No firme ese formulario HIPAA: Proteja su privacidad médica durante FMLA
On this page
Su empleador, o más probablemente un administrador de licencias externo como Sedgwick, MetLife, The Hartford, Lincoln Financial o Unum, le acaba de enviar un paquete de documentos de FMLA (Ley de Licencia Familiar y Médica). Está el aviso de designación. Está el formulario de certificación médica WH-380 para que su doctor lo complete. Y luego, incluido con el resto del paquete, hay algo más: un formulario de autorización HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico) pidiéndole que autorice acceso a sus expedientes médicos.
Se ve oficial. Está impreso en papel membretado de la empresa, o en los formularios con marca del administrador externo, que se ven aún más legítimos porque vienen de una compañía de seguros o beneficios. Podría decir "requerido" en alguna parte de la página. El representante de reclamaciones podría decirle que todo en el paquete debe completarse antes de que su licencia pueda ser procesada.
Esto es lo que no le están diciendo: esa autorización HIPAA no es requerida para FMLA. La ley federal no la requiere. El Departamento de Trabajo (Department of Labor, o DOL) no la requiere. Su doctor no la necesita para completar el formulario de certificación. Y firmarla puede darle a su empleador acceso a mucha más información médica de la que tiene derecho a ver legalmente.
Lo que FMLA realmente requiere de su doctor
El proceso de certificación de FMLA es intencionalmente limitado. El Departamento de Trabajo diseñó los formularios WH-380 (WH-380-E para la condición propia del empleado, WH-380-F para el cuidado de un familiar) para recopilar solo lo que el empleador necesita para determinar si la licencia califica. Según 29 CFR § 825.306, la certificación debe incluir:
Lo que realmente pide el formulario WH-380
- Información del proveedor de salud: Nombre, especialidad, información de contacto
- Cuándo comenzó la condición: La fecha aproximada de inicio o comienzo del tratamiento
- Duración probable: Cuánto tiempo se espera que dure la condición
- Hechos médicos apropiados: El formulario dice que estos "pueden incluir síntomas, diagnóstico, hospitalización, visitas al doctor, si se ha recetado medicamento, referencias para evaluación o tratamiento, o cualquier otro régimen de tratamiento continuo". La palabra "pueden" es clave. Un diagnóstico es una forma posible de respaldar la certificación, pero no es obligatorio. Su proveedor puede describir síntomas, tratamiento y limitaciones funcionales sin nunca nombrar la condición.
- Declaración de incapacidad para trabajar: Si usted no puede realizar las funciones de su puesto
Eso es todo. El formulario no pide su historial médico completo. No pide expedientes de otros proveedores. No pregunta sobre condiciones no relacionadas. Y lo más importante, 29 CFR § 825.306(b) prohíbe explícitamente a los empleadores requerir información más allá de lo que pide el formulario de certificación.
ADA proporciona una capa separada de protección aquí. Según 42 U.S.C. § 12112(d)(4), los empleadores no pueden hacer consultas médicas a los empleados a menos que sean "relacionadas con el trabajo y consistentes con la necesidad del negocio". Cuando su licencia FMLA involucra una condición que también califica como discapacidad bajo ADA, el empleador debe cumplir con ambas leyes. Donde ADA es más restrictiva (y generalmente lo es respecto al alcance de la consulta médica), la restricción de ADA prevalece. La información médica que su empleador reciba debe mantenerse en un archivo confidencial separado, no en su expediente de personal (29 CFR § 1630.14(c)(1)).
Lo que la autorización HIPAA realmente hace
Para entender por qué firmar la autorización HIPAA es peligroso, necesita entender qué es realmente. Una autorización HIPAA bajo 45 CFR § 164.508 es un documento legal que le da a un tercero nombrado (en este caso, su empleador) permiso para obtener su información médica protegida (PHI, por sus siglas en inglés) de sus proveedores de salud.
El alcance de la autorización depende completamente del lenguaje escrito en ella. Una autorización bien redactada y limitada podría restringir el acceso a un proveedor específico, una condición específica y un período de tiempo específico. Pero muchas autorizaciones HIPAA proporcionadas por empleadores no son limitadas. Están redactadas lo más ampliamente posible.
La diferencia entre la certificación WH-380 y una autorización HIPAA es la diferencia entre que su doctor responda una pregunta específica y que entregue su expediente médico completo.
