HIPAA e Cartelle Cliniche: I Medici Possono Richiedere Accesso Senza Consenso?
Regola Privacy HIPAA: Principio Generale
Le entità coperte devono ottenere autorizzazione scritta del paziente prima di divulgare informazioni sanitarie protette (PHI) a terze parti, inclusi altri fornitori — salvo eccezioni applicabili.
Eccezione Chiave: Finalità Trattamento
§164.506(c)(2): Un'entità coperta può divulgare PHI per attività di trattamento di un altro fornitore senza autorizzazione. Questo include:
- Invio a specialista.
- Consultazione tra fornitori.
- Trasferimento cura (ospedale a RSA, medico base a specialista).
- Coordinamento cure (es. PCMH, ACO).
Condizione: La divulgazione deve essere per il trattamento del destinatario dell'individuo. Non per marketing, ricerca, o impiego.
Altre Eccezioni Comuni (Nessuna Autorizzazione Necessaria)
- Pagamento (fatturazione, recupero crediti).
- Operazioni sanitarie (qualità, formazione, credenziali).
- Segnalazione salute pubblica (malattie trasmissibili, statistiche vitali).
- Forze ordine (circostanze specifiche).
- Emergenza / pericolo imminente.
- Procedimenti giudiziari/amministrativi (ordine tribunale, citazione con preavviso).
Standard "Minimum Necessary"
Anche quando divulgazione permessa, solo il minimo necessario PHI dovrebbe essere condiviso per lo scopo dichiarato.
Diritti Paziente
- Richiedere restrizioni divulgazioni (fornitore non tenuto ad accettare eccetto auto-pagamento completo).
- Richiedere comunicazioni riservate (indirizzo/telefono alternativo).
- Accesso propri referti (§164.524).
- Resoconto divulgazioni.
- Presentare reclamo a OCR (HHS).
Best Practice per Fornitori
- Verificare identità fornitore richiedente.
- Confermare finalità trattamento.
- Inviare solo referti rilevanti (non intera cartella se non necessario).
- Usare fax sicuro, email crittografata, scambio informazioni salute (HIE), o portale paziente.
- Documentare divulgazione in registro contabilità.