MyChart y un importante hospital me dijeron que podía optar por no compartir mis datos de salud. Pero no me lo pusieron fácil

This article is also available in English. Read it here .

La Dra. Shira Fischer, médica que trabaja en políticas de salud en Boston, buscó un logopeda para su hijo en 2022, cuando las citas virtuales se convirtieron en la norma debido a la COVID-19.

“Leí su consentimiento y decían que iban a grabar y usar [nuestra cita] para capacitación. Y les dije: no, mi hija tiene ceceo. Lo último que quiere es que se usen videos de su ceceo para capacitación durante quién sabe cuánto tiempo y en quién sabe qué base de datos.”

Fischer dijo que la clínica no modificaría el consentimiento y que no procedería con la cita si ella no lo firmaba. Finalmente, encontró otra logopeda. «Resultó ser mejor. Pero, ¿qué es eso de que te exigen que les permitas grabar para su formación?».

¿Has tenido una experiencia similar? Cuéntanos.

Este artículo se publicó originalmente en The Markup, que ahora forma parte de CalMatters.

Si has acudido a una cita médica en California y has tenido dificultades para optar por no compartir tus datos, o si eres médico o paciente en California y has tenido problemas con la transcripción mediante IA, nos encantaría saber de ti.

Envíe un correo electrónico a Alex Rosenblat, nuestro Director de Investigación Sociotécnica, a arosenblat@calmatters.org .

Si te preocupa que te rastreen o te descubran, puedes enviar mensajes y archivos de forma segura usando la aplicación Signal (descárgala aquí ). Contacta a Alex en Signal: 530-364-1838

Cada día, los consultorios médicos de todo el país informan a los pacientes que, para poder ser atendidos, deben autorizar el acceso a sus datos de salud a decenas de miles de hospitales y clínicas. Con frecuencia, los médicos entregan formularios de consentimiento excesivamente amplios, solicitando a los pacientes que acepten desde el uso de sus expedientes médicos para la formación de médicos hasta el uso de sus datos para el entrenamiento de inteligencia artificial .

En la práctica, cuando un paciente no está de acuerdo, los médicos pueden rechazarlo.

En otras ocasiones, los consultorios médicos les dicen a los pacientes que pueden optar por no compartir sus datos más adelante, contactando a una dirección de correo electrónico o enviando una carta física, pero en realidad, optar por no compartir sus datos puede ser tan difícil y confuso que en realidad no es una opción en absoluto.

Durante mi embarazo, me pregunté por qué los formularios de mi ginecólogo me pedían que autorizara a otra empresa, Phreesia, a extraer mis datos de salud con fines de marketing. El formulario de autorización estaba etiquetado como “Obligatorio”, aunque legalmente debería ser opcional. Me negué sistemáticamente a participar y guardé mis registros, pero cuando intenté confirmar mis exclusiones con Phreesia, me dijeron que sí había dado mi consentimiento. Tras 81 días de idas y venidas, Phreesia admitió que nunca les había autorizado a usar mis datos. Sin embargo, siguió utilizando la etiqueta engañosa de “Obligatorio” en el formulario de autorización. Meses después, tras presentar una queja ante el Departamento de Salud y Servicios Humanos de EE. UU. y después de un episodio de “The Indicator from Planet Money” en NPR , Phreesia cambió la forma en que etiquetaba sus formularios. El proceso me pareció indignante, pero despertó mi curiosidad y desde entonces he estado investigando cómo funcionan las exclusiones voluntarias.

El año pasado me registré como paciente en 25 clínicas y hospitales de siete estados y dediqué cientos de horas a revisar formularios de consentimiento, políticas de privacidad y formularios de marketing para comprobar si realmente podía optar por no compartir mis datos.

En un hospital de Ohio, necesité 26 pasos, un notario y un vuelo a Las Vegas para entender cómo excluirme de los múltiples usos que el hospital hace de mi historial médico. A pesar de mis esfuerzos, el hospital no cumple con su propia política, que en teoría permite a los pacientes negarse a que el hospital tome y conserve fotos y grabaciones de ellos.

Todo comenzó en enero pasado, cuando busqué una segunda opinión sobre un problema de salud personal con un especialista en University Hospitals en Westlake, Ohio. University Hospitals es un gran sistema hospitalario sin fines de lucro que gestiona sus registros médicos electrónicos a través de MyChart, un portal para pacientes ampliamente utilizado en todo el país. MyChart es un producto de Epic Systems, una empresa de software para el sector salud con sede en Verona, Wisconsin, que afirma tener más de 305 millones de historiales clínicos de pacientes de todos los estados y de más de una docena de países.

Mientras me preparaba para mi cita, el hospital me pidió que firmara sus formularios de registro y que me inscribiera en MyChart. En los extensos términos de servicio, identifiqué tres formas diferentes en que, como paciente, mis datos están a punto de ser utilizados, accedidos o compartidos:

El hospital compartirá mis datos de salud a través de Care Everywhere, la plataforma de información sanitaria propiedad de Epic.

El hospital compartirá mis datos con CliniSync, una organización sin fines de lucro con sede en Ohio que ofrece un servicio de intercambio de información sanitaria y que facilita el intercambio de información de los pacientes, como los resultados de laboratorio, entre diferentes instituciones.

El hospital será propietario de cualquier fotografía, audio o vídeo que me tomen y podrá utilizarlos para cualquier fin lícito.

En todos los casos, me dijeron que podía optar por no participar o negarme, pero el proceso parecía diseñado para impedirme hacerlo. Los formularios y los sitios web carecían de información de contacto básica; el servicio al cliente no respondía; se exigía a los pacientes que encontraran un notario, y el personal del hospital contradecía directamente sus propias políticas escritas y me decía que no tenía permitido optar por no participar.