Su doctor responde preguntas específicas y limitadas sobre una condición
- • Limitada a la condición que causa la licencia
- • No requiere acceso a expedientes médicos
- • El empleador solo ve el formulario completado
- • Requerida por ley, no se necesita autorización adicional
Usted firma permiso para que su empleador acceda directamente a sus expedientes de salud
- • Puede cubrir todas las condiciones, todos los proveedores
- • Le da al empleador acceso directo a expedientes médicos
- • El empleador puede ver diagnósticos, recetas, notas de visitas
- • NO es requerida para FMLA, es completamente opcional
La trampa HIPAA de "todo incluido"
Muchos empleadores incluyen un formulario de autorización HIPAA excesivamente amplio dentro del paquete de FMLA, haciéndolo parecer solo otro documento requerido. Algunos van más allá y lo imprimen en las mismas páginas que los formularios legítimos. El mensaje implícito es claro: firme todo o su licencia no será procesada.
Así es como se ve típicamente una autorización HIPAA excesivamente amplia. Si ve lenguaje similar a este en su paquete de FMLA, trátelo como una señal de alerta:
AUTORIZACIÓN PARA DIVULGACIÓN DE INFORMACIÓN DE SALUD
Yo, __________________, por medio de la presente autorizo a todos y cada uno de los proveedores de salud, hospitales, clínicas, farmacias, laboratorios y otros centros médicos que me hayan brindado tratamiento o servicios a divulgar mis expedientes médicos completos, incluyendo pero no limitado a:
- ⚠Todos los diagnósticos, planes de tratamiento e historiales médicos
- ⚠Expedientes de salud mental y psiquiátricos
- ⚠Expedientes de tratamiento por abuso de sustancias
- ⚠Pruebas y estado de VIH/SIDA
- ⚠Historial de recetas y medicamentos
- ⚠Resultados de pruebas genéticas
Esta autorización permanecerá vigente durante la duración del empleo o hasta que sea revocada por escrito.
Firma: __________________ Fecha: __________
Usted NO tiene que firmar esto. Este formulario no es requerido por FMLA, y firmarlo le da a su empleador acceso a todo su historial médico, incluyendo condiciones completamente no relacionadas con su licencia.
Observe lo que hace ese formulario. Cubre a todos los proveedores, no solo al doctor que trata la condición de su licencia. Pide todos los diagnósticos e historiales médicos, no solo el relevante para su solicitud de FMLA. Incluye expedientes de salud mental, tratamiento de abuso de sustancias, estado de VIH y pruebas genéticas, categorías que reciben protecciones adicionales federales y estatales precisamente porque son muy sensibles. Y dura toda la duración de su empleo, lo que significa que el empleador puede usarla para obtener sus expedientes mucho después de que esta licencia particular termine.
Este no es el tipo de información que FMLA le da derecho a ver a su empleador. Las regulaciones en 29 CFR § 825.306(b) son claras: el empleador no puede requerir información más allá de lo que pide el formulario de certificación.
El problema del administrador externo
Esto es lo que empeora la situación: muchos empleados nunca tratan directamente con el departamento de Recursos Humanos de su empleador para FMLA. Los grandes empleadores tercerizan la administración de licencias a compañías externas como Sedgwick, MetLife, The Hartford, Lincoln Financial, Unum y otras. Estas compañías manejan su reclamación de FMLA desde la recepción hasta el regreso al trabajo, y ellas le envían la documentación.
Cuando una autorización HIPAA viene de una de estas compañías, se siente aún más oficial. Llega en papel membretado de una compañía de seguros o beneficios. Se presenta como parte de un proceso de reclamaciones estructurado. El representante por teléfono suena profesional y natural: "Solo necesitamos que firme la autorización para poder procesar su reclamación". No se siente como que su empleador está buscando información. Se siente como un paso administrativo de rutina.
Pero el análisis legal es exactamente el mismo. Un administrador externo que actúa en nombre de su empleador está sujeto a las mismas regulaciones de FMLA. No pueden requerir información más allá de lo que permite 29 CFR § 825.306. No pueden condicionar su licencia a firmar una autorización HIPAA que la ley no requiere. El hecho de que Sedgwick o MetLife esté pidiendo en lugar de su gerente de Recursos Humanos no cambia sus derechos.
