Content created by Office for Civil Rights (OCR)
Fecha: 8 de febrero de 2024
El 8 de febrero de 2024, el Departamento de Salud y Servicios Humanos de EE. UU. (Department of Health & Human Services, HHS) a través de la Administración de Servicios de Salud Mental y Abuso de Sustancias (Substance Abuse and Mental Health Services Administration, SAMSHA) y la Oficina de Derechos Civiles anunciaron una norma definitiva que modifica las regulaciones de confidencialidad de los registros de pacientes con trastornos de abuso de sustancias (SUD, por sus siglas en inglés) en la parte 2 del Título 42 del Código de Regulaciones Federales (CFR) (“Parte 2”). Con esta norma definitiva, el HHS aplica las disposiciones de confidencialidad conforme a la Sección 3221 de la Ley de Asistencia, Alivio y Seguridad Económica por el Coronavirus (CARES, por sus siglas en inglés) (promulgada el 27 de marzo de 2020), que exigen que el Departamento adapte determinados aspectos de la Parte 2 a las normas de la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA, por sus siglas en inglés) de 1996, y a la Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH, por sus siglas en inglés).
Antecedentes
El estatuto de la Parte 2 (Título 42 del Código de los EE. UU., Sección 290dd-2) protege “los registros de la identidad, el diagnóstico, el pronóstico o el tratamiento de un paciente cuando estén conectados con el desarrollo de un programa o actividad relacionados con la educación, la prevención, la capacitación, el tratamiento, la rehabilitación o la investigación en relación con el abuso de sustancias, que se lleve a cabo, se regule o cuente con asistencia directa o indirecta de un departamento o agencia en los EE. UU.” La protección de la confidencialidad contribuye a tratar inquietudes de que la discriminación y el miedo a la persecución disuadan a las personas de iniciar un tratamiento para el trastorno de abuso de sustancias.
Las modificaciones a esta norma definitiva reflejan las propuestas publicadas en el Aviso de Reglamentación Propuesta (NPRM, por sus siglas en inglés) el 2 de diciembre de 2022 y los comentarios del público recibidos de grupos de defensa de los trastornos por abuso de sustancias y otros grupos; asociaciones comerciales y profesionales; proveedores de salud conductual y otros proveedores de salud; proveedores de tecnología de información de salud e intercambios de información de salud; gobiernos estatales, locales, tribales y territoriales; planes de salud; instituciones académicas, incluidos centros de salud académicos; e individuos no afiliados o anónimos. Tras un periodo de 60 días de recepción de comentarios, el HHS analizó y consideró detenidamente todos los comentarios enviados por el público sobre la NPRM e introdujo las modificaciones correspondientes antes de finalizarla.
Principales cambios de la nueva norma de la Parte 2
La norma definitiva incluye las siguientes modificaciones de la Parte 2 que se propusieron en el NPRM:
- Consentimiento del paciente
- Permite un único consentimiento para todos los usos y divulgaciones futuras con fines de tratamiento, pago y operaciones de asistencia sanitaria.
- Permite a las entidades cubiertas por la HIPAA y a los socios comerciales que reciban registros en virtud de este consentimiento volver a divulgar los registros de conformidad con las normativas de la HIPAA.1
- Otros usos y divulgaciones
- Permite la divulgación de registros sin el consentimiento del paciente a las autoridades sanitarias públicas, siempre que los registros divulgados estén anonimizados de acuerdo con lo establecido en la Norma de Privacidad de la HIPAA.
- Restringe el uso de registros y testimonios en procedimientos civiles, penales, administrativos y legislativos contra pacientes, sin el consentimiento del paciente o una orden judicial.
- Sanciones: Adapta las sanciones de la Parte 2 a la HIPAA sustituyendo las sanciones penales que figuran actualmente en la Parte 2 por autoridades de cumplimiento civiles y penales que también se aplican a las infracciones de la HIPAA.2
- Notificación de infracciones: Aplica los mismos requisitos de la Norma de Notificación de Infracciones de la HIPAA3 a las infracciones de registros de la Parte 2.
- Aviso a los pacientes: Alinea los requisitos de la Parte 2 de la Notificación al Paciente con los requisitos de la Notificación de Prácticas de Privacidad de la HIPAA.
- Marco de salvaguardia: Establece un límite a la responsabilidad civil o penal de las agencias de investigación que actúen con diligencia razonable para determinar si un proveedor está sujeto a la Parte 2 antes de solicitar registros en el curso de una investigación. El periodo de protección exige que las agencias de investigación tomen ciertas medidas en caso de que descubran que recibieron registros de la Parte 2 sin haber obtenido previamente la orden judicial requerida.
