayuda del Departamento de Salud y Servicios Humanos existe un conflicto de intereses que ha quedado claro. Algunos desean dar mayor importancia a la mejora individual, mientras que otros se centran más en los beneficios externos provenientes de fuentes externas. Los problemas que surgen cuando hay problemas entre los dos grupos tampoco se resuelven adecuadamente, lo que genera leyes y efectos controvertidos. [15] Los intereses individuales tienen prioridad sobre los beneficios de la sociedad en su conjunto y a menudo son vistos como egoístas y para la ganancia de valor del capital. Si el gobierno no realiza más cambios futuros a la legislación actual, innumerables organizaciones y personas tendrán acceso a información médica individual. [15]
En 1999, la Ley Gramm-Leach-Billey (GLBA) abordó el debate sobre la privacidad de los seguros en relación con la privacidad médica. [16] Sin embargo, hubo muchos problemas con la implementación. Un problema era que había requisitos regulatorios inconsistentes dentro de los diferentes estados debido a leyes preexistentes. [16] En segundo lugar, era difícil combinar las leyes preexistentes con el nuevo marco. [16] Y en tercer lugar, para que el gobierno federal implementara estas nuevas reglas, necesitaba que la legislatura estatal las aprobara. [dieciséis]
GLBA tenía como objetivo regular las instituciones financieras para que las corporaciones no pudieran afectar los seguros de las personas. Debido a la dificultad de implementación de la GLBA, las legislaturas estatales pueden interpretar las leyes por sí mismas y crear iniciativas para proteger la privacidad médica. [16] Cuando los estados crean su propia legislatura independiente, crean estándares que comprenden el impacto de la legislación. [16] Si se desvían de las leyes estándar, deben ser válidas y justas. La nueva legislación debe proteger los derechos de las empresas y permitirles seguir funcionando a pesar de la competencia regulada a nivel federal. Los pacientes obtienen beneficios de estos nuevos servicios y estándares a través del flujo de información que tiene en cuenta las expectativas de privacidad médica. [dieciséis]
Estas regulaciones deberían centrarse más en el consumidor que en los beneficios y la explotación política. Muchas veces, las regulaciones son para el beneficio personal de la corporación, por lo tanto, las legislaturas estatales deben tener cuidado con esto y tratar de prevenirlo lo mejor que puedan. [16] La privacidad médica no es un tema nuevo dentro de la industria de seguros , sin embargo, los problemas relacionados con la explotación continúan reapareciendo; se presta más atención a aprovechar el entorno empresarial para beneficio personal. [dieciséis]
En 2001, el presidente George W. Bush aprobó regulaciones adicionales a HIPAA para proteger mejor la privacidad de la información médica individual. [17] Se suponía que estas nuevas regulaciones salvaguardarían la privacidad de la información médica mediante la creación de soluciones integrales para la privacidad de los pacientes. Los objetivos de la nueva regulación incluían ser notificado una vez que se inspecciona la información de un individuo, modificar cualquier registro médico y solicitar oportunidades de comunicación para discutir la divulgación de información. [17]
Sin embargo, existen excepciones en cuanto a cuándo se puede inspeccionar la divulgación de PHI. Esto incluye condiciones específicas entre las fuerzas del orden, los procedimientos judiciales y administrativos, los padres, las personas importantes, la salud pública, la investigación sanitaria y el marketing comercial . [17] Estos aspectos de la falta de privacidad han provocado un número alarmante de lagunas en las medidas de privacidad.
En última instancia, todavía existe una cuestión de cómo garantizar las garantías de privacidad; En respuesta, el gobierno ha creado nuevas regulaciones que hacen concesiones entre la privacidad de un individuo y el beneficio público. Sin embargo, estas nuevas regulaciones aún cubren la información de salud de identificación individual: cualquier dato que contenga información exclusiva de un individuo. [17] Sin embargo, los datos no identificables no están cubiertos ya que el gobierno afirma que causarán un daño mínimo a la privacidad de una persona. También cubre todas las organizaciones de atención médica y también cubre empresas.
