Leyes HIPAA: ¿Qué daños, en caso de haberlos, puede un paciente recuperar cuando los datos de salud privados de ese paciente se divulgan a un tercero que no sea el proveedor del paciente sin el consentimiento o conocimiento del paciente?

En cuanto a los daños que un paciente puede recuperar, esto es ciertamente posible (al menos en algunos estados) y ha habido algunos juicios civiles por parte de los pacientes por daños consecuentes. No estoy muy familiarizado con esos resultados, así que dejaré ese tema a los abogados en nuestro medio. En general, las organizaciones como la que trabajo se han centrado principalmente en lidiar con las auditorías y requisitos federales y estatales. Esos son suficientes para preocuparse.

Las reglas federales ya han sido abordadas por otros aquí. Más allá de los estrictos requisitos y sanciones de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), California (estado) tiene sus propios requisitos aún más graves de notificación y sanciones, promulgados en 2008 (AB 211 Assembly Bill y SB 541 Senate Cuenta). Parte del ímpetu para la aprobación de estas leyes fue una violación de PHI que involucraba a la esposa del entonces gobernador Arnold Schwarzenegger.

“El Departamento de Salud del estado [de California], después de la investigación, puede evaluar una sanción administrativa por una violación de esta sección de hasta $ 25,000 por paciente cuya información médica fue accedida, utilizada o divulgada ilegalmente o sin autorización, y hasta $ 17,500 por la aparición posterior de acceso, uso o divulgación ilegal o no autorizada de la información médica de ese paciente “.

Muchos otros estados han promulgado regulaciones similares propias. Entre la HIPAA y las leyes estatales, tanto la organización como los empleados culpables pueden ser responsables de sanciones civiles o penales. Las sanciones son más severas cuando la PHI se usó para obtener ganancias financieras y puede incluir el tiempo en la cárcel.

Muchas infracciones de PHI han involucrado laptops perdidas u otros extractos de bases de datos u hojas de cálculo de Excel (etc.) e involucran a cientos o miles de pacientes, por lo que puede ver que las sanciones potenciales son enormes. Por ejemplo, la Oficina de Derechos Civiles DHHS de EE. UU. investiga violaciones de HIPAA, en los últimos años ha multado a Blue Cross y Blue Shield de Tennessee $ 1.5M, Cignet Health $ 4.3M, Massachusetts General Hospital $ 1M y el Sistema de Salud de UCLA $ 856K.

Para obtener más información sobre los requisitos de información de HIPAA y California y las sanciones por la divulgación inadecuada de PHI, consulte:

• http://www.chcf.org/~/media/MEDI…