Cambios sustanciales introducidos desde la NPRM
Además de finalizar las modificaciones de la Parte 2 propuestas en la NPRM, la Norma definitiva incluye otras modificaciones basadas en los comentarios del público, en particular las siguientes:
- Periodo de protección: Aclara y refuerza los pasos de diligencia razonable que deben seguir las agencias de investigación para poder acogerse al periodo de protección: antes de solicitar registros, una agencia de investigación debe buscar un proveedor en el localizador de centros de tratamiento en línea de la SAMHSA y consultar el Aviso al Paciente o el Aviso de Prácticas de Privacidad de la HIPAA de un proveedor para determinar si el proveedor está sujeto a la Parte 2.
- Separación de datos de la Parte 2: Añade una declaración expresa de que no es obligatorio separar o segmentar los registros de la Parte 2.
- Quejas: Añade el derecho a presentar una queja directamente ante el Secretario por una presunta infracción de la Parte 2. Los pacientes también pueden presentar simultáneamente una reclamación ante el programa de la Parte 2.
- Notas de consejería para el tratamiento del SUD: Crea una nueva definición para las notas de un clínico que trata el SUD donde se analiza la conversación en una sesión de consejería por SUD que el clínico mantiene voluntariamente por separado del resto del tratamiento por abuso de sustancias del paciente y el registro médico, y que requieren el consentimiento específico del individuo y no pueden ser utilizadas o divulgadas sobre la base de un consentimiento amplio de tratamiento, pago y operaciones de atención médica (TPO, por sus siglas en inglés). Esto es análogo a las protecciones detalladas en la HIPAA para las notas de psicoterapia.4
- Consentimiento del paciente:
- Prohíbe combinar el consentimiento del paciente para el uso y divulgación de registros para procedimientos civiles, penales, administrativos o legislativos con el consentimiento del paciente para cualquier otro uso o divulgación.
- Requiere un consentimiento separado del paciente para el uso y la divulgación de notas de consejería sobre SUD.
- Exige que cada divulgación realizada con el consentimiento del paciente incluya una copia del consentimiento o una explicación clara del alcance del mismo.
- Recaudación de fondos: Crea un nuevo derecho para que los pacientes puedan optar por no recibir comunicaciones sobre recaudación de fondos.
¿Qué no ha cambiado en la Parte 2?
Como siempre ha sido el caso en la Parte 2, los registros de tratamiento de SUD de los pacientes no pueden utilizarse para investigar o procesar al paciente sin el consentimiento escrito del paciente o una orden judicial.
Los registros obtenidos en una auditoría o evaluación de un programa de la Parte 2 no pueden utilizarse para investigar o procesar a pacientes sin el consentimiento escrito de los pacientes o una orden judicial que cumpla los requisitos de la Parte 2.
Próximos pasos
Puede descargar la norma definitiva en https://www.federalregister.gov/public-inspection/2024-02544/confidentiality-of-substance-use-disorder-patient-records. El HHS respaldará la aplicación y el cumplimiento de esta nueva norma, incluso mediante recursos relacionados con la salud conductual desarrollados por el Centro de Excelencia para la Información Médica Protegida, que cuenta con el patrocinio de SAMHSA. Las personas sujetas a esta normativa deberán cumplir los requisitos aplicables de esta norma definitiva dos años después de la fecha de su publicación en el Registro Federal. El Departamento llevará a cabo actividades de divulgación y elaborará orientaciones sobre cómo cumplir los nuevos requisitos, como la presentación de informes de infracción cuando sea necesario.
La OCR tiene previsto finalizar los cambios en el Aviso de Prácticas de Privacidad (NPP, por sus siglas en inglés) de la HIPAA para abordar los usos y divulgaciones de la información médica protegida que también está protegida por la Parte 2, junto con otros cambios en los requisitos del NPP, en una próxima norma definitiva que modificará la Norma de Privacidad de la HIPAA.
El HHS tiene previsto aplicar en una normativa aparte las disposiciones antidiscriminatorias de la Ley CARES que prohíben el uso de los registros de la Parte 2 de los pacientes en su contra.
Endnotes
1 Sin embargo, estos registros no pueden utilizarse en procedimientos judiciales contra el paciente sin un consentimiento específico o una orden judicial, que es más estricta que la norma HIPAA.
2 Véase Título 42 del USC, Secciones 1320d-5 y 1320d-6.
3 La Sección 13400 de la Ley HITECH (codificada en el Título 42 de USC 17921) define el término “Infracción”. La Sección 13402 de la Ley HITECH (codificada en el Título 42 del USC 17932) promulgó requisitos de notificación de infracciones, que se analizan en detalle más adelante.
4 Véase https://www.hhs.gov/hipaa/for-professionals/faq/2088/does-hipaa-provide-extra-protections-mental-health-information-compared-other-health.html.