Además, según las nuevas incorporaciones de HIPAA, la legislación estatal es más protectora que las leyes nacionales porque creó más obligaciones a seguir para las organizaciones. En última instancia, las nuevas reglas exigían requisitos amplios que crearon mejores medidas de seguridad para las personas. [17] Sin embargo, todavía hay formas en que las empresas y las organizaciones de atención médica pueden estar exentas de las reglas de divulgación para todos los individuos. Por lo tanto, el HHS necesita encontrar más formas de equilibrar las compensaciones personales y públicas dentro de las leyes médicas. Esto crea la necesidad de una intervención gubernamental adicional para hacer cumplir la legislación y nuevos estándares para disminuir la cantidad de amenazas contra la privacidad de los datos de salud de un individuo. [ opinión ]
La pandemia de COVID-19 llevó a un esfuerzo global para utilizar tecnologías, como el rastreo de contactos, para reducir la propagación de la enfermedad. El rastreo de contactos implica notificar a las personas que han estado en contacto con una persona que dio positivo por el virus. Esto llevó a que el público en general se preocupara por los riesgos de privacidad de esta tecnología. En respuesta, en abril de 2020, Apple y Google crearon una API de seguimiento de contactos. [18]
Los pacientes quieren poder compartir información médica con sus médicos, pero les preocupan las posibles violaciones de privacidad que pueden ocurrir cuando divulgan información médica financiera y confidencial. [19] Para garantizar una mejor protección, el gobierno ha creado marcos para mantener la información confidencial; esto incluye ser transparente sobre los procedimientos, la divulgación y protección de la información, y el seguimiento de estas nuevas reglas para garantizar la información de las personas. [19]
Recientemente, médicos y pacientes han comenzado a utilizar el correo electrónico como herramienta de comunicación adicional para el tratamiento y las interacciones médicas. Esta forma de comunicación no es "nueva", pero sus efectos en las relaciones médico-paciente han creado nuevas preguntas sobre problemas legales, morales y financieros. [20]
La Asociación Estadounidense de Informática Médica ha caracterizado los correos electrónicos médicos como una forma de comunicar "consejos médicos, tratamientos e información intercambiada profesionalmente"; sin embargo, el papel que caracteriza la "espontaneidad, la permanencia y el poder de la información" es significativo debido a sus efectos desconocidos. [20] Sin embargo, el uso de correos electrónicos permite un mayor acceso, ayuda inmediata y mayores interacciones entre pacientes y médicos. [20] Hay muchos beneficios y aspectos negativos del uso de correos electrónicos; Los médicos sienten un nuevo sentido de responsabilidad negativa al responder correos electrónicos fuera del consultorio, pero también encuentran beneficios al facilitar respuestas rápidas a las preguntas de los pacientes. [20]
Además, el uso del correo electrónico entre los médicos y sus pacientes seguirá creciendo debido al creciente uso de Internet. Con Internet, los pacientes pueden solicitar asesoramiento y tratamiento médicos, pero surgen cuestiones relativas a la confidencialidad y cuestiones legales. [20] En última instancia, se supone que los correos electrónicos entre un médico y un paciente deben utilizarse como complemento de las interacciones cara a cara, no para mensajes casuales. Si se usan correctamente, los médicos podrían utilizar los correos electrónicos como una forma de complementar las interacciones y brindar más ayuda médica a quienes la necesitan de inmediato. [20]
Aunque muchas personas creen que los cambios tecnológicos son la razón del miedo a compartir la privacidad médica, existe una teoría que afirma que los ideales institucionales entre médicos y sus pacientes han creado el miedo a compartir información de privacidad médica. [21] Aunque los niveles de confidencialidad están cambiando, las personas a menudo sienten la necesidad de compartir más información con sus médicos para poder recibir un diagnóstico correcto. [21] Debido a esto, a la gente le preocupa cuánta información tienen sus médicos. Esta información podría ser transferida a otras empresas de terceros. Sin embargo, existe un llamado a hacer un menor énfasis en el intercambio y la confidencialidad para librar a los pacientes de sus temores a la filtración de información. [21] Existe la creencia común de que la confidencialidad de la información también solo protege a los médicos y no a los pacientes, por lo tanto, existe un estigma negativo hacia revelar demasiada información. [21] Por lo tanto, hace que los pacientes no compartan información vital relevante para sus enfermedades.
