Modelos de Avisos de Prácticas de Privacidad

La Regla de Privacidad de HIPAA otorga a las personas el derecho a ser informadas sobre las prácticas de privacidad de sus planes de salud y de la mayoría de los proveedores de atención médica, así como sobre sus derechos relacionados con la información personal de salud. Los planes de salud y los proveedores de atención médica cubiertos deben desarrollar y distribuir un aviso claro que explique estas prácticas y derechos. El aviso tiene como objetivo ayudar a las personas a comprender los asuntos de privacidad, discutirlos con sus planes y proveedores, y ejercer sus derechos.

Regla general

Una persona tiene derecho a un aviso adecuado sobre cómo una entidad cubierta puede usar y divulgar información médica protegida, los derechos de la persona y las obligaciones de la entidad cubierta con respecto a esa información. La mayoría de las entidades cubiertas deben desarrollar y proporcionar este aviso.

La Regla de Privacidad no exige que las siguientes entidades cubiertas desarrollen un aviso:

• Una cámara de compensación de atención médica cuya única información médica protegida se crea o recibe como asociado comercial de otra entidad cubierta.
• Una institución correccional que es una entidad cubierta.
• Un plan de salud grupal que proporciona beneficios únicamente a través de contratos de seguro o de HMO y no recibe información médica protegida distinta de la información resumida, de inscripción o de cancelación de inscripción.

Vea 45 CFR 164.500(b)(1) y 45 CFR 164.520(a).

El aviso de una entidad cubierta debe utilizar un lenguaje claro y describir:

• Cómo la entidad cubierta puede usar y divulgar la información médica protegida de una persona.
• Los derechos de la persona y cómo ejercerlos, incluyendo cómo presentar una queja ante la entidad cubierta.
• Los deberes legales de la entidad cubierta, incluyendo su deber de mantener la privacidad de la información médica protegida.
• A quién contactar para obtener más información sobre sus políticas de privacidad.
• La fecha de vigencia del aviso.

Vea 45 CFR 164.520(b). Una entidad cubierta debe revisar y distribuir su aviso con prontitud después de modificar sustancialmente sus prácticas de privacidad.

• Una entidad cubierta debe poner su aviso a disposición de cualquier persona que lo solicite.
• Una entidad cubierta debe publicar de manera visible y poner a disposición el aviso en cualquier sitio web que mantenga y que describa servicios o beneficios a clientes.

Planes de salud

Los planes de salud también deben:

• Proporcionar el aviso a los nuevos inscritos al momento de la inscripción.
• Proporcionar un aviso revisado después de una modificación sustancial según lo exija la ley.
• Notificar periódicamente a las personas cubiertas que el aviso está disponible y explicar cómo obtenerlo.

Proveedores de tratamiento directo cubiertos

Los proveedores de tratamiento directo cubiertos también deben:

• Proporcionar el aviso a más tardar en la primera prestación del servicio y, salvo en caso de emergencia, hacer un esfuerzo de buena fe para obtener un acuse de recibo por escrito. Si no se puede obtener el acuse de recibo, documentar el esfuerzo y el motivo.
• Cuando el primer servicio se preste electrónicamente, enviar el aviso automáticamente y al mismo tiempo que la primera solicitud de servicio de la persona, y hacer un esfuerzo de buena fe para obtener un acuse de recibo u otra respuesta.
• Después de que finalice una situación de tratamiento de emergencia, proporcionar el aviso tan pronto como sea razonablemente posible.
• Poner el aviso vigente a disposición en el consultorio o instalación del proveedor y publicarlo en un lugar claro y visible.

Una entidad cubierta puede enviar el aviso por correo electrónico cuando la persona acepte recibirlo electrónicamente. Vea 45 CFR 164.520(c).

Una entidad cubierta, incluyendo una entidad cubierta híbrida o afiliada, puede desarrollar más de un aviso cuando realiza diferentes funciones cubiertas y sus prácticas de privacidad varían entre ellas. Se alienta a las entidades cubiertas a proporcionar a las personas el aviso más específico posible.

Las entidades cubiertas que participan en un arreglo organizado de atención médica pueden utilizar un solo aviso conjunto cuando se cumplan los requisitos legales. El aviso conjunto debe describir las entidades cubiertas y los lugares de servicio a los que se aplica. Si una entidad participante proporciona el aviso conjunto, el requisito de distribución se cumple para las demás entidades participantes. Vea 45 CFR 164.520(d).