Che cos'è HIPAA e in che modo influisce sulla nostra comprensione del coronavirus?

L'atto ampiamente frainteso viene invocato per limitare l'accesso ai dati COVID-19

Lenox Hill Hospital di Manhattan, New York, il 7 aprile 2020. (John Nacion/STAR MAX/IPx)

Questa spiegazione è stata originariamente pubblicata in Copertura COVID-19 , il nostro briefing quotidiano Poynter su giornalismo e coronavirus, scritto dalla facoltà senior Al Tompkins. Iscriviti qui per riceverlo nella tua casella di posta ogni mattina nei giorni feriali.

Niente ci aiuterebbe a capire la gravità della situazione COVID-19 più che se potessimo vedere gli effetti che si stanno svolgendo nei nostri ospedali.

Gli ospedali stanno impedendo ai giornalisti di documentare com'è dentro le loro mura e la carenza di ventilatori e altre forniture, quindi ci affidiamo ai social media e colloqui con i medici . Ma vedere per credere, dice un vecchio proverbio. È vero in guerra, è vero nei disastri, e questa è sia una guerra che un disastro.

'C'è un inequivocabile valore di notizie nel portare le immagini delle persone dall'interno degli ospedali, dalla prima linea di questo virus', il presidente di NBC News Noah Oppenheim ha detto al Washington Post . Ha aggiunto: 'È fondamentale ottenere quante più immagini possibili nel mondo'.

Tocchiamo i freni abbastanza a lungo da dire che nessuna persona ragionevole suggerirebbe ai giornalisti di intrufolarsi negli ospedali per scattare foto. E nessuna persona ragionevole suggerirebbe ai giornalisti di aggirare i pazienti colpiti senza le massime precauzioni e protezione. Abbiamo già perso colleghi a causa di questa malattia e altri si sono già ammalati.

Ma c'è molto da sapere su chi e cosa HIPAA copre e non copre.

Da quando l'Health Insurance Portability and Accountability Act del 1996 e la normativa sulla privacy che lo accompagna sono stati approvati nel 2003, è diventato un ostacolo per i giornalisti che cercano anche informazioni di base da ospedali, case di cura, dipartimenti sanitari, medici legali e polizia.

Ora, in un momento in cui il pubblico richiede dati affidabili sulla diffusione e gli effetti del COVID-19, i giornalisti non possono ottenere i dati e le immagini che aiuterebbero il pubblico a comprendere l'urgenza di questa pandemia. Non si potrebbe negare la carenza di dispositivi di protezione se potessimo vederlo.

In Florida, Il governatore Ron DeSantis ha rifiutato di nominare le case di cura dove i pazienti sono risultati positivi. Il Tampa Bay Times (di proprietà di Poynter) ha riportato:

L'amministrazione DeSantis ha basato il suo rifiuto, finora, di nominare case con risultati positivi sulla sua volontà di proteggere la riservatezza dei residenti. Sebbene non abbia nominato la legge, DeSantis sembra invocare l'Health Insurance Portability and Accountability Act, o HIPAA, che protegge le cartelle cliniche e la privacy dei pazienti.

Pamela Marsh, un ex alto procuratore federale che ora dirige il Fondazione Primo Emendamento con sede a Tallahassee , ha suggerito che la legge HIPAA è una foglia di fico utilizzata per nascondere informazioni vitali.

'Quelle informazioni dovrebbero essere rese disponibili', ha detto Marsh, l'ex procuratore degli Stati Uniti per la Florida settentrionale, al (Miami) Herald. 'Non può essere normale per le famiglie dei propri cari in cura'.

Quando il governo statale non nominerebbe le case di cura, le stesse imprese hanno detto al pubblico che alcuni dei loro residenti erano risultati positivi al virus.

Il gruppo no-profit Families for Better Care ha lanciato una campagna sui social media attaccando il governatore per non aver riportato ciò che anche le stesse case di cura hanno rilasciato.

Un post su Twitter di Families for Better Care (@FFBC)

Anche se alcune case di cura e ospedali sostengono l'HIPAA come motivo per non rilasciare informazioni generali sui pazienti che hanno curato, ci sono molti esempi di casi in cui riferiscono regolarmente tali cose. Brian Lee, il direttore esecutivo di Families for Better Care, ha dichiarato a WJXT-TV (Jacksonville):

“Senti, pubblicano informazioni sulle strutture in tutto il loro sito web. Hanno risultati di ispezione ogni volta che ci sono focolai di scabbia, ci sono focolai di norovirus, le informazioni vengono rilasciate. Non possono più usare quella scusa. È ridicolo. Non stanno rilasciando le informazioni sanitarie individuali di nessuno. Ecco di cosa tratta HIPAA: informazioni sulla salute individuale'.