El 1 de julio de 2012, el gobierno australiano lanzó el sistema de Historia Clínica Electrónica de Control Personal (PCEHR) (eSalud). [22] La implementación completa incorpora un resumen electrónico preparado por proveedores de atención médica designados junto con notas proporcionadas por los consumidores. Además, el resumen incluye información sobre las alergias, reacciones adversas, medicamentos, vacunas, diagnósticos y tratamientos del individuo. Las notas del consumidor funcionan como un diario médico personal que sólo el individuo puede ver y editar. [23] El sistema de suscripción voluntaria ofrece a las personas la opción de elegir si desean registrarse o no en el registro de eSalud. [24]
A partir de enero de 2016, el Departamento de Salud del Commonwealth cambió el nombre PCEHR a My Health Record. [25]
La Ley de registros médicos electrónicos controlados personalmente de 2012 [26] y la Ley de privacidad de 1988 regulan cómo se gestiona y protege la información de los registros de salud electrónicos. [27] El Operador del sistema PCEHR cumple con los Principios de privacidad de la información [28] de la Ley de privacidad de 1988 (Commonwealth), así como con las leyes de privacidad estatales o territoriales aplicables. [29] Una Declaración de Privacidad [30] establece la aplicación de la recopilación de información personal por parte del Operador del Sistema. La declaración incluye una explicación de los tipos de información personal recopilada, para qué se utiliza la información y cómo se almacena la información. La declaración cubre las medidas implementadas para proteger la información personal contra el uso indebido, la pérdida, el acceso no autorizado, la modificación y la divulgación. [31]
Las medidas de seguridad incluyen pistas de auditoría para que los pacientes puedan ver quién ha accedido a sus registros médicos junto con la hora en que se accedió a ellos. Otras medidas incluyen el uso de cifrado, así como inicios de sesión y contraseñas seguros. Los registros de los pacientes se identifican mediante un Identificador de salud individual (IHI), [32] asignado por Medicare , el proveedor de servicios IHI. [31] [33]
Una encuesta nacional realizada en 2012 en Australia evaluó las preocupaciones sobre la privacidad en las decisiones de atención médica de los pacientes, que podrían afectar la atención al paciente. Los resultados indicaron que el 49,1% de los pacientes australianos declararon que habían ocultado o retendrían información a su proveedor de atención médica por motivos de privacidad. [34]
Una preocupación es que el control personal del registro de eSalud mediante el consentimiento no garantiza la protección de la privacidad. Se argumenta que una definición estricta, "permiso" o "acuerdo", no protege la privacidad y no está bien representada en la legislación australiana. El PCEHR permite a los médicos asumir el consentimiento mediante la participación del consumidor en el sistema; sin embargo, es posible que no se satisfagan las necesidades del consumidor. Los críticos argumentan que se requiere una definición más amplia de "consentimiento informado", ya que abarca la provisión de información relevante por parte del profesional de la salud y la comprensión de esa información por parte del paciente. [35]
Los datos del PCEHR se utilizarán principalmente en la atención sanitaria del paciente, pero son posibles otros usos con fines políticos, de investigación, de auditoría y de salud pública. La preocupación es que, en el caso de la investigación, lo permitido va más allá de la legislación de privacidad existente. [35]
La participación de las empresas farmacéuticas se considera potencialmente problemática. Si el público percibe que están más preocupados por las ganancias que por la salud pública, la aceptación pública de su uso de los PCEHR podría verse cuestionada. También se percibe como problemática la posibilidad de que partes distintas a los profesionales de la salud, como las compañías de seguros, los empleadores, la policía o el gobierno, utilicen la información de una manera que podría resultar en discriminación o desventaja. [35]
Se considera que la "fuga" de información tiene el potencial de disuadir tanto al paciente como al médico de participar en el sistema. Los críticos argumentan que la iniciativa PCEHR sólo puede funcionar si se establece una atención continua segura y eficaz dentro de una relación de confianza entre el paciente y el médico. Si los pacientes pierden la confianza en la confidencialidad de su información de eSalud, pueden ocultar información confidencial a sus proveedores de atención médica. Los médicos pueden mostrarse reacios a participar en un sistema en el que no están seguros de la integridad de la información. [36]
