HIPAA: qué puedes divulgar sin autorización y la regla del mínimo necesario
El CCMA no te pide recitar HIPAA. Te pone una llamada, un fax, un subpoena o una contestadora y te pregunta qué puede salir de la oficina. Casi todos los errores vienen de dos extremos: soltarle información a alguien que suena con derecho a tenerla, o negar una divulgación que la Privacy Rule sí permite. Apréndete las divulgaciones permitidas como una lista corta, porque todo lo que no está en ella necesita una autorización firmada.
| Treatment, payment y operations | No requiere autorización (45 CFR 164.506) — pero igual tienes que verificar la identidad Y la autoridad de quien pide, si no lo conoces (45 CFR 164.514(h)) |
| Mínimo necesario | Limita cada uso, divulgación y solicitud al mínimo de PHI necesario para el propósito (45 CFR 164.502(b)) |
| Dónde NO aplica el mínimo necesario | De proveedor a proveedor para tratamiento, divulgación al propio paciente, todo lo que va bajo una autorización firmada, lo que otra ley exige, y los reportes a HHS por cumplimiento |
| Familiares | Ser esposo, hijo adulto o mamá no es autorización. La 45 CFR 164.510(b) solo permite la información directamente relacionada con la participación de esa persona en el cuidado, y con el acuerdo del paciente — una divulgación completa del expediente necesita autorización o ser el representante personal |
| Reporte de salud pública | Una enfermedad reportable como la TB activa va al departamento de salud estatal o local sin autorización (45 CFR 164.512(b)). El departamento de salud, no tu oficina, es quien lo manda a los CDC, y la objeción del paciente no suspende el reporte |
| Subpoena firmado por un abogado | No es una orden judicial. Para soltar el expediente hacen falta satisfactory assurances — aviso al paciente con oportunidad de objetar, o una qualified protective order (45 CFR 164.512(e)). Se lo pasas al proveedor o al privacy officer |
| Aviso de breach al paciente | Sin demora irrazonable y a más tardar 60 días calendario después del descubrimiento (45 CFR 164.404); si afecta a 500 o más residentes de un estado, además hay aviso a medios y a HHS dentro de esos mismos 60 días |
| Derecho de acceso | Hay que actuar sobre la solicitud en 30 días, con una sola extensión de 30 días (45 CFR 164.524). Un balance pendiente nunca es razón para retener el expediente — eso además es information blocking bajo 45 CFR Parte 171 |
| Contestadora y voicemail | Se permite: nombre de la oficina, número para devolver la llamada y la petición de que llame. No se permite: resultados, el nombre del especialista ni la razón del referido |
| Cómo desechar | Triturar, incinerar o convertir en pulpa para que el PHI no se pueda leer ni reconstruir (45 CFR 164.530(c)). El contenedor de reciclaje es una violación que hay que reportar |
Dónde se pierde el punto: Hay dos números que se intercambian todo el tiempo: 60 días calendario es la notificación de breach al paciente, y 30 días es responder a una solicitud de derecho de acceso. Y la identidad no es autoridad: quien te recita bien la fecha de nacimiento probó quién es, no que tenga derecho a nada. Verificación y autorización son dos puertas distintas, y la opción de "pídele primero la fecha de nacimiento" está puesta justamente para eso.
HIPAA: qué puedes divulgar sin autorización y la regla del mínimo necesario
12 preguntas sobre regla del mínimo necesario de HIPAA, con explicación y cita del estatuto en cada respuesta.
12 preguntas
Línea de aprobación: 78%, igual que el examen real
Otros temas
- Monitoreo del autoclave: qué prueba de verdad que una carga quedó estéril
- Normas de documentación y cómo corregir un error en el expediente
- Consentimiento informado, consentimiento implícito y quién está obligado a obtenerlo
- Asepsia médica vs quirúrgica y los niveles de Spaulding
- Orden de extracción y aditivos de los tubos en el CCMA
- La norma de patógenos transmitidos por la sangre de OSHA: los deberes del empleador que evalúa el CCMA
- Secuencia para ponerse y quitarse el EPP (el orden de los CDC)
- El alcance de práctica del asistente médico y dónde termina exactamente
- Punzocortantes, residuos regulados y qué va de verdad en la bolsa roja
- Precauciones estándar vs. precauciones basadas en la transmisión: qué patógeno lleva cuál
- Rangos normales de signos vitales y los errores de técnica que los falsean
Ver todos los temas · Guías de estudio · Examen de práctica completo