El caso de la fusión de la práctica sugiere 6 consejos de privacidad de salud
Combine dos de los temas de protección del consumidor más comentados (privacidad de la salud y contenido en línea generado por el consumidor) y ¿qué obtiene? Un asentamiento de la FTC propuesto con Practice Fusion, la mayor compañía de registros de salud electrónicos basados en la nube en el país y seis consejos de cumplimiento para otros en la industria.
Uno de los productos principales de Practice Fusion, con sede en San Francisco, es un sistema de registros electrónicos para proveedores ambulatorios. En 2009, la compañía lanzó "Patient Fusion", un portal en línea donde los pacientes cuyos proveedores ya estaban usando Fusion de práctica podían ver o descargar su información de salud o transmitirla a otro proveedor. La fusión del paciente también permite que los pacientes enviaran y reciban mensajes seguros de sus proveedores.
Avance rápido varios años y la compañía decidió expandir la fusión de los pacientes para incluir un directorio público donde los afiliados actuales y prospectivos pudieran buscar a los médicos geográficamente o por especialidad, leer revisiones de los proveedores de pacientes y solicitar citas. Pero Practice Fusion tuvo que hacerse una pregunta familiar para muchas compañías en línea: ¿Cómo obtenemos el contenido, en este caso, las revisiones de los pacientes? Ese es el foco de la demanda de la FTC.
Según la queja, la fusión práctica solicitó datos de una manera engañosa que llevó a algunos pacientes a creer que estaban enviando mensajes de seguimiento directamente a sus médicos sobre su diagnóstico, tratamiento médico, recetas, etc., y no contribuir a contribuir a un sitio web público. Sin embargo, la fusión de la práctica pobló su nuevo sitio con la información que esas personas proporcionaron, algunas de las cuales eran altamente sensibles.
Esto es lo que pasó. Después de las citas con sus médicos, los pacientes recibieron correos electrónicos titulados "¿Cómo fue su visita?" El mensaje continuó: "Para ayudar a mejorar su servicio en el futuro, háganos saber cómo fue su visita" e incluyó un enlace con estrellas de calificación. El mensaje terminó de esta manera:
Gracias,
Dr. (nombre)
En un pie de página, el mensaje decía que "Paciente Fusion® le envió este correo electrónico, un médico de herramientas (nombre) para brindar la más alta calidad de atención a los pacientes". Debajo de eso en una impresión más pequeña decía "enviado en nombre del consultorio del médico (nombre) por: Practice Fusion".
Si los pacientes hicieron clic en el enlace, fueron llevados a una página que solicitó comentarios sobre cosas como cuánto tiempo tuvieron que esperar su cita, la manera de la cama del médico y si se abordó su preocupación médica.
También había un cuadro de texto donde los pacientes fueron invitados a "dejar una revisión para su proveedor". Debajo de eso había una caja previa a la verificación con la frase "Mantenga esta revisión anónima".
¿Qué pusieron algunas personas en esa caja? Información altamente sensible directamente dirigida a sus médicos, no las evaluaciones destinadas a ser compartidas públicamente. Aquí hay solo algunos ejemplos:
- “DR (nombre), mi receta de Xanax que recibí el lunes fue por 1 tableta al día, pero generalmente es para 2 tabletas al día. Todavía no lo he llevado a la farmacia. ¿Puedo recoger uno nuevo, o puedo obtener una receta llamada a una farmacia? Gracias (el nombre completo del paciente)
- “Llamé hoy y dejé un mensaje sobre mi hija y nadie me ha devuelto la llamada. Creo que está deprimida y ha declarado varias veces esta semana que desearía estar muerta. ¿Alguien podría llamarme (número de teléfono)?
- “El Axetil de cefuroxima no parece estar haciendo nada por mí. Investigué un poco y creo que tengo una infección de levadura llamada Candida. No estoy seguro de qué hacer al respecto todavía. Supongo que primero intentaré cambiar mi dieta. ¿Medicamento? (Nombre completo del paciente)
- “Me gustaría hacer una cita para mi dolor de espalda y posibles tejas. ¿Puedes llamarme @ (número de teléfono)? ¡Gracias! (nombre completo del paciente) "
- “No tengo infección (nombre del proveedor de atención médica). Todo salió bien después de mi visita, así que es una oportunidad para mi día de quimioterapia … gracias espero verte mañana en el Hospital Metodista … gracias … (nombre completo del paciente) "
En el tipo más pequeño y ligero de la página, decía "Para su protección, no incluya ninguna información personal". Pero la FTC dice que la naturaleza de la información que algunos pacientes pusieron en la caja (nombres completos, números de teléfono, recetas recibidas o procedimientos realizados) sugiere que pensaron que estaban enviando preguntas de seguimiento directamente al consultorio de su médico.
