---

DIVULGACIONES ADICIONALES PERMITIDAS CON REQUISITOS ESPECÍFICOS

Como se describe en esta sección, existen otras divulgaciones de información permitidas, pero deben cumplir con requisitos específicos.  Estas incluyen:

• ciertas recaudaciones de fondos;
• las realizadas a socios comerciales; y
• las actividades de mercadeo.

Recaudación de fondos

Una entidad regida puede usar y divulgar información médica protegida de un individuo sin su autorización, para recaudar fondos en su propio beneficio, si la recaudación de fondos propuesta cumple ciertos criterios.  CRF 45 §164.514(f). La información usada o divulgada debe limitarse a la información demográfica relacionada con un individuo, y las fechas de un proveedor de atención médica a un individuo:

• Si la institución no está haciendo la recaudación de fondos dentro de la organización, sólo podrá revelar información a un socio comercial o a una fundación vinculada institucionalmente;
• La entidad regida debe indicar específicamente en el aviso de prácticas de privacidad que usa información con el propósito de recaudar fondos;
• Cualquier material para la recaudación de fondos debe incluir una descripción de cómo el individuo puede elegir no participar en futuras comunicaciones para recaudar fondos; y
• La entidad regida debe hacer esfuerzos razonables para asegurar que un individuo que ejerció sus derechos de ser eliminado de las comunicaciones no reciba material de recaudación de fondos posteriormente. 

Debido a que la recaudación de fondos está incluida en la definición de transacciones de atención médica, un individuo tiene el derecho a solicitar por anticipado que una entidad regida limite los usos y las divulgaciones para ese propósito.  Sin embargo, la entidad regida no está obligada a estar de acuerdo con tal restricción.

Socios comerciales

Los planes de salud y los proveedores de atención médica rutinariamente contratan a otras compañías y consultores para que realicen una amplia variedad de funciones en su representación. Los planes de salud y los proveedores de atención médica, por ejemplo, pueden trabajar con abogados externos, cobradores, especialistas en computación u organizaciones de acreditación. Todas estas entidades pueden necesitar acceso a información médica protegida para realizar sus tareas en representación de su cliente.  Pero estas personas o entidades generalmente no están directamente sujetas a la Regla de Privacidad. Para permitir que la información se comparta con estos socios comerciales y para proteger la información que se les podrá comunicar, la Regla de Privacidad establece condiciones específicas sobre el momento y la forma en que las entidades regidas pueden compartir información con estas entidades.  CRF 45 §164.502(e) y §164.504(e).

Un socio comercial es una persona o entidad que, en representación de una entidad regida, realiza o asiste en la realización de una función o actividad que involucra el uso o la divulgación de información médica personal identificatoria, tal como:

• procesamiento o administración de reclamos;
• análisis de datos;
• estudios de utilización;
• control de calidad
• facturación;
• administración de la práctica; o
• provisión de servicios legales, actuariales, contables, de dirección, de administración, de acreditación o financieros.

Un socio comercial no es un miembro de la fuerza laboral de la entidad regida.  Tampoco incluye la circunstancia donde dos entidades regidas participan en un acuerdo organizado de atención médica como por ejemplo, un hospital en donde un doctor tiene privilegios. CRF 45 §160.103.  Una entidad regida puede divulgar información médica protegida relacionada con el tratamiento de un individuo, a un proveedor de atención médica, sin crear una relación de asociación comercial. Más aún, la Regla de Privacidad no intenta regir la provisión de información médica protegida a una persona que simplemente actúa como conducto de información médica protegida, como por ejemplo el servicio postal de los EE.UU., ni personas o entidades cuyo acceso a la información médica protegida es sólo incidental.

• Una entidad regida tiene permitido divulgar información médica protegida a un socio comercial, o permitir que un socio comercial elabore o reciba información médica protegida en su representación, si la entidad regida obtiene garantías satisfactorias de que el socio comercial protegerá la información apropiadamente. 