Así que me propuse averiguar qué se necesitaría realmente para decir no a compartir mis datos, empezando por Epic.

No hay ningún botón para revocar la autorización en todas partes

Una vez que un hospital pone a disposición los registros de un paciente a través de Epic Care Everywhere, muchos médicos que trabajan con Epic en todo el país pueden acceder a esos registros, con algunas excepciones .

La forma más común en que los médicos utilizan los sistemas de intercambio de información médica es para familiarizarse rápidamente con el historial clínico de un paciente que va a ser atendido. Compartir los historiales médicos de los pacientes a través de estos sistemas ha reducido la duplicación de pruebas . Además, permite a los médicos de urgencias que nunca han visto a un paciente antes obtener de inmediato su historial clínico y alergias, lo que puede salvarle la vida, según Saurabh Rahurkar, exprofesor adjunto de la Facultad de Medicina de la Universidad Estatal de Ohio.

Los hospitales también pueden restringir qué médicos pueden ver los expedientes de un paciente, por ejemplo, mediante la distancia física o añadiendo un paso de confirmación adicional antes de que los médicos puedan ver los expedientes de los pacientes que han recibido servicios psicológicos .

“Si le dices a tu nuevo médico: ‘Por favor, ve a buscar mi historial médico a este lugar que está a 3000 millas de distancia’, Care Everywhere puede hacerlo, pero no si el sistema está configurado para buscar solo historiales dentro de un radio de 50 millas”, dijo Lucia Savage, exdirectora de privacidad de la oficina federal de TI de salud.

Pero existen razones claras por las que algunos pacientes no quieren que sus datos aparezcan en estas búsquedas, y las medidas de protección hospitalaria, si es que existen, no siempre son efectivas.

Por ejemplo, una paciente que cruza las fronteras estatales para someterse a un aborto puede no querer que sus registros sean consultados por sus proveedores de atención médica en su estado de origen, donde ese tratamiento está penalizado.

«Las personas que han tenido malas experiencias con el acceso no autorizado a su información, así como aquellas con afecciones médicas y diagnósticos delicados por razones justificadas, desconfían del sistema sanitario», afirmó Julia Adler-Milstein, destacada investigadora en políticas de TI para la salud y profesora de medicina en la Universidad de California, San Francisco. «Sienten que el sistema sanitario no ha gestionado adecuadamente su información».

Por ejemplo, investigadores que revisaron 1,138 casos de filtraciones de datos descubrieron que casi el 10% de las filtraciones de datos de salud de pacientes provienen del acceso no autorizado por parte de empleados del sector sanitario que envían información de identificación personal a cuentas personales.

Nichole Sweeney, quien recientemente se desempeñó como directora de privacidad y asesora general en CRISP Shared Services, empresa que proporciona infraestructura tecnológica para respaldar los intercambios de salud en más de 10 estados, comentó que en su trabajo como responsable de privacidad a menudo se encuentra con proveedores que husmean en los registros de los pacientes : “Un proveedor en un consultorio busca información sobre una expareja, y lo descubrimos porque tenemos un software de monitoreo, y tengo que llamarlos y decirles que no lo hagan más. A veces los despiden”.

Cason Schmit, profesor de derecho y políticas de salud en la Universidad de Texas A&M, advirtió: «Nos encontramos en un momento en que los datos que se recopilan para ayudar a las personas se utilizan ahora de maneras que podrían perjudicarlas de forma activa y específica». Señaló cómo el Servicio de Inmigración y Control de Aduanas (ICE) ha utilizado datos de salud para la aplicación de las leyes de inmigración . Schmit ha escrito sobre el papel de las políticas estatales en el fomento del intercambio de información sanitaria y sus beneficios para el público, como el seguimiento de los brotes de sarampión.

En mi intento por darme de baja de Epic Care Everywhere, primero busqué cómo hacerlo a través de MyChart. Navegué por más de 40 opciones del menú, incluyendo el “Centro para compartir”, donde vi videos sobre Care Everywhere que explicaban sus beneficios, pero no cómo restringir su uso. Finalmente, encontré una sección en “Autorizar uso compartido” que decía que podía “solicitar que mi información ya no se comparta” enviando un mensaje al servicio de atención al cliente. Lo intenté, pero no obtuve respuesta.

Luego intenté enviar correos electrónicos y llamar al departamento de ética y cumplimiento del sistema hospitalario para darme de baja de Care Everywhere. Silencio absoluto.

Tras semanas de intentos infructuosos, encontré una solución. Al llamar al servicio de atención al paciente de MyChart, el representante me indicó que podía darme de baja contactando con el departamento de historiales médicos del hospital. Llamé al departamento de historiales médicos y me devolvieron la llamada ese mismo día para confirmar que me habían dado de baja de Care Everywhere.

Pero, ¿cómo se supone que los pacientes se enteren de este proceso? No encontré ninguna descripción de “contactar con el departamento de registros médicos” en MyChart ni en la página web del hospital.

Solicité una entrevista con Epic y accedieron a que hablara con Matt Doyle, director de desarrollo de software de Care Everywhere. Resultó que ambos estábamos a punto de estar en Las Vegas para una de las mayores ferias y congresos del sector sanitario del país. Llegué temprano al stand de Epic, que destacaba entre los demás del recinto ferial, con alfombras y una sala de reuniones privada. Unos carteles anunciaban con orgullo que los proveedores de salud intercambian aproximadamente 22 millones de historiales de pacientes al día a través de Care Everywhere.

Doyle se acercó desde un grupo de empleados de Epic que estaban revisando las pantallas de MyChart con los asistentes a la conferencia, y me condujo a la sala de re