Aviso de Prácticas de Privacidad (NPP) – La conexión de la mayoría de la gente con la HIPAA
Cuando se menciona la HIPAA, la mayoría de la gente hace referencia al Aviso de Prácticas de Privacidad (NPP) que recibieron en el hospital, el médico, el dentista o el consultorio del oftalmólogo.
El NPP es un documento que indica a sus pacientes, empleados o clientes cómo se puede utilizar y compartir su información de salud y enumera sus derechos de privacidad de salud relacionados con la Información de Salud Protegida (PHI). Forma parte de la Regla de Privacidad de la HIPAA y es un requisito clave para su organización. Esta semana revisaremos los requisitos de un NPP.
¿Su organización está obligada a crear y distribuir un NPP?
Ha recibido un Aviso de Prácticas de Privacidad (NPP) cuando va al médico. Ha recibido uno, pero ¿es su organización responsable de crear y distribuir un NPP para los demás?
Desde el 14 de abril de 2003, los proveedores médicos y dentales tienen la responsabilidad de proporcionar a los pacientes una copia de un Aviso de Prácticas de Privacidad (NPP).
Como agencia de seguros médicos, asociado comercial o grupo empresarial que ofrece un plan de salud de grupo, la HIPAA le exige crear y distribuir un Aviso de prácticas de privacidad a partir de 2004.
Lo que debe proporcionar a sus clientes en un NPP es muy específico y la forma de distribuirlo depende de su sector. Independientemente de su tamaño o especialidad, debe proporcionar a sus pacientes, empleados o clientes un Aviso de Prácticas de Privacidad (NPP) y debe estar disponible cuando se solicite en cualquier momento.
Creación del Aviso de Prácticas de Privacidad (NPP)
La forma más fácil de crear un Aviso de Prácticas de Privacidad (NPP) es utilizar una plantilla; puede asegurar que incluya el lenguaje y la información que la ley HIPAA requiere.
Su Aviso de Prácticas de Privacidad (NPP) será diferente dependiendo de su industria. Encontrará muchas fuentes diferentes de plantillas, pero tenga cuidado: no todas son iguales. Tendrá que asegurarse de que la plantilla procede de una fuente acreditada y de que contiene la información necesaria. Por ejemplo, los proveedores de atención sanitaria o los responsables de un plan de salud pueden consultar el sitio web del HHS para obtener un modelo de aviso NPP.1
Total HIPAA ha creado un Aviso de Prácticas de Privacidad (NPP) para reflejar los distintos requisitos de los cinco mercados a los que servimos.
Para las compañías y agencias de seguros, su NPP debe tener un lenguaje que haga referencia a la Ley de Modernización Financiera Gramm-Leach-Bliley (Aka GLB Act), así como a la Ley HITECH.
Aunque usted es libre de desarrollar sus propios formatos de NPP que incluyan el texto y la información requeridos, Total HIPAA proporciona plantillas de NPP que incluyen todos los componentes federales requeridos, así como las leyes estatales o de otro tipo que pueden requerir mayores límites en las divulgaciones.
Además, nuestros NPP han sido probados con consumidores para facilitar la comprensión y el atractivo del diseño.
Independientemente de la industria, su NPP debe contener un lenguaje fácil de usar e información específica:
- Para todos los requisitos del NPP, consulte las regulaciones de la HIPAA en 45 CFR 164.520(b).
- Cabecera: Todos los NPP deben tener el encabezado: «Este aviso describe cómo se puede utilizar y divulgar la información médica sobre usted y cómo puede acceder a esta información. Por favor, revíselo detenidamente»
- Declaración(es) de uso, divulgación:
- Describa los tipos de usos o divulgaciones de la PHI que se permiten sin autorización del individuo.
- Describa los tipos de usos o divulgaciones que requieren autorización o que el individuo puede elegir para excluirse:
- Notas de psicoterapia
- Uso de la PHI con fines de marketing
- La venta de la PHI
- Otros usos y divulgaciones que no se describen en el PNP sólo pueden realizarse con la autorización del individuo.
- Los individuos que pueden optar por no recibir comunicaciones de recaudación de fondos.