Por lo general, estas garantías satisfactorias deben constar en contratos escritos, los cuales, entre otras cosas, exijan al socio comercial no usar o divulgar la información de otra manera diferente a la permitida o exigida en el contrato, o según lo estipulado por ley, y exijan implementar las medidas necesarias para prevenir los usos y las divulgaciones inapropiadas. No se exige un contrato en ciertas circunstancias en donde la entidad regida y el socio comercial sean organismos gubernamentales o en los casos en que la ley le exige al socio comercial que desempeñe la función de socio comercial.  En estos casos, puede exigirse cierta documentación alternativa.

---

EXTENSIÓN DEL PLAZO PARA CUMPLIR CON LOS REQUISITOS DEL CONTRATO

Las entidades regidas que no son planes de salud pequeños pueden tener hasta un año adicional para cumplir con los requisitos del contrato con el socio comercial, incluidos en la Regla de Privacidad. CRF 45 §164.532(d).Específicamente, los proveedores tendrán un máximo de un año adicional (hasta el 14 de abril de 2004) para adaptar los contratos existentes con los requisitos de contratos de la Regla de Privacidad, si los contratos existentes del proveedor entraron en vigencia antes del 15 de octubre de 2002 y no fueron renovados o modificados antes del 14 de abril de 2003.

Este período de un año de gracia es el máximo. Si un contrato se renueva o modifica entre el 14 de abril de 2003 y el 14 de abril de 2004, entonces el contrato deberá entrar en vigencia antes o durante la fecha de renovación o modificación. Los contratos con socios comerciales que entraron en vigencia el 15 de octubre de 2002 o con posterioridad, o que fueron renovados o modificados entre el 15 de octubre de 2002 y el 14 de abril de 2003, deben cumplir con las especificaciones de la Regla de Privacidad a partir del 14 de abril de 2003.

---

Mercadeo

La Regla de Privacidad exige que la entidad regida obtenga previamente una autorización escrita del individuo, para usar o divulgar información médica protegida para actividades de mercadeo. CRF 45 §164.508(a)(3).

Según la Regla de Privacidad, mercadeo significa (1) hacer una comunicación sobre un producto o servicio que impulse a los receptores de la comunicación a comprar o usar el producto o servicio, o (2) un acuerdo entre una entidad regida y cualquier otra entidad, mediante el cual la entidad regida divulga información médica protegida a la otra entidad, a cambio de una remuneración directa o indirecta a la otra entidad o su afiliada para promocionar sus propios productos o servicios, e impulsar a los receptores de la comunicación a comprar o usar aquel producto o servicio. CRF 45 §164.501.

La Regla de Privacidad excluye expresamente de la definición varios tipos de comunicaciones de mercadeo. Los tipos de comunicaciones excluidas de la definición son: aquellas que describen un producto o servicio vinculado a la salud que es provisto por, o incluido en el plan de beneficios de, la entidad regida que hace la comunicación; aquellas que describen las entidades que participan en la red del proveedor o el plan de la entidad regida que hace la comunicación; aquellas que describen el reemplazo de, o mejoras a, un plan de salud; aquellas que describen productos o servicios vinculados a la salud disponibles sólo para afiliados del plan de salud que agrega valor a (pero no son parte de) los beneficios del plan de la entidad regida que hace la comunicación; aquellas para el tratamiento del individuo; aquellas hechas para la administración de casos y coordinación del cuidado del individuo; y aquellas hechas para dirigir o recomendar terapias de tratamiento alternativo, proveedores o grupos de atención médica al individuo.  

Así, las comunicaciones desde una entidad regida a un individuo, que tienen relación con el tratamiento del individuo no son de mercadeo, de acuerdo con la Regla de Privacidad, por lo que no necesitan autorización escrita previa.

• No se necesita autorización si una farmacia realiza la revisión de su propio registro de recetas y envía cartas a individuos sobre una terapia antirretroviral, incitándolos a cambiar su medicación por otro producto de un fabricante de medicamentos, si el propósito de la actividad es para el tratamiento o para recomendar terapias alternativas al individuo. Aún cuando el fabricante del producto le pague al farmacéutico para realizar esta actividad, el farmacéutico podrá continuar realizando esta actividad sin una autorización del individuo.