La trampa del portal en línea
Algunos administradores de licencias externos llevan esto más lejos. Cuando su empleador lo dirige a presentar su reclamación de FMLA a través de un portal en línea, la autorización HIPAA frecuentemente está integrada directamente en el proceso de registro o de recepción de la cuenta. Usted navega por una serie de pantallas, acepta términos, y en algún punto de ese proceso hay una casilla de autorización HIPAA o un campo de firma electrónica. Está diseñado para parecer un paso obligatorio. El portal podría no dejarlo avanzar sin completarlo.
No firme una autorización HIPAA electrónicamente como parte del proceso de registro de un portal. El hecho de que un sitio web haga que algo parezca obligatorio no significa que sea legalmente requerido. Las decisiones de diseño del portal son tomadas por el administrador externo, no por reguladores federales. Las regulaciones de FMLA no han cambiado solo porque la documentación se movió a internet.
Si el portal no le permite enviar su reclamación de FMLA sin firmar la autorización HIPAA, tiene opciones. Contacte al administrador externo por escrito (el correo electrónico es mejor, para tener un registro) y explique que está solicitando licencia FMLA y quiere completar el proceso de recepción sin firmar la autorización HIPAA. Indique que proporcionará la certificación médica WH-380 completada como lo requiere 29 CFR § 825.306, y que una autorización HIPAA no es un prerrequisito legal para la licencia FMLA.
También puede notificar directamente al departamento de Recursos Humanos de su empleador. Dígales que el portal externo está bloqueando su envío de FMLA detrás de una autorización HIPAA que la ley federal no requiere. Póngalo por escrito. Esto crea un registro de que usted intentó presentar su reclamación de buena fe, y que cualquier demora fue causada por el diseño del portal del administrador, no por su falta de cooperación.
Señales de alerta a vigilar
Su derecho a rechazar o limitar la autorización
Las regulaciones federales lo protegen de dos maneras importantes. Primero, 45 CFR § 164.508(b)(4), la regla de autorización compuesta de HIPAA, prohíbe a los proveedores de salud y planes de salud condicionar el tratamiento o beneficios a firmar una autorización. Aunque los empleadores no están directamente cubiertos por esta disposición (HIPAA regula a entidades de salud, no a empleadores), el principio importa: una autorización HIPAA siempre es voluntaria. Su empleador no puede hacerla una condición de la licencia FMLA porque FMLA no requiere una.
Segundo, 29 CFR § 825.306(b) prohíbe a los empleadores requerir información médica más allá de lo que pide el formulario de certificación. Este es un límite estricto. Si su empleador dice que necesita una autorización HIPAA para "completar el proceso de FMLA", esa declaración no está respaldada por las regulaciones.
Tiene varias opciones:
Opción 1: Simplemente no la firme
Devuelva la certificación WH-380 completada y los otros formularios FMLA requeridos. No devuelva la autorización HIPAA. Si le preguntan, explique por escrito que FMLA no requiere una autorización HIPAA y que la certificación proporciona toda la información médica que la ley requiere. Este es el enfoque más limpio.
Opción 2: Límitela
Si se siente presionado a firmar algo, puede tachar el lenguaje excesivamente amplio y limitar la autorización. Restrínjala a un proveedor específico, una condición específica y un período corto (por ejemplo, 90 días). Tache categorías como expedientes de salud mental, abuso de sustancias y pruebas de VIH/genéticas si no son relevantes. Ponga sus iniciales en cada cambio. Esto le da al empleador algo en papel mientras lo protege de una búsqueda indiscriminada.
Opción 3: Revoque una autorización firmada anteriormente
Si ya firmó una autorización excesivamente amplia, puede revocarla. Según 45 CFR § 164.508(b)(5), tiene derecho a revocar cualquier autorización HIPAA por escrito en cualquier momento. La revocación aplica a divulgaciones futuras. No puede deshacer información ya compartida, pero detiene el flujo hacia adelante. Envíe la revocación tanto a su empleador como a los proveedores de salud nombrados en el formulario.
¿Puede su empleador contactar a su doctor?
Los empleadores a veces usan la autorización HIPAA como un atajo: si usted la firma, pueden ir directamente a su doctor y solicitar lo que quieran. Pero incluso sin la autorización, hay reglas sobre cuándo y cómo su empleador puede contactar a su proveedor de salud durante el proceso de FMLA.