Los expertos en seguridad han cuestionado el proceso de registro, donde quienes se registran sólo tienen que proporcionar un número de tarjeta de Medicare y los nombres y fechas de nacimiento de los miembros de la familia para verificar su identidad. Algunas partes interesadas también han expresado su preocupación por las complejidades inherentes de las funciones de acceso limitado. Advierten que el acceso al contenido de los registros del PCEHR puede implicar la transferencia de información a un sistema local, donde los controles de acceso del PCEHR ya no se aplicarían. [33]
La privacidad de la información del paciente está protegida tanto a nivel federal como provincial en Canadá . La legislación sobre información de salud estableció las reglas que deben seguirse para la recopilación, uso, divulgación y protección de información de salud por parte de los trabajadores de la salud conocidos como "custodios". Se ha definido que estos custodios incluyen a casi todos los profesionales de la salud (incluidos todos los médicos, enfermeras, quiroprácticos, operadores de ambulancias y operadores de hogares de ancianos). Además de los órganos reguladores de trabajadores sanitarios específicos, las comisiones provinciales de privacidad son fundamentales para la protección de la información de los pacientes.
La privacidad de la información del paciente está garantizada por los artículos 78 y 100 del código legal 5510.
Por otro lado, la Institución de Seguridad Social (SGK), que regula y administra las prestaciones de seguridad social patrocinadas por el Estado, vende información de pacientes después de supuestamente anonimizar los datos, confirmado el 25 de octubre de 2014. [37]
El Servicio Nacional de Salud utiliza cada vez más registros médicos electrónicos , pero hasta hace poco, los registros mantenidos por organizaciones individuales del NHS, como médicos generales, NHS Trusts , dentistas y farmacias, no estaban vinculados. Cada organización era responsable de la protección de los datos de los pacientes que recopilaba. El cuidado. El programa de datos , que proponía extraer datos anónimos de las consultas de los médicos de cabecera en una base de datos central, despertó una oposición considerable.
En 2003, el NHS tomó medidas para crear un registro electrónico centralizado de registros médicos. El sistema está protegido por Government Gateway del Reino Unido, que fue creado por Microsoft . Este programa se conoce como Programa de Desarrollo e Implementación de Registros Electrónicos (ERDIP). El Programa Nacional de TI del NHS fue criticado por su falta de seguridad y falta de privacidad del paciente. Fue uno de los proyectos que hizo que el Comisario de Información advirtiera [38] sobre el peligro de que el país "caminara sonámbulo" hacia una sociedad de vigilancia . Grupos de presión [¿ según quién? ] opuesto a las tarjetas de identificación también hizo campaña contra el registro centralizado.
Los periódicos publican historias sobre computadoras y tarjetas de memoria perdidas, pero un problema más común y antiguo es el del personal que accede a registros que no tienen derecho a ver. Siempre ha sido posible que el personal consulte los registros en papel y, en la mayoría de los casos, no existe un seguimiento de los registros. Por lo tanto, los registros electrónicos permiten realizar un seguimiento de quién ha accedido a qué registros. NHS Wales ha creado el Sistema Nacional de Auditoría Integrada Inteligente que proporciona "una gama de informes generados automáticamente, diseñados para satisfacer las necesidades de nuestras juntas y fideicomisos de salud locales, identificando instantáneamente cualquier problema potencial cuando el acceso no ha sido legítimo". Maxwell Stanley Consulting [39] utilizará un sistema llamado Patient Data Protect (impulsado por VigilancePro) que puede detectar patrones, como por ejemplo si alguien está accediendo a datos sobre sus familiares o colegas. [40]
Desde 1974, se han aprobado numerosas leyes federales en los Estados Unidos para especificar los derechos de privacidad y la protección de los datos médicos de los pacientes, médicos y otras entidades cubiertas. Muchos estados han aprobado sus propias leyes para intentar proteger mejor la privacidad médica de sus ciudadanos.