- (Sólo para proveedores) El NPP debe indicar que los individuos tienen la capacidad de restringir ciertas divulgaciones de la PHI a un plan de salud cuando el individuo paga en su totalidad de su bolsillo por el artículo o servicio de atención médica.
- Derechos individuales: Deben describirse los derechos individuales específicos en virtud de la Regla de Privacidad. Estos derechos incluyen el derecho a solicitar restricciones en los usos o divulgaciones de la PHI, el derecho a inspeccionar, copiar y modificar la PHI.
- Responsabilidades de la entidad cubierta: El PNP debe especificar los deberes de la entidad cubierta, que incluyen el requisito, según la ley, de mantener la privacidad de la PHI de los individuos.
- Consideraciones adicionales:
- La fecha de entrada en vigor del NPP debe formar parte de la notificación. La fecha no puede ser anterior a la fecha de publicación del 14 de abril de 2003, o de 2004 en el caso de los planes de salud pequeños.Debe incluirse el nombre o el cargo y el número de teléfono de una persona del plan de salud o del proveedor a la que puedan dirigirse las preguntas.
- Debe proporcionarse información sobre cómo presentar una queja ante la organización. Aunque el PNP también debe informar a las personas de que se pueden presentar quejas ante el HHS, no es necesario que el PNP detalle cómo hacerlo.
- La Regla de Privacidad final requiere que el PNP incluya una declaración que informe a las personas del derecho a ser notificadas tras una violación de la PHI no asegurada.
Distribución del Aviso de Prácticas de Privacidad (NPP)
Al distribuir su NPP, existen requisitos generales que todo sector debe conocer:
- Cualquier persona que solicite una copia debe recibirla.
- Las entidades cubiertas deben colocar su NPP de forma destacada dentro de la ubicación física.
- Publicar en sus sitios web si el sitio proporciona información sobre los servicios o beneficios de los clientes.
- Tener uno publicado en algún lugar prominente de la oficina, en su sitio web (si la práctica tiene uno), y documentar que cada paciente ha recibido uno.
- Si la agencia proporciona un plan de salud de grupo dentro de la organización, debe ir uno a cada empleado.
- La agencia tiene que distribuir a los individuos (sólo una copia por familia sin importar cuántas personas estén en la cobertura familiar) y si es un plan de grupo, la agencia debe proporcionar una copia a la empresa (como cliente) y la empresa es responsable de distribuir a cada empleado.
- Distribuya el NPP a los empleados que forman parte del Plan de Salud de Grupo ofrecido.
- Si la empresa asociada ofrece un plan de salud de grupo, debe entregarse una copia a cada empleado.
- Una firma no significa que el cliente/empleado haya aceptado cualquier uso o divulgación especial (compartir) de los registros sanitarios.
- Negarse a firmar un reconocimiento no impide que un proveedor o plan utilice o divulgue la información sanitaria según lo permita la HIPAA.
- Si su cliente o paciente se niega a firmar un reconocimiento, el proveedor debe mantener un registro de este hecho.
- Como proveedor de servicios sanitarios, puede hacer que un paciente que acude por primera vez firme que ha recibido un PPN y, a continuación, escanear el documento firmado en su expediente personal.
- Haga que la persona revise y firme una autorización para recibir el PPN por vía electrónica cuando se le entregue el PPN para futuras notificaciones.
- Se debe recordar a los pacientes de un proveedor de servicios sanitarios la existencia del NPP e informarles sobre cómo obtener una copia si lo desean.
- Las compañías y agencias de seguros deben enviar un NPP anualmente mientras dure la relación con el cliente.
Consulte los puntos siguientes para conocer los requisitos específicos del sector en cuanto a la distribución del NPP:
Proveedores médicos y dentales:
Agencias de seguros:
Grupos de empleadores:
Empresas asociadas:
Reconocimiento del NPP
La leyHIPAA exige que los médicos, hospitales u otros proveedores de atención sanitaria mantengan un registro de que los clientes o empleados han recibido el aviso. Puede hacerlo obteniendo una firma que reconozca que el individuo ha recibido el NPP o manteniendo un registro fechado de la distribución del NPP.
Actualización y mantenimiento del PPN
Debe actualizar su PPN al menos una vez cada tres años. En concreto:
- .