In Iowa, i funzionari sanitari di diverse contee non hanno rilasciato il numero di persone che avevano sostenuto i test COVID-19 e hanno citato l'HIPAA come uno dei motivi per cui non avrebbero rilasciato le informazioni. Direttore esecutivo dell'Iowa Freedom of Information Council Randy Evans ha sottolineato gli stessi ospedali non hanno problemi a segnalare quanti bambini nascono nelle loro strutture ogni anno.

La prima cosa da capire è che HIPAA riguarda SOLO 'entità coperte', che includono fornitori di assistenza sanitaria (come EMT, medici, infermieri e assistenti sociali) e compagnie assicurative. L'HIPAA non copre giornalisti, polizia e vigili del fuoco (tranne i paramedicinali). L'HIPAA non copre le organizzazioni religiose che non sono fornitori di assistenza sanitaria.

Il Dipartimento della salute e dei servizi umani degli Stati Uniti ha emesso a pagina informativa specifica per come HIPAA si collega all'epidemia di COVID-19. L'avviso ricorda agli operatori sanitari, compresi i medici, che non possono rilasciare informazione specifica su un paziente - il nome di tale persona che è risultato positivo (o negativo) per COVID-19 - senza l'autorizzazione scritta del paziente.

Ma siamo chiari: HIPAA era destinato a proteggere le informazioni mediche e sanitarie individuali . Tali protezioni individuali si applicano ancora anche in caso di pandemia. HIPAA non consente a un fornitore di assistenza di rilasciare informazioni demografiche individuali, ma la parola chiave è 'individuo'. Ecco perché gli ospedali possono, ad esempio nel caso di una sparatoria di massa, dire quante persone sono state ricoverate, sono state operate, sono state curate e dimesse.

HIPAA copre 'Informazioni sanitarie protette', che sono informazioni che renderebbero identificabile una persona. Quindi, anche se non sarebbe una violazione HIPAA per un operatore sanitario dire che il 70% dei suoi letti in terapia intensiva è pieno o che ha testato 300 persone o che tutte le persone in terapia intensiva hanno più di 65 anni, sarebbe una violazione per dire 'Al Tompkins è in terapia intensiva'. Ancora una volta, questo è solo per una 'entità coperta'. Non è una violazione HIPAA per un giornalista segnalare un nome, è solo un problema per il fornitore di assistenza sanitaria.

E l'HIPAA consente a un fornitore di assistenza sanitaria di rilasciare anche informazioni di identificazione personale a un'autorità sanitaria pubblica, ad esempio i Centers for Disease Control and Prevention, allo scopo di controllare una malattia, come il COVID-19. (Vedere 45 CFR § 164.501 e 164.512(b)(1)(i).)

Il mio amico, il consulente legale della National Press Photographers Association Mickey Osterreicher, ne ha offerti alcuni consigli per i giornalisti se poliziotti o ospedali cercano di fermare la tua segnalazione di COVID-19 . Ha detto che sta sentendo da alcuni fotoreporter che gli ospedali hanno cercato di utilizzare l'HIPAA come motivo per vietare ai fotografi di fotografare edifici o lavoratori degli ospedali.

Ha pubblicato anche ProPublica aiuto per i giornalisti che cercano di navigare le regole HIPAA :

Anche con HIPAA, puoi comunque ottenere dati 'annullati'.

Se un set di dati è stato 'de-identificato', le regole sulla privacy di HIPAA non applicare . Esistono due metodi per la de-identificazione: “ porto sicuro ', che sopprime i campi che rivelano informazioni di identificazione personale e 'determinazione esperta', che si basa su esperti per verificare che vi sia un rischio limitato di identificare i pazienti.

• Verifica se i dati non identificati sono disponibili per il download online. Le agenzie sanitarie locali e statali a volte mettono online set di dati non identificati. Questi set di dati hanno restrizioni minime, se del caso, sul loro utilizzo.
• Chiedi a un ufficiale di registrazione di rimuovere i campi di identificazione personale. Se i dati sanitari desiderati includono identificatori personali, considera la possibilità di richiedere i dati con queste variabili rimosse o oscurate. Se ci sono numeri di conto o di previdenza sociale per identificare ogni paziente, chiedi ID fittizi (ma assicurati di scoprire quali variabili sono state sostituite da numeri fittizi).
• Richiedi dati aggregati. Alcuni funzionari possono negare la tua richiesta sulla base del fatto che aggregare i dati equivale a 'creare' dati, cosa che potrebbero non essere legalmente obbligati a fare. Quindi chiedi gentilmente e negozia! Se sei in grado di ottenere dati aggregati (o dati che puoi pubblicare solo in forma aggregata), ti potrebbe essere vietato pubblicare dati su piccoli gruppi di persone al fine di proteggere la privacy dei pazienti.

Al Tompkins è professore senior alla Poynter. Può essere raggiunto via e-mail o su Twitter, @atompkins.