Preocupaciones planteadas sobre la privacidad médica
Se ha descubierto que las cadenas de farmacias más grandes del país, incluidas CVS Health, Kroger y Rite Aid, proporcionan voluntariamente los registros de recetas de los estadounidenses a investigadores gubernamentales y policiales sin una orden judicial, según una investigación del Congreso. Esta revelación ha generado importantes preocupaciones sobre la protección de la privacidad médica.
Aunque algunas cadenas de farmacias exigen que sus abogados revisen las solicitudes de las autoridades, CVS Health, Kroger y Rite Aid, que en conjunto operan 60.000 ubicaciones en todo el país, permiten que el personal de la farmacia entregue los registros médicos de los clientes directamente en la tienda. Esta política fue descubierta a través de una carta enviada por el senador Ron Wyden, la representante Pramila Jayapal y la representante Sara Jacobs a Xavier Becerra, secretario del Departamento de Salud y Servicios Humanos.
Las farmacias conservan información personal íntima
Las farmacias poseen una gran cantidad de información personal sobre sus clientes, incluidos detalles confidenciales como afecciones médicas de hace años y recetas de salud mental y anticonceptivos. Dado que las cadenas de farmacias a menudo comparten registros entre ubicaciones, una farmacia en un estado puede acceder al historial médico completo de una persona, incluso si reside en estados con leyes de privacidad más estrictas. Esto crea un posible «rastro digital» que vincula la atención médica de una persona fuera del estado con su estado de origen.
La Ley de Responsabilidad y Portabilidad del Seguro Médico (HIPAA), que regula el uso y el intercambio de información médica, se aplica a «entidades cubiertas», como hospitales y consultorios médicos. Sin embargo, su aplicación a las cadenas de farmacias y su intercambio de registros sin orden judicial no está clara.
Políticas de los mayores gigantes farmacéuticos
En reuniones informativas con investigadores del Congreso, funcionarios que representan a Walgreens Boots Alliance, CVS, Walmart, Rite Aid, Kroger, Cigna, Optum Rx y Amazon Pharmacy declararon que solo necesitaban una citación, no una orden judicial, para compartir registros de recetas. A diferencia de una orden o orden judicial, una citación no requiere la aprobación de un juez y puede ser emitida por una agencia gubernamental.
CVS, Kroger y Rite Aid revelaron que los miembros de su personal de farmacia recibieron instrucciones de procesar las solicitudes de las autoridades inmediatamente debido a la «presión extrema para responder». Sin embargo, la carta de los legisladores no especificaba el número de solicitudes cumplidas ni la proporción de demandas policiales. Sólo Amazon declaró que notificaría a los clientes cuando las fuerzas del orden exigieran sus registros farmacéuticos, a menos que lo impida una prohibición legal como una «orden de silencio». Otras empresas, incluida Amazon, no hicieron comentarios sobre el asunto.
Esfuerzos para fortalecer la protección de la privacidad del paciente
Los legisladores instaron al Departamento de Salud y Servicios Humanos (HHS) a mejorar las reglas de HIPAA y garantizar que las farmacias requieran una orden judicial de las autoridades. Esto obligaría a los funcionarios a buscar la aprobación judicial para hacer cumplir dichas solicitudes.
CVS expresó su apoyo a la consideración de una orden judicial o citación emitida por un juez y su voluntad de colaborar con el Congreso para fortalecer las protecciones de la privacidad del paciente. La empresa recibió un número limitado de solicitudes de consumidores según la regla de «Contabilidad de divulgación» de HIPAA, pero el número exacto sigue sin revelarse.
Para mejorar la transparencia, CVS planea publicar un informe en el primer trimestre del próximo año que incluya información sobre solicitudes de registros de terceros.
Carmel Shachar, profesor clínico asistente en la Facultad de Derecho de Harvard, enfatizó la importancia del manejo de datos confidenciales por parte de las farmacias. Señaló que es posible que los farmacéuticos no posean la experiencia para evaluar los méritos o la validez de una solicitud policial o para rechazar la demanda de un oficial. Shachar enfatizó la necesidad de que expertos en leyes de privacidad revisen dichas solicitudes.
Algunos estados, como Luisiana, Montana y Pensilvania, ofrecen protecciones adicionales para la divulgación de datos médicos. Sin embargo, las agencias federales encargadas de hacer cumplir la ley no están sujetas a estas leyes estatales.
El llamado de los legisladores a implementar reglas HIPAA más estrictas, similares a la adopción por parte de la industria tecnológica de requisitos de garantía para el acceso a los datos de correo electrónico de los clientes por parte de empresas como Google, Microsoft y Yahoo a principios de la década de 2010, sirve como ejemplo de posibles mejoras.