Una ley nacional importante con respecto a la privacidad médica es la Ley de Responsabilidad y Portabilidad del Seguro Médico de 1996 (HIPAA), sin embargo, existen muchas controversias con respecto a los derechos de protección de la ley.
La ley más completa aprobada es la Ley de Responsabilidad y Portabilidad del Seguro Médico de 1996 (HIPAA), que luego fue revisada después de la Regla Ómnibus Final en 2013. HIPAA proporciona un estándar mínimo federal para la privacidad médica, establece estándares para los usos y divulgaciones de información médica protegida. información (PHI) y establece sanciones civiles y penales por infracciones.
Antes de HIPAA, sólo ciertos grupos de personas estaban protegidos por las leyes médicas, como las personas con VIH o aquellas que recibían ayuda de Medicare. [41] HIPAA proporciona protección de la información de salud y complementa leyes estatales y federales adicionales; sin embargo, debe entenderse que el objetivo de la ley es equilibrar los beneficios de salud pública, la seguridad y la investigación mientras se protege la información médica de las personas. Sin embargo, muchas veces, la privacidad se ve comprometida por los beneficios de la investigación y la salud pública.
Según HIPAA, las entidades cubiertas que deben seguir los mandatos establecidos por la ley son los planes de salud, las cámaras de compensación de atención médica y los proveedores de atención médica que transmiten PHI electrónicamente. Los socios comerciales de estas entidades cubiertas también están sujetos a las normas y reglamentos de HIPAA.
En 2008, el Congreso aprobó la Ley de No Discriminación por Información Genética de 2008 (GINA) , cuyo objetivo era prohibir la discriminación genética para las personas que buscaban seguro médico y empleo. La ley también incluía una disposición que exigía que la información genética en poder de los empleadores se mantuviera en un archivo separado y prohibía la divulgación de información genética excepto en circunstancias limitadas.
En 2013, después de que se aprobara GINA, la Regla Ómnibus de HIPAA modificó las regulaciones de HIPAA para incluir información genética en la definición de Información de salud protegida (PHI). Esta regla también amplió HIPAA al ampliar la definición de socios comerciales para incluir cualquier entidad que envíe o acceda a PHI, como proveedores de TI para la salud .
La Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA) es criticada por no proporcionar protecciones sólidas de la privacidad médica, ya que solo establece regulaciones que divulgan cierta información. [42]
El gobierno autoriza el acceso a la información de salud de un individuo para "tratamiento, pago y opciones de atención médica sin el consentimiento del paciente". [42] Además, las reglas de HIPAA son muy amplias y no protegen a un individuo de amenazas desconocidas a su privacidad. Además, un paciente no podría identificar el motivo del incumplimiento debido a requisitos inconsistentes. [42] Debido a la confidencialidad limitada, HIPAA facilita el intercambio de información médica, ya que hay pocas limitaciones por parte de diferentes organizaciones. [42] La información se puede intercambiar fácilmente entre instituciones médicas y otras instituciones no médicas debido a la poca regulación de HIPAA; algunos efectos incluyen la pérdida de empleo debido al intercambio de puntajes crediticios o la pérdida del seguro. [42]
Además, los médicos no están obligados a mantener la confidencialidad de la información de los pacientes porque en muchos casos el consentimiento del paciente ahora es opcional. Los pacientes a menudo no son conscientes de la falta de privacidad que tienen, ya que los procesos y formularios médicos no indican explícitamente hasta qué punto están protegidos. [42] Los médicos creen que, en general, HIPAA generará mandatos poco éticos y no profesionales que pueden afectar la privacidad de una persona y, por lo tanto, en respuesta deben proporcionar advertencias sobre sus preocupaciones sobre la privacidad. [42] Debido a que los médicos no pueden garantizar la privacidad de una persona, existe una mayor probabilidad de que los pacientes tengan menos probabilidades de recibir tratamiento y compartir cuáles son sus preocupaciones médicas. [42] Las personas han pedido mejores requisitos de consentimiento preguntando si los médicos pueden advertirles antes de compartir cualquier información personal. [43] Los pacientes quieren poder compartir información médica con sus médicos, pero les preocupan posibles violaciones que puedan revelar información financiera y otra información confidencial y, con ese temor, desconfían de quién pueda tener acceso. [43]
