A Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA) é uma lei federal que o Congresso aprovou em 1996. A HIPAA prescreve uma série de padrões que os prestadores de cuidados de saúde devem seguir para proteger o direito à privacidade do paciente. A lei mudou a forma como a informação é trocada na indústria de saúde. Massachusetts deve adotar novas políticas de privacidade do paciente para cumprir os direitos concedidos aos pacientes sob a HIPAA.
Leis estaduais e federais exigem que os prestadores de cuidados de saúde mantenham privada a informação de saúde protegida (PHI) do paciente. PHI é qualquer informação usada para identificar o estado de saúde físico ou mental do paciente, serviços prestados e custo do cuidado. Os prestadores de cuidados de saúde devem notificar os pacientes sobre como usam e liberam aspectos de suas PHI, bem como fornecer informações sobre seu direito à privacidade.
As políticas de privacidade do estado permitem que os prestadores de cuidados de saúde que prestam serviços aos pacientes compartilhem elementos de suas PHI com outros prestadores também envolvidos no plano de tratamento. Os prestadores podem usar a PHI do paciente para desenvolver um plano de tratamento, determinar serviços cobertos pelo plano de seguro e realizar avaliações regulares de acordo com o atendimento ao paciente. Por exemplo, os prestadores podem trocar PHI para solicitar e revisar exames laboratoriais e outros testes diagnósticos, obter prescrições e consultar outros profissionais de saúde sobre o histórico médico do paciente.
Os prestadores de cuidados de saúde também podem divulgar componentes de uma PHI para fins de pagamento. Em certos casos, uma PHI é usada para coletar reembolso por serviços prestados por uma seguradora terceirizada, Medicaid e/ou Medicare — programas públicos de benefícios de saúde para pobres, deficientes e idosos.
Várias agências governamentais e de classificação sem fins lucrativos realizam revisões periódicas dos prestadores de cuidados de saúde para obter e manter certos tipos de credenciamento. A PHI às vezes é avaliada como parte desta revisão para avaliar reclamações de pacientes ou informações relacionadas à utilização de serviços.
Os prestadores de cuidados de saúde devem obter autorização escrita do paciente (ou de alguém agindo legalmente em seu nome) para compartilhar sua PHI por razões diferentes de tratamento, pagamento e operações. O paciente também tem o direito de revogar o privilégio de divulgação de PHI do prestador a qualquer momento, notificando o prestador por escrito. Certas exceções se aplicam, como em casos de abuso do paciente, preso, sob investigação por fraude e/ou morte, entre outras circunstâncias atenuantes.