A Lei de Portabilidade e Responsabilidade de Seguro de Saúde de 1996, ou HIPAA, exige que médicos e planos de saúde obtenham autorização escrita dos pacientes para compartilhar informações em seus registros médicos para fins não relacionados a tratamento, pagamento ou operações rotineiras de cuidados de saúde. O formulário de autorização pode originar do hospital ou plano de saúde ou pode vir da organização que busca os dados, como um pesquisador, um empregador, uma empresa de marketing ou uma companhia de seguros. Um formulário válido deve incluir vários elementos essenciais.
Para todas as divulgações de informações de saúde protegidas, que podem incluir nome do paciente e estado de saúde, a HIPAA exige que hospitais e planos de saúde divulguem apenas a quantidade mínima de informação necessária para sua finalidade pretendida. Em vez de uma solicitação geral para divulgar o registro médico completo do paciente, um formulário de autorização HIPAA válido deve incluir uma descrição detalhada de informações específicas no registro médico do paciente que o hospital ou plano de saúde pode divulgar.
O formulário de autorização precisa declarar o nome do indivíduo ou o de um representante pessoal autorizado a fazer a divulgação solicitada.
A autorização deve declarar o nome ou identidade do destinatário da informação ou o nome da pessoa que pode usar a informação. Hospitais e planos de saúde podem divulgar informações aos destinatários nomeados ao receber um fax ou uma fotocópia de uma autorização válida.
O formulário deve incluir uma descrição de cada finalidade para a informação solicitada. Por exemplo, pesquisadores devem incluir uma declaração de finalidade específica do estudo. Eles não podem submeter uma declaração que envolva pesquisa futura não especificada. Quando pacientes solicitam divulgação de informações em seu arquivo médico sem dar um motivo, o formulário de autorização pode declarar "a pedido do indivíduo", segundo diretrizes do Departamento de Saúde e Serviços Humanos dos EUA (HHS) sobre autorizações iniciadas pelo paciente.
Uma autorização HIPAA válida para liberar informações médicas deve incluir uma data de validade ou um evento de validade. Pesquisadores podem escrever os termos "fim do estudo de pesquisa" ou "nenhum" como evento de validade em um formulário de autorização solicitando informações do paciente para um estudo de saúde ou para criar e manter um banco de dados de pesquisa, aconselha o HHS.
Além disso, a assinatura do indivíduo ou a de uma pessoa autorizada a tomar decisões de cuidados de saúde em seu nome, junto com a data, deve aparecer em um formulário de autorização válido. O regulamento não exige uma testemunha para a autorização ou formulário notarizado, segundo o HHS.
Indivíduos têm o direito de revogar uma autorização a qualquer momento. O formulário de autorização deve declarar este direito e especificar o processo de revogação, que entra em vigor quando o hospital ou plano de saúde recebe uma solicitação escrita do indivíduo.