Para garantizar una mejor protección, el gobierno ha creado marcos para mantener la información confidencial, algunos de los cuales incluyen ser transparentes sobre los procedimientos, la divulgación y protección de la información y el seguimiento de estas nuevas reglas para garantizar que la información de las personas no se vea afectada por violaciones. [43] Aunque existen muchos marcos para garantizar la protección de los datos médicos básicos, muchas organizaciones no tienen estas disposiciones bajo control. HIPAA da una falsa esperanza a los pacientes y médicos porque no pueden proteger su propia información. Los pacientes tienen pocos derechos con respecto a su privacidad médica y los médicos no pueden garantizarlos. [44]
HIPAA no protege la información de las personas ya que el gobierno puede publicar cierta información cuando lo considere necesario. El gobierno está exento de las normas de privacidad relativas a la seguridad nacional. HIPAA además permite la autorización de información de salud protegida (PHI) para ayudar en amenazas a la salud y seguridad públicas, siempre y cuando siga el requisito de buena fe: la idea de que la divulgación de información es necesaria para el beneficio del público. [45] La Ley Modelo de Poderes Estatales de Emergencia (MSEHPA) otorga al gobierno el poder de "suspender regulaciones, confiscar propiedades, poner en cuarentena a personas y hacer cumplir las vacunas" y exige que los proveedores de atención médica brinden información sobre posibles emergencias de salud". [45]
En lo que respecta al huracán Katrina , muchas personas en Luisiana dependieron de Medicaid y su PHI se vio afectada posteriormente. Pronto se renunció a los derechos de privacidad médica de las personas para que los pacientes pudieran recibir el tratamiento que necesitaban. Sin embargo, muchos pacientes no sabían que se había renunciado a sus derechos. [45] Para evitar el intercambio de información personal en futuros desastres naturales, se creó un sitio web para proteger los datos médicos de las personas. [45] En última instancia, Katrina demostró que el gobierno no estaba preparado para enfrentar un problema de salud nacional.
Muchos pacientes creen erróneamente que HIPAA protege toda la información de salud. HIPAA generalmente no cubre rastreadores de actividad física, sitios de redes sociales y otros datos de salud creados por el paciente. Los pacientes pueden divulgar información de salud en correos electrónicos, blogs, grupos de chat o sitios de redes sociales, incluidos aquellos dedicados a enfermedades específicas, dar "me gusta" a páginas web sobre enfermedades, completar verificadores de síntomas y salud en línea y donar a causas de salud. Además, HIPAA tampoco cubre los pagos con tarjeta de crédito por copagos de visitas al médico, compra de medicamentos de venta libre (OTC), productos de pruebas caseras, productos de tabaco y visitas a médicos alternativos.
Un estudio de 2015 informó que había más de 165.000 aplicaciones de salud disponibles para los consumidores. El tratamiento y la gestión de enfermedades representan casi una cuarta parte de las aplicaciones de consumo. Dos tercios de las aplicaciones tienen como objetivo el fitness y el bienestar, y el diez por ciento de estas aplicaciones pueden recopilar datos de un dispositivo o sensor. Dado que la Administración de Alimentos y Medicamentos (FDA) solo regula los dispositivos médicos y la mayoría de estas aplicaciones no son dispositivos médicos, no requieren la aprobación de la FDA. Los datos de la mayoría de las aplicaciones están fuera de las regulaciones de HIPAA porque no comparten datos con proveedores de atención médica. "Los pacientes pueden asumir erróneamente que las aplicaciones móviles están bajo el alcance de HIPAA, ya que los mismos datos, como la frecuencia cardíaca, pueden recopilarse mediante una aplicación a la que puede acceder su médico y cubierta por HIPAA, o en una aplicación móvil a la que no se puede acceder. al médico y no está cubierto por HIPAA.
