Prática Caso de fusão sugere 6 ponteiros de privacidade de saúde

Combine dois dos tópicos de proteção ao consumidor mais comentados-privacidade da saúde e conteúdo on-line gerado pelo consumidor-e o que você recebe? Um acordo da FTC proposto com a prática Fusion, a maior empresa de registros eletrônicos de saúde baseada em nuvem no país e seis dicas de conformidade para outros da indústria.

Um dos principais produtos da Fusion, com sede em São Francisco, é um sistema de registros eletrônicos para fornecedores ambulatoriais. Em 2009, a empresa lançou “Patient Fusion”, um portal on -line onde pacientes cujos fornecedores já estavam usando a fusão prática poderia ver ou baixar suas informações de saúde ou transmiti -las a outro provedor. A fusão do paciente também permite que os pacientes enviem e recebam mensagens seguras de seus fornecedores.

Avanço rápido vários anos e a empresa decidiu expandir a fusão do paciente para incluir um diretório público em que os inscritos atuais e em potencial poderiam procurar médicos geograficamente ou por especialidade, ler revisões de pacientes dos fornecedores e solicitar compromissos. Mas a prática Fusion teve que fazer uma pergunta familiar para muitas empresas on -line: como obtemos o conteúdo – nesse caso, revisões de pacientes? Esse é o foco do processo da FTC.

De acordo com a denúncia, a prática Fusion solicitou dados de uma maneira enganosa que levou alguns pacientes a acreditar que estavam enviando mensagens de acompanhamento diretamente para seus médicos sobre seu diagnóstico, tratamento médico, prescrições etc.-e não contribuindo com conteúdo para um site público . Pratique a fusão, no entanto, preencheu seu novo site com as informações que as pessoas forneceram, algumas das quais eram altamente sensíveis.

Aqui está o que aconteceu. Após compromissos com seus médicos, os pacientes receberam e -mails intitulados “Como foi sua visita?” A mensagem continuou: “Para ajudar a melhorar seu serviço no futuro, informe -nos como foi sua visita” e incluiu um link com estrelas de classificação. A mensagem terminou desta maneira:

Obrigado,
Dr. (nome)

Em um rodapé, a mensagem dizia: “Este e -mail foi enviado a você pelo paciente Fusion®, um médico da ferramenta (nome) usa para oferecer a mais alta qualidade de atendimento aos pacientes”. Abaixo disso, na impressão menor, ele disse: “Enviado em nome do escritório do médico (nome) por: Pratique Fusion”.

Se os pacientes clicaram no link, foram levados para uma página que pedia feedback sobre coisas como quanto tempo eles tiveram que esperar pela consulta, a maneira de cabeceira do médico e se sua preocupação médica foi abordada.

Também havia uma caixa de texto onde os pacientes foram convidados a “deixar uma revisão para o seu provedor”. Abaixo disso, havia uma caixa pré-verificada com a frase “Mantenha esta revisão anônima”.

O que algumas pessoas colocaram nessa caixa? Informações altamente sensíveis diretamente endereçadas aos seus médicos, não avaliações destinadas a serem compartilhadas publicamente. Aqui estão apenas alguns exemplos:

• “Dr. (nome), minha prescrição Xanax que recebi na segunda -feira era de 1 comprimido por dia, mas geralmente é de 2 comprimidos por dia. Ainda não levei isso à farmácia. Posso pegar um novo ou posso receber uma receita médica em uma farmácia? Obrigado, (nome completo do paciente)
• “Liguei hoje e deixei uma mensagem sobre minha filha e ninguém devolveu minha ligação. Eu acho que ela está deprimida e declarou várias vezes nesta semana que deseja estar morta. Alguém poderia me ligar (número de telefone)? ”
• “O cefuroxime axetil não parece estar fazendo nada por mim. Fiz uma pequena pesquisa e acho que tenho uma infecção por fungos chamada Candida. Não tenho certeza do que fazer a respeito ainda. Acho que vou tentar mudar minha dieta. Medicamento? (Nome completo do paciente)
• “Gostaria de marcar uma consulta para minha dor nas costas e possíveis telhas. Você pode me ligar @ (número de telefone)? Obrigado! (nome completo do paciente) ”
• “Não tenho infecção (nome do profissional de saúde). Tudo correu bem depois da minha visita, por isso é para o meu dia de quimioterapia… .. obrigado espero que eu veja você Tomarrow no Hospital Metodista… .. obrigado… (Nome completo do paciente) ”

No tipo menor e mais leve da página, ele dizia “para sua proteção, não inclua nenhuma informação pessoal”. Mas a FTC diz que a natureza das informações que alguns pacientes colocam na caixa-nomes completos, números de telefone, prescrições recebidas ou procedimentos realizados-sugere que eles pensaram que estavam enviando perguntas de acompanhamento diretamente ao consultório do médico.

