El letrero epónimo fuera de la sede de Epic en Verona, Wisconsin.
Fuente: Yiem vía Wikipedia CC
Epic Systems, el proveedor más grande de software para gestionar registros médicos, asegura que una startup respaldada por empresas de capital riesgo llamada Particle Health está utilizando datos de pacientes de manera no autorizada y no ética, que no tienen nada que ver con el tratamiento.
Epic informó a sus clientes en un aviso el jueves que cortó su conexión con Particle, dificultando la capacidad de la empresa para acceder a un sistema con más de 300 millones de registros de pacientes. Particle es una de varias empresas que actúan como una especie de intermediario entre Epic y las organizaciones, típicamente hospitales y clínicas, que necesitan los datos.
Los datos de los pacientes son inherentemente sensibles y valiosos, y están protegidos por la Ley de Portabilidad y Responsabilidad del Seguro de Salud, o HIPAA, una ley federal que requiere el consentimiento o conocimiento del paciente para el acceso de terceros. Una forma en la que se acceden a los registros médicos electrónicos (RME) de Epic es a través de una red de interoperabilidad llamada Carequality, que facilita el intercambio de más de 400,000 documentos al mes, según su sitio web. Particle es miembro de la red Carequality.
Para unirse a la red, las organizaciones son evaluadas y tienen que aceptar cumplir con claros “Propósitos Permitidos” para el intercambio de datos de pacientes. Epic responde a las solicitudes de datos que caen bajo el propósito permitido de “Tratamiento”, lo que significa que el destinatario está proporcionando atención a la persona cuyos registros están solicitando.
Epic dijo en su aviso del jueves que presentó un conflicto formal con Carequality el 21 de marzo, debido a preocupaciones de que Particle y sus organizaciones participantes “podrían estar representando de manera inexacta el propósito asociado con la recuperación de sus registros”. La compañía suspendió su conexión con Particle ese día.
“Esto plantea posibles riesgos de seguridad y privacidad, incluyendo la posibilidad de violaciones de la Norma de Privacidad de la HIPAA”, dijo Epic en el aviso, que fue obtenido por CNBC.
En una publicación de blog el viernes por la noche, Carequality dijo que toma los conflictos “muy en serio y está comprometido a mantener la integridad del proceso de resolución de disputas, así como el intercambio de confianza dentro del marco”. La organización dijo que no puede comentar sobre la existencia de disputas o actividades de miembros.
Representantes de Epic y Particle no respondieron a las solicitudes de comentarios. Sin embargo, Particle publicó una publicación en el blog el viernes por la noche y dijo que comenzó a “abordar este problema de inmediato” después de que Epic “dejara de responder a las solicitudes de datos de un subconjunto de clientes” el 21 de marzo. Particle dijo en la publicación que un gran desafío en estos asuntos es que no hay una referencia estándar para evaluar la definición de Tratamiento.
“Estas definiciones se han vuelto más difíciles de delinear a medida que la atención se vuelve más complicada con proveedores, pagadores y proveedores de pagos que se fusionan en varios grandes conglomerados de atención médica”, escribió Particle.
Epic, una empresa privada de 45 años con sede en Wisconsin, es el mayor proveedor de RME por cuota de mercado hospitalaria en los EE. UU., con un 36% del mercado, según un informe de mayo de KLAS Research. Oracle está en segundo lugar con un 25%, después de la compra por $28 mil millones de Cerner en 2022.
Hasta julio de 2022, Particle había recaudado un total de $39.3 millones de inversores como Menlo Ventures, Story Ventures y Pruven Capital, según un comunicado. La startup con sede en Nueva York dijo en ese momento que su tecnología “combina de forma única datos de los registros médicos de más de 270 millones de pacientes, agregando y unificando registros de salud de miles de fuentes”.
Epic dijo que Particle introdujo miles de nuevas conexiones de participantes en Carequality en octubre, y afirmó que se ajustaban al caso de uso del tratamiento. En los meses siguientes, todas las organizaciones participantes de Particle afirmaron un propósito permitido de tratamiento para sus solicitudes, dijo Epic.
‘Caso de uso no relacionado con el tratamiento’
Sin embargo, Epic comenzó a notar algunas señales de alarma. La empresa dijo que observó anomalías en los patrones de intercambio de registros de pacientes, como solicitudes de grandes cantidades de registros dentro de una cierta región geográfica. Además, Epic dijo que las empresas conectadas a Particle no estaban enviando nuevos datos de vuelta de los pacientes, lo que “sugiere un caso de uso no relacionado con el tratamiento”.
Epic y su Consejo de Gobierno de Care Everywhere, formado por 15 representantes de la industria, evaluaron las nuevas conexiones de participantes de Particle y determinaron que organizaciones como Integritort, MDPortals y Reveleer, que adquirió MDPortals el año pasado, “probablemente no cumplían con un Propósito Permitido de Tratamiento”, dijo el aviso.
Epic dijo que descubrió que otro miembro de Carequality estaba planeando presentar una disputa, alegando que Integritort estaba utilizando los datos del paciente para intentar identificar posibles participantes en una demanda colectiva. El 28 de marzo, Epic dijo que descubrió que un participante llamado Novellia afirmaba que solicitaba registros bajo tratamiento, a pesar de anunciarse públicamente como una “herramienta de salud personal”.
Integritort, Reveleer y Novellia no respondieron a solicitudes de comentarios.
Epic dijo que presentó una disputa formal con Carequality por recomendación del Consejo de Gobierno. El 4 de abril, Epic pidió a Particle que proporcionara información adicional para ilustrar cómo sus participantes califican para el caso de uso del tratamiento, según el aviso.
Michael Marchant, director de interoperabilidad e innovación en la Universidad de California Davis Health, es el presidente del Consejo de Gobierno de Epic. Dijo que es difícil saber exactamente por qué Particle podría haber proporcionado estos