A Lei Pública 104-191, a Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996 (HIPAA), tornou-se lei em 21 de agosto de 1996. A lei estabelece diretrizes para a distribuição e proteção de informações de saúde individualmente identificáveis. As diretrizes afetam consumidores de saúde, prestadores de cuidados médicos, seguradoras de saúde e pesquisadores. Os consumidores podem acessar informações detalhadas sobre vários aspectos da lei no site do Departamento de Saúde e Serviços Humanos dos EUA.
A HIPAA aborda a facilidade de compartilhamento de informações através de registros eletrônicos. Projetada para proteger indivíduos contra a disseminação inadequada de suas informações médicas, a lei define o que pode ser compartilhado, o que não pode ser compartilhado sem permissão e o que o paciente pode acessar de seus próprios registros médicos.
Os limites claros estabelecidos pela lei asseguram ao consumidor que suas informações serão protegidas contra publicação indiscriminada. A lei prevê vias de reparação caso ocorra uma violação e penalidades para quem violar a lei. Com expectativas claras para todas as partes, a HIPAA elimina ambiguidades sobre o que é privilegiado e o que não é.
A Regra de Privacidade da HIPAA aplica-se a todos os tipos de informações do paciente — escritas, orais ou eletrônicas — que possam ser identificadas como pertencentes ao paciente. A Regra de Segurança abrange a segurança eletrônica e requisitos para aqueles que mantêm informações protegidas a fim de prevenir ativamente violações de informações. Anotações do médico no prontuário do paciente, resultados de exames laboratoriais, conversas entre prestadores sobre um paciente, informações de faturamento no consultório do prestador e informações enviadas às seguradoras entram no guarda-chuva de informações protegidas.
Os pacientes contam com a HIPAA para o direito de acessar informações de seus próprios registros médicos e adicionar correções quando necessário. Eles têm a garantia de que as informações serão compartilhadas apenas com aqueles que têm necessidade legítima de vê-las ou receberam permissão do paciente. Um paciente tem direito a um relatório detalhando quem recebeu suas informações.
Se o paciente se sentir em risco, pode solicitar que resultados de exames e chamadas telefônicas sejam enviados para um endereço ou número de telefone alternativo. Os prestadores devem atender ao pedido de contato em local diferente da residência do paciente.
Os prestadores de cuidados não podem discutir o caso de um paciente com outros profissionais que não façam parte da equipe de saúde, a menos que o paciente conceda permissão.
Os prestadores de saúde podem reportar informações estatísticas a organizações governamentais de fiscalização, como organizações de saúde pública e os Centros de Controle e Prevenção de Doenças. Um médico poderia reportar, por exemplo, um total de 27 casos de gripe tratados, mas não poderia identificar os pacientes.
As seguradoras devem tomar todas as medidas razoáveis para proteger as informações fornecidas à sua empresa no processo de liquidação de sinistros de seguros. Elas não podem liberar informações individualmente identificáveis para aqueles que não tenham necessidade dos dados.