Según 29 CFR § 825.307(a), el contacto del empleador con su doctor está estrictamente limitado:
Reglas para el contacto del empleador con su doctor
- El propósito es limitado: El contacto está permitido solo para "autenticación o aclaración" de la certificación médica, no para solicitar información adicional, no para obtener sus expedientes completos, no para preguntar sobre otras condiciones.
- Su supervisor directo no puede hacer la llamada: El contacto debe ser hecho por un profesional de Recursos Humanos, un administrador de licencias, un funcionario de gerencia o un proveedor de salud que represente al empleador. Su supervisor directo tiene explícitamente prohibido contactar a su doctor.
- Usted tiene oportunidad de corregir primero: Antes de que el empleador contacte a su proveedor de salud, deben darle la oportunidad de corregir cualquier deficiencia en la certificación. No pueden saltarse directamente a llamar a su doctor.
- Autenticación significa solo verificación: El empleador puede verificar que el formulario fue realmente completado por su proveedor de salud y que la información es genuina. Eso es todo lo que significa "autenticación".
- Aclaración no es una puerta trasera: Aclaración significa que el empleador puede pedirle al proveedor de salud que explique información que ya está en la certificación. No significa que pueden pedir información nueva más allá del alcance del formulario.
Qué hacer si su empleador (o su administrador de licencias) lo presiona
Algunos empleadores, o sus administradores de licencias externos, no aceptarán su rechazo tranquilamente. Recursos Humanos podría decirle que la autorización HIPAA es "política de la empresa". Un representante de Sedgwick o MetLife podría decir que su licencia "no puede ser procesada" sin ella. Así es cómo manejar la presión, paso a paso.
Documente cada interacción. Cada conversación sobre el formulario HIPAA debe ser por escrito, o seguida con un correo electrónico de confirmación. "Según nuestra conversación de hoy, confirmo que usted declaró que mi licencia FMLA no puede ser procesada sin el formulario de autorización HIPAA. Respetuosamente no estoy de acuerdo y estoy proporcionando la certificación WH-380 completada como lo requiere la ley federal."
Solicite la base legal específica. Pídale a Recursos Humanos que identifique la regulación federal específica que requiere una autorización HIPAA para FMLA. No podrán hacerlo, porque no existe. Poner esta solicitud por escrito los obliga a retractarse o hacer una afirmación que no pueden respaldar.
Presente el WH-380 y nada más. Deje claro por escrito que está proporcionando la certificación médica requerida por 29 CFR § 825.306 y que considera que esto constituye cumplimiento total con los requisitos de certificación de FMLA.
Cite las regulaciones. No necesita ser abogado para hacer referencia a las reglas. Una declaración simple es efectiva: "Según 29 CFR § 825.306(b), un empleador no puede requerir información más allá de la certificación médica. El formulario WH-380 es completado por mi proveedor de salud y me lo entrega a mí como paciente, por lo que no se requiere autorización HIPAA para este proceso."
Escale si es necesario. Si Recursos Humanos continúa insistiendo, o si su licencia es negada o retrasada porque usted se negó a firmar, puede presentar una queja ante la División de Horas y Salarios del Departamento de Trabajo. La interferencia con FMLA, incluyendo condicionar la licencia a firmar documentos innecesarios, es una violación de 29 U.S.C. § 2615.
Lenguaje de ejemplo que puede usar
A continuación hay frases específicas que puede usar en correos electrónicos o escribir directamente en el formulario de autorización HIPAA. Adaptélas a su situación.
"Estoy proporcionando la certificación médica WH-380 completada como lo requiere 29 CFR § 825.306. Las regulaciones federales de FMLA no requieren una autorización HIPAA para el proceso de certificación, y 45 CFR § 164.512(a) permite a mi proveedor de salud divulgar la información de certificación sin una. Por lo tanto, me niego a firmar el formulario de autorización HIPAA incluido en el paquete de licencia. Por favor procese mi solicitud de licencia FMLA basándose en la certificación adjunta."
"Estoy limitando esta autorización a expedientes del Dr./Dra. [Nombre] en [Nombre de la práctica] relacionados únicamente con [condición específica], para el período del [fecha de inicio] al [fecha de fin]. Todas las demás disposiciones, incluyendo referencias a 'todos y cada uno de los proveedores' y categorías de expedientes no relacionados con la condición declarada, quedan por la presente tachadas y excluidas. Esta autorización vence el [fecha, no más de 90 días]."
