Formularios de divulgación y autorización HIPAA explicados

Un formulario de divulgación HIPAA, o con más precisión una autorización HIPAA, es un permiso escrito firmado por un paciente que permite a una covered entity usar o divulgar su información de salud protegida para una finalidad que la Privacy Rule no permite por otra vía. Este artículo explica qué son estos formularios y cómo funcionan, y te remite a fuentes oficiales. Es información general, no asesoramiento legal, y deliberadamente no ofrece un formulario legal para rellenar.

Qué es de verdad una divulgación HIPAA

Según la Privacy Rule de HIPAA, la información de salud protegida (PHI) puede circular libremente para unas pocas finalidades básicas (tratamiento, pago y operaciones sanitarias habituales) sin que el paciente firme nada concreto cada vez. Una autorización HIPAA es el documento que necesitas cuando la información tiene que salir de ese flujo normal: enviar historiales a un empleador, un abogado, un centro educativo, una aseguradora de vida o un familiar, o usar la PHI para marketing o investigación. Convierte una divulgación que de otro modo no estaría permitida en una permitida, gracias al permiso explícito e informado de la persona. La gente lo llama «formulario de divulgación», «divulgación de historiales médicos» o «formulario de consentimiento», pero el objeto con relevancia jurídica es la autorización, y tiene requisitos de contenido concretos.

Los elementos obligatorios de una autorización válida

La Privacy Rule es prescriptiva sobre lo que debe contener una autorización válida. Si falta algún elemento obligatorio, la autorización puede ser inválida, y una divulgación hecha con una autorización inválida puede ser en sí misma una infracción. Las piezas obligatorias se dividen en dos grupos.

• Elementos básicos. Una descripción específica y significativa de la información que se va a usar o divulgar; el nombre o la categoría de la persona o personas autorizadas a hacer la divulgación; el nombre o la categoría de la persona, personas o entidades que pueden recibirla; una descripción de cada finalidad; una fecha o un suceso de caducidad; y la firma y la fecha de la persona (o la firma de un representante personal, con una descripción de su autoridad).
• Declaraciones obligatorias. Una declaración del derecho de la persona a revocar la autorización y de cómo hacerlo; una declaración de que, en general, la covered entity no puede condicionar el tratamiento, el pago, la inscripción o la elegibilidad a la firma (con excepciones limitadas); y una declaración de que la información divulgada en virtud de la autorización puede ser divulgada de nuevo por quien la recibe y dejar de estar protegida por HIPAA.

Además, una autorización debe redactarse en lenguaje claro y debe entregarse una copia a la persona. Como la «descripción específica y significativa» y la caducidad tienen que ajustarse a la divulgación real, una plantilla genérica de internet rara vez cumple por sí sola la norma.

Consentimiento frente a autorización: una distinción que importa

Estas dos palabras se usan a la ligera en el lenguaje cotidiano, pero significan cosas distintas en HIPAA. Un consentimiento general (el tipo de formulario que firmas al ingresar aceptando el tratamiento) no es lo que la Privacy Rule entiende por autorización, y HIPAA no exige un consentimiento firmado para que un proveedor use la PHI para el tratamiento, el pago y las operaciones. Una autorización es el documento formal y con elementos concretos que la norma sí exige para los usos no habituales: divulgar historiales a un tercero, la mayor parte del marketing, cualquier venta de PHI y la mayor parte de la investigación. La regla práctica: si la información circula para la atención habitual, normalmente no hace falta una autorización HIPAA firmada; si circula para cualquier cosa fuera del tratamiento, el pago y las operaciones, casi seguro que hace falta una autorización válida. Las leyes estatales y las normas sobre historiales especialmente sensibles (por ejemplo, ciertos historiales de salud mental o de consumo de sustancias) pueden añadir requisitos adicionales.

Revocación y caducidad

Una autorización no es permanente. En general, la persona tiene derecho a revocarla en cualquier momento por escrito, y el formulario debe explicar ese derecho. La revocación detiene las divulgaciones futuras, pero no revierte las actuaciones ya realizadas confiando en la autorización. Toda autorización debe llevar además una fecha o un suceso de caducidad, de modo que termina por sus propios términos salvo que se redactara para durar hasta un suceso indicado, como la conclusión de un asunto legal concreto.

Dónde encontrar fuentes oficiales

No existe un único formulario oficial universal, porque el documento adecuado depende de la organización, de la divulgación concreta y de la ley estatal aplicable. La fuente autorizada sobre los requisitos es la Office for Civil Rights del Departamento de Salud y Servicios Humanos (HHS) de EE. UU., que publica la Privacy Rule y orientaciones detalladas sobre las autorizaciones y sobre el derecho de las personas a acceder a sus propios historiales. La mayoría de las covered entities elaboran sus propios formularios de autorización para cumplir los elementos obligatorios, normalmente con revisión legal, y muchas plataformas de historia clínica electrónica y portales del paciente incluyen plantillas conformes. Si estás evaluando una de esas plataformas como proveedor, confirma que gestiona correctamente las autorizaciones y que el proveedor firmará un business associate agreement: el tipo de pregunta que está pensada para sacar a la luz una evaluación de riesgos de proveedores. Para las normas más amplias en las que se enmarcan estos formularios, consulta nuestro explicativo sobre el cumplimiento de HIPAA, y ten en cuenta que la HITECH Act reforzó los derechos de acceso de las personas y los de notificación de brechas, que interactúan con estas divulgaciones.

Preguntas frecuentes

¿Qué es un formulario de divulgación HIPAA? Una autorización escrita y firmada que permite a una covered entity usar o divulgar la PHI de un paciente para una finalidad que la Privacy Rule no permite por otra vía, como enviar historiales a un tercero.

¿Qué debe incluir una autorización válida? Elementos básicos (descripción específica de la información, quién divulga, quién recibe, finalidad, caducidad, firma y fecha) y declaraciones obligatorias (derecho a revocar, no condicionar nada a la firma y riesgo de nueva divulgación), en lenguaje claro y con una copia para la persona.

¿En qué se diferencia el consentimiento de la autorización? El consentimiento es amplio y a menudo no se exige para el tratamiento, el pago y las operaciones habituales; la autorización es un documento concreto y obligatorio para las divulgaciones no habituales, como las divulgaciones a terceros, el marketing y la investigación.

¿Dónde consigo una plantilla oficial? En las orientaciones de la Office for Civil Rights del HHS, más tu propio formulario revisado legalmente; no existe un único formulario oficial universal, y aquí no ofrecemos uno para rellenar.

¿Puede un paciente revocarla? Sí, en general por escrito y en cualquier momento; la revocación detiene las divulgaciones futuras pero no las ya hechas, y toda autorización tiene además una fecha o un suceso de caducidad.