¿Qué pasa con ese cuadro de "Mantenga esta revisión anónima" previamente verificada? Según la FTC, no anonimizó lo que el paciente escribió. En cambio, solo afectó si aparecería en el sitio de fusión de pacientes públicos bajo el mango "anónimo" o con el primer nombre de un paciente.
La FTC dice que sucedió durante aproximadamente un año hasta un artículo en Forbes destacó la naturaleza sensible de algunos de los comentarios y preguntas de los cuadros de texto publicados en el paciente fusión. Fue entonces cuando la compañía estableció procedimientos automatizados para evitar la publicación de revisiones donde los consumidores habían ingresado información personal.
En una queja de un conteo, la FTC alega que la fusión de la práctica representada expresamente o por implicación de que las respuestas de la encuesta se comunicarían al proveedor de salud del consumidor, pero no pudo revelar adecuadamente que también publicaría las respuestas públicamente. Según la FTC, ese hecho habría sido material para los consumidores al decidir si responder o cómo cómo o cómo cómo o cómo cómo.
Para resolver el caso, la fusión de la práctica ha acordado no tergiversar en la medida en que usa, mantiene y protege la privacidad y la confidencialidad de cualquier información cubierta. Además, si la compañía quiere hacer pública la información cubierta de los consumidores, primero tiene que: 1) revelar claramente y notablemente al consumidor, separado y aparte de una política de privacidad, términos de uso o documento similar, su intención de hacer pública la información; y 2) Obtenga el consentimiento afirmativo expreso del consumidor.
Los términos del acuerdo se aplican solo para practicar la fusión, pero hay lecciones que otros en la industria pueden aprender.
Si se trata de información de salud personal, manejarla con un cuidado particular. Los consumidores están preocupados por la confidencialidad de su información de salud y tienen buenas razones para serlo. Dado lo que está en juego, los miembros de la industria están notificados por la necesidad de precaución.
Explica tus intenciones. Especialmente para nuevos productos y servicios, no asuma que los consumidores comparten su experiencia. Sea directo en su explicación y use palabras simples para explicar lo que desea hacer con sus datos.
Obtenga el consentimiento afirmativo expreso de los consumidores antes de revelar públicamente información confidencial. Las empresas interesadas en ganar clientes leales (y mantenerse fuera de los rápidos legales) piden permiso a los consumidores antes de revelar datos personales y esperar un "sí" claro antes de continuar. Cuando la información de la atención médica está en cuestión, no es el momento de ser lindo con opciones negativas u otros métodos de consentimiento menos que claros.
Las divulgaciones deben alcanzar y agarrar a los consumidores. Healthcare Its atrae a las empresas las que pueden no estar familiarizadas con el enfoque de la Comisión, por lo que aquí hay un FTC 101: si la divulgación de información es necesaria para evitar el engaño, debe ser clara y conspicua. Para la FTC, "claro y conspicuo" es un estándar de rendimiento, no un tamaño de fuente. Lo más probable es que las notas al pie de página pequeña, los bloques densos de texto, la doble doble jerga o los hipervínculos oscuros no lo corten. Entonces, si las empresas necesitan divulgar información, ¿cómo pueden dejarla en claro y conspicuo? Aquí hay una regla general: considere los mismos métodos llamativos que usa de forma rutinaria cuando realmente desea captar la atención de un cliente potencial: gráficos, color, impresión grande, colocación prominente, redacción clara, etc.
No entiertes hechos clave en una política de privacidad difícil de entender. Querrá leer la queja por los detalles, pero después de la práctica, Fusion comenzó a recopilar resultados de la encuesta de consumidores para su publicación, cambió lo que dijo en su política de privacidad, pero no reveló claramente la información en la página de la encuesta en sí. Por supuesto, las políticas de privacidad de las empresas y las páginas de términos de uso deben ser precisos y comprensibles, pero confiar en esas páginas como el medio exclusivo para transmitir detalles críticos, por ejemplo, que tiene la intención de publicar la información de salud delicada de los consumidores, es imprudente.
Consulte los recursos de FTC para negocios. Las empresas acostumbradas solo a HIPAA pueden estar menos familiarizadas con el enfoque de la FTC. Visite el Centro de Negocios para los Fundamentos de Cumplimiento. Por ejemplo, divulgaciones .com: cómo hacer divulgaciones efectivas en la publicidad digital habla sobre cómo transmitir claramente información importante en línea. La herramienta interactiva de aplicaciones de salud móvil puede ayudarlo a determinar qué ley federal (y puede ser más de una) se aplica a su negocio. Y desarrolladores de aplicaciones de salud móvil: FTC Best Practices ofrece una introducción a la privacidad y la seguridad.
La FTC está aceptando comentarios públicos sobre el acuerdo propuesto con Fusion Fusion hasta el 8 de julio de 2016.