E a caixa “Mantenha esta revisão anônima” pré-verificada? De acordo com a FTC, não anonimizou o que o paciente escreveu. Em vez disso, apenas afetou se apareceria no local de fusão do paciente público sob a alça “anônimo” ou com o primeiro nome de um paciente.

A FTC diz que continuou por cerca de um ano até um artigo em Forbes destacou a natureza sensível de alguns dos comentários e perguntas das caixas de texto publicadas no paciente Fusion. Foi quando a empresa implementou procedimentos automatizados para impedir a publicação de revisões em que os consumidores haviam inserido informações pessoais.

Em uma reclamação de uma contagem, a FTC alega que a fusão da prática representou expressamente ou por implicação de que as respostas da pesquisa seriam comunicadas ao provedor de saúde do consumidor, mas não divulgaria adequadamente que também publicaria as respostas publicamente. De acordo com a FTC, esse fato teria sido material para os consumidores decidirem se ou como responder à pesquisa.

Para resolver o caso, a prática Fusion concordou em não deturpar a extensão em que usa, mantém e protege a privacidade e a confidencialidade de qualquer informação coberta. Além disso, se a empresa quiser tornar pública as informações cobertas dos consumidores, ele deve primeiro: 1) divulgar clara e conspícua ao consumidor – separado e além de uma política de privacidade, página de termos de uso ou documento semelhante – sua intenção de tornar a informação pública; e 2) obter o consentimento afirmativo expresso do consumidor.

Os termos do acordo se aplicam apenas para praticar a fusão, mas há lições que outros no setor podem aprender.

Se as informações pessoais de saúde estiverem envolvidas, lide com cuidados específicos. Os consumidores estão preocupados com a confidencialidade de suas informações de saúde e têm boas razões para estar. Dado o que está em jogo, os membros do setor estão notificando a necessidade de cautela.

Explique suas intenções. Especialmente para novos produtos e serviços, não assuma que os consumidores compartilham seus conhecimentos. Seja direto em sua explicação e use palavras simples para explicar o que você deseja fazer com os dados deles.

Obtenha o consentimento afirmativo expresso dos consumidores antes de divulgar publicamente informações confidenciais. Empresas interessadas em ganhar clientes fiéis (e ficar sem areia legal e pedem permissão aos consumidores antes de divulgar dados pessoais e aguardar um “sim” claro antes de prosseguir. Quando as informações sobre a saúde estão em questão, não é hora de ficar fofo com opções negativas ou outros métodos de consentimento menos do que claros.

As divulgações devem chegar e agarrar os consumidores. A assistência médica está atraindo empresas que podem não estar familiarizadas com a abordagem da Comissão, então aqui estão algumas FTC 101: se a divulgação de informações for necessária para evitar o engano, deve ser claro e conspícuo. Para a FTC, “claro e conspícuo” é um padrão de desempenho, não um tamanho de fonte. As chances são de que as notas de rodapé finas, blocos densos de texto, duplétala de jargão ou hiperlinks obscuros não o corte. Então, se as empresas precisam divulgar informações, como podem deixá -las claras e visíveis? Aqui está uma regra prática: considere os mesmos métodos atraentes que você usa rotineiramente quando realmente deseja chamar a atenção de um cliente em potencial-gráficos, cor, impressão grande, posicionamento proeminente, redação clara, etc.

Não enterre os fatos importantes em uma política de privacidade difícil de entender. Você deseja ler a reclamação para os detalhes, mas após a prática a fusão começou a coletar resultados da pesquisa do consumidor para publicar, mudou o que dizia em sua política de privacidade, mas não divulgou claramente as informações na própria página de pesquisa. Obviamente, as políticas de privacidade das empresas e as páginas de Termos de Uso devem ser precisas e compreensíveis, mas confiar nessas páginas como meios exclusivos de transmitir detalhes críticos – por exemplo, que você pretende postar publicamente informações de saúde sensíveis aos consumidores – são imprudentes.

Consulte os recursos da FTC para negócios. As empresas acostumadas apenas à HIPAA podem estar menos familiarizadas com a abordagem da FTC. Visite o Business Center for Conformy Fundamentals. Por exemplo, divulgações .com: como fazer divulgações eficazes em conversas de publicidade digital sobre como transmitir claramente informações importantes online. A ferramenta interativa de aplicativos de saúde móvel pode ajudá -lo a descobrir qual lei federal (e pode ser mais de uma) se aplica aos seus negócios. E desenvolvedores de aplicativos de saúde móvel: as melhores práticas da FTC oferecem uma introdução à sólida privacidade e segurança.

A FTC está aceitando comentários públicos sobre o acordo proposto com a prática Fusion até 8 de julho de 2016.