"De conformidad con 45 CFR § 164.508(b)(5), estoy revocando la autorización HIPAA que firmé el [fecha]. Esta revocación es efectiva inmediatamente para cualquier divulgación futura. Por favor confirme la recepción de esta revocación por escrito."
Preguntas frecuentes
¿FMLA me obliga a firmar una autorización HIPAA?
No. El proceso de certificación de FMLA usa el formulario WH-380, que su proveedor de salud puede completar sin una autorización HIPAA. Según 45 CFR § 164.512(a), la información médica limitada del formulario de certificación es una divulgación "requerida por ley", lo que significa que su doctor ya tiene permiso para proporcionarla. Una autorización separada no es necesaria y no es requerida por ninguna regulación de FMLA.
¿Puede mi empleador negar la licencia FMLA si me niego a firmar una autorización HIPAA?
Generalmente, no. Su empleador puede requerir que proporcione una certificación médica completada (WH-380), y puede negar la licencia si usted no la proporciona. Pero negarse a firmar una autorización HIPAA general no es base para la negación. La única excepción: si su certificación está incompleta y su doctor requiere una autorización limitada específica antes de hablar con el empleador para aclaración, debería proporcionar esa autorización limitada para no poner en riesgo su licencia. Si su empleador niega la licencia únicamente porque usted rechazó un formulario HIPAA excesivamente amplio, eso puede constituir interferencia con FMLA.
¿Puede mi empleador llamar a mi doctor directamente sobre mi licencia FMLA?
Solo en circunstancias muy limitadas. Según 29 CFR § 825.307(a), el empleador puede contactar a su doctor para autenticación (verificar que el formulario es genuino) o aclaración (explicar información que ya está en el formulario). El contacto debe ser hecho por Recursos Humanos, un administrador de licencias o el proveedor de salud del empleador, nunca por su supervisor directo. Y el empleador primero debe darle la oportunidad de corregir cualquier deficiencia en la certificación antes de contactar a su proveedor.
¿Cuál es la diferencia entre la certificación WH-380 y una autorización HIPAA?
El WH-380 es un formulario del DOL que recopila información limitada y específica: inicio de la condición, duración, hechos médicos apropiados (que pueden incluir síntomas, diagnóstico o detalles de tratamiento, pero no se requiere un diagnóstico específico) y una declaración sobre su incapacidad para trabajar. Una autorización HIPAA es un documento legal que le da permiso a alguien para acceder a su información médica protegida. Una autorización HIPAA excesivamente amplia puede darle a su empleador acceso a todo su historial médico de cada proveedor: diagnósticos, recetas, expedientes de salud mental y más. El WH-380 es requerido por ley. La autorización HIPAA no lo es.
¿Qué pasa si mi doctor requiere una autorización HIPAA antes de hablar con mi empleador?
Esto puede ocurrir. Según 29 CFR § 825.307(a), su empleador puede contactar a su doctor para autenticación o aclaración de la certificación, pero su doctor puede independientemente decidir que quiere una autorización HIPAA antes de responder. Esta es la política propia del doctor, no un requisito de FMLA. Si llega a esto, proporcione una autorización limitada que cubra solo la condición específica, el proveedor específico y un período corto. Esto es muy diferente a firmar la autorización general del paquete de FMLA. Y recuerde: el empleador primero debe darle la oportunidad de corregir cualquier deficiencia en la certificación usted mismo antes de contactar a su doctor.
¿Qué debo hacer si mi empleador insiste en que firme una autorización HIPAA para FMLA?
Presente la certificación WH-380 completada y rechace el formulario HIPAA por escrito. Cite 29 CFR § 825.306(b) (los empleadores no pueden requerir información más allá de la certificación) y 45 CFR § 164.512(a) (no se necesita autorización para divulgaciones requeridas por ley). Si el empleador toma represalias o se niega a procesar su licencia, presente una queja ante la División de Horas y Salarios del DOL. Si previamente firmó una autorización excesivamente amplia, puede revocarla bajo 45 CFR § 164.508(b)(5).
¿No está seguro de sus derechos bajo FMLA?
Verifique si es elegible para protección FMLA y conozca lo que su empleador puede y no puede requerir. Toma menos de dos minutos.