Os padrões de privacidade promulgados na Lei de Portabilidade e Responsabilidade de Seguro de Saúde de 1996 (HIPAA) descrevem as circunstâncias e os tipos de informações dentro de registros médicos de pacientes que pesquisadores de saúde podem acessar para conduzir estudos médicos.
Pesquisadores podem solicitar informações dentro do arquivo médico de um paciente de um hospital se o indivíduo concedeu permissão escrita para sua liberação ao pesquisador por meio de um formulário de autorização assinado. Por exemplo, um participante de ensaio clínico pode autorizar seu médico a fornecer a um pesquisador informações específicas de seus arquivos médicos. O sujeito da pesquisa pode escrever uma carta revogando a autorização a qualquer momento, segundo regulamentos da regra de privacidade.
Hospitais podem permitir que pesquisadores revisem registros médicos de pacientes para determinar a viabilidade de um projeto de pesquisa proposto. Um pesquisador pode solicitar acesso a registros de pacientes para determinar a disponibilidade de registros suficientes para prosseguir a investigação. No entanto, embora pesquisadores possam solicitar acesso a informações médicas de pacientes no interesse de identificar potenciais participantes do estudo, eles não podem contatar pacientes ou remover quaisquer dados do hospital ou clínica, conforme estipulado pelo Departamento de Saúde e Serviços Humanos dos EUA (HHS) ao fornecer orientação sobre os requisitos da regra de privacidade para pesquisadores.
Um hospital ou plano de saúde pode permitir acesso de um pesquisador a informações médicas de pacientes mediante recebimento de documentação de que um Comitê de Revisão Institucional (IRB), ou comitê de privacidade, concedeu ao pesquisador uma isenção do requisito de obter autorização individual. O IRB, um comitê formalmente designado por uma instituição para revisar pesquisas envolvendo sujeitos humanos, pode conceder uma isenção se determinar que o projeto de pesquisa não pode prosseguir sem os dados, segundo o HHS.
A regra de privacidade da HIPAA permite que pesquisadores acessem informações de saúde do paciente que foram desidentificadas através da remoção de 18 identificadores, incluindo nome, endereço, idade, fotografia e identificadores biométricos.
Hospitais também podem entrar em acordo com um grupo de pesquisa para permitir compartilhamento de conjuntos de dados limitados de informações de saúde do paciente. Embora um conjunto de dados limitado tenha mais informações do que dados desidentificados, ele exclui identificadores diretos e específicos do indivíduo e dos parentes, empregadores ou membros do domicílio do paciente. O pesquisador não pode usar ou divulgar as informações para fins diferentes dos declarados em um acordo entre o grupo de pesquisa e o hospital, segundo o HHS. O grupo de pesquisa deve concordar em usar salvaguardas para proteger os dados contra divulgação não autorizada e não pode tentar reidentificar ou contatar o indivíduo.
Hospitais podem compartilhar dados de pacientes se possuírem um documento legal, consentimento informado ou uma isenção de consentimento informado aprovada pelo IRB obtida antes da data de conformidade da regra de privacidade que permite a um pesquisador usar e divulgar as informações de saúde protegidas do paciente para estudos de pesquisa específicos e quaisquer investigações indeterminadas incluídas na permissão.