Acceso a registros de salud

Es importante tener en cuenta que los desarrolladores de aplicaciones de terceros no están sujetos a los requisitos estándar de gestión de datos sanitarios de la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA). Aspire Health Plan no mantiene una relación contractual con estos desarrolladores y, por lo tanto, según la política de CMS, no puede auditar ni controlar las experiencias de las aplicaciones.

Sin embargo, para proteger al máximo la información de los miembros, según las disposiciones de la Regla de Interoperabilidad de los CMS, Aspire exige que los desarrolladores de aplicaciones de terceros se registren y certifiquen cómo gestionan y protegen los datos de los miembros. Esto incluye:

• Cómo cualquier persona u otra entidad puede acceder, intercambiar o usar la PHI de un paciente, incluido si la PHI puede compartirse o venderse en cualquier momento (incluso en el futuro) ∙ Un requisito de consentimiento expreso de un paciente antes de acceder, intercambiar o usar la PHI, incluida la recepción de consentimiento expreso antes de compartir o vender la PHI de un paciente (excepto las divulgaciones requeridas por ley o las divulgaciones necesarias en relación con la venta de la aplicación o una transacción similar)
• Si una aplicación accederá a cualquier otra información del dispositivo de un paciente
• Cómo puede un paciente interrumpir el acceso de la aplicación a sus datos y cuál es la política y el proceso de la aplicación para desechar los datos de un paciente una vez que este ha retirado su consentimiento

Las aplicaciones pueden aceptar, revisar o rechazar esta certificación. Además, se solicita a los desarrolladores de aplicaciones que certifiquen lo siguiente:

• NO almacenar datos fuera de los Estados Unidos
• Cumplimiento del Modelo de Mejores Prácticas de Salud de la FTC
• Cumplimiento de la Política de Privacidad Modelo de la ONC
• Cumplimiento del Código de Conducta CARIN

Toda solicitud que no certifique estos elementos deberá proporcionar una descripción satisfactoria de por qué no los certifica o no los certificará. Con base en estas respuestas, se concederá acceso a la solicitud si se consideran adecuadas y no se considera que expongan los datos de los miembros a ningún riesgo innecesario.