En 2000, hubo un nuevo impulso para agregar nuevas regulaciones a HIPAA. Incluía los siguientes objetivos: proteger la información médica individual proporcionando acceso seguro y control de su propia información, mejorar la calidad de la atención médica creando más confianza entre los consumidores y sus proveedores de atención médica y organizaciones de terceros, y mejorar la eficiencia del sistema médico a través de nuevas reglas y regulaciones propuestas por los gobiernos, individuos y organizaciones locales. [46]
La implementación de estos nuevos objetivos se complicó por el cambio de administraciones (de Clinton a Bush), por lo que fue difícil que los cambios se implementaran con éxito. [46] HIPAA, en teoría, debería aplicarse a todas las compañías, servicios y organizaciones de seguros, pero existen excepciones sobre quiénes realmente califican en estas categorías.
Sin embargo, dentro de cada categoría, existen restricciones específicas que son diferentes en cada categoría. No existen leyes universales que puedan aplicarse fácilmente y que las organizaciones puedan seguir fácilmente. Por lo tanto, muchos estados han descuidado la implementación de estas nuevas políticas. Además, existen nuevos derechos de los pacientes que exigen una mejor protección y divulgación de la información de salud. Sin embargo, al igual que las nuevas normas relativas a las compañías de seguros, la aplicación de la legislación es limitada y no eficaz, ya que es demasiado amplia y compleja. [46] Por lo tanto, es difícil para muchas organizaciones garantizar la privacidad de estas personas. Hacer cumplir estos nuevos requisitos también hace que las empresas gasten muchos recursos que no están dispuestas a utilizar y hacer cumplir, lo que en última instancia genera más problemas relacionados con la invasión de la privacidad médica de un individuo. [46]
La Ley de Privacidad Genética de Oregón (GPA) establece que "la información genética de un individuo es propiedad del individuo". [47] La idea de comparar el ADN de un individuo con la propiedad surgió cuando la investigación hizo que la privacidad de un individuo se viera amenazada. Muchas personas creían que su información genética era "más sensible, personal y potencialmente dañina que otros tipos de información médica". [47] Por lo tanto, la gente comenzó a pedir más protecciones. La gente comenzó a preguntarse cómo su ADN podría permanecer anónimo dentro de los estudios de investigación y argumentaron que la identidad de un individuo podría quedar expuesta si la investigación se compartiera más tarde. Como resultado, se hizo un llamamiento a las personas para que trataran su ADN como propiedad y lo protegieran mediante derechos de propiedad. Por lo tanto, las personas pueden controlar la divulgación de su información sin realizar preguntas ni investigaciones adicionales. [47] Mucha gente creía que comparar el ADN de una persona con la propiedad era inapropiado, sin embargo, los individuos argumentaron que la propiedad y la privacidad están interconectadas porque ambas quieren proteger el derecho a controlar el propio cuerpo. [47]
Muchas empresas farmacéuticas y de investigación mostraron oposición porque estaban preocupadas por los conflictos que pudieran surgir en relación con cuestiones de privacidad dentro de su trabajo. Los individuos, por otro lado, continuaron apoyando la ley porque querían protección sobre su propio ADN. [47] Como resultado, los legisladores crearon un compromiso que incluía una cláusula de propiedad, que otorgaría a los individuos derechos de protección, pero también incluía disposiciones que permitirían realizar investigaciones sin mucho consentimiento, limitando los beneficios de las disposiciones. [47] Posteriormente, se creó un comité para estudiar los efectos del acto y cómo afectó la forma en que fue analizado y almacenado. [47] Descubrieron que la ley beneficiaba a muchas personas que no querían que su privacidad fuera compartida con otros y, por lo tanto, la ley se implementó oficialmente en 2001. [47]
Para resolver los problemas de HIPAA dentro de Connecticut, las legislaturas estatales intentaron crear mejores disposiciones para proteger a las personas que viven dentro del estado. [41] Uno de los problemas que Connecticut intentó resolver fueron los problemas relacionados con el consentimiento. Dentro de la cláusula de consentimiento, los planes de salud y las cámaras de compensación de atención médica no necesitan recibir el consentimiento de las personas debido a que un formulario de consentimiento general del proveedor les otorga permiso a los proveedores de atención médica para revelar toda la información médica. [41] Por lo tanto, el paciente no recibe notificación cuando su información se comparte posteriormente. [41]
Connecticut, como muchos otros estados, intentó proteger la información de las personas de la divulgación de información mediante cláusulas adicionales que los protegerían de iniciativas comerciales. [41] Para ello, la legislatura de Connecticut aprobó la Ley de Protección de Privacidad e Información de Seguros de Connecticut, que proporciona protecciones adicionales de la información médica individual. Si terceros no cumplen con esta ley, serán multados, pueden enfrentar penas de cárcel y se les pueden suspender sus licencias. [41] Sin embargo, incluso en estas disposiciones adicionales, había muchos agujeros dentro de esta legislación que permitían que se negaran acuerdos comerciales y, posteriormente, la información se viera comprometida. Connecticut todavía está trabajando para cambiar sus propósitos divergentes para crear requisitos más estrictos que generen mejores protecciones a través de disposiciones claras de ciertas políticas. [48]
En California , la Ley de Confidencialidad de la Información Médica (CMIA) proporciona protecciones más estrictas que los estatutos federales. [49] HIPAA establece expresamente que las leyes estatales más estrictas, como la CMIA, anularán los requisitos y sanciones de HIPAA. Más específicamente, la CMIA prohíbe a los proveedores, contratistas y planes de servicios de atención médica divulgar PHI sin autorización previa.
Estas leyes de privacidad médica también establecen un estándar más alto para los proveedores de TI de salud o de registros médicos personales (PHR) de un individuo al aplicar dichos estatutos a los proveedores, incluso si no son socios comerciales de una entidad cubierta. CMIA también describe sanciones por violar la ley. Estas sanciones van desde la responsabilidad hacia el paciente (daños compensatorios, daños punitivos, honorarios de abogados, costas del litigio) hasta responsabilidad civil e incluso penal. [50]
Asimismo, la Ley de Protección de la Privacidad e Información de Seguros de California [51] (IIPPA) protege contra la divulgación no autorizada de PHI al prohibir el intercambio no aprobado de información recopilada de solicitudes de seguros y resolución de reclamos.
En Nueva Zelanda , el Código de Privacidad de la Información de Salud (1994) establece reglas específicas para que las agencias del sector de la salud garanticen mejor la protección de la privacidad individual. El código aborda la información de salud recopilada, utilizada, retenida y divulgada por las agencias de salud. Para el sector salud, el código reemplaza los principios de privacidad de la información.
La introducción de un sistema nacional para el intercambio de información médica y el acceso a los registros electrónicos de los pacientes generó mucha discusión en los Países Bajos . [52]
En el transcurso de tener o ser parte de una práctica médica, los médicos pueden obtener información que deseen compartir con la comunidad médica o de investigación. Si esta información se comparte o publica, se debe respetar la privacidad de los pacientes. Asimismo, los participantes en investigaciones médicas que están fuera del ámbito de la atención directa al paciente también tienen derecho a la privacidad.
Si bien la privacidad médica sigue siendo un derecho importante, también es crucial equilibrar la privacidad con la innovación. Al limitar los datos de los pacientes en respuesta a violaciones de la privacidad, se obstaculiza potencialmente la innovación en medicina basada en datos. Además, mantener los datos en secreto para obtener una ventaja competitiva también plantea múltiples preocupaciones, lo que podría ralentizar los avances en las pruebas médicas (por ejemplo, Myriad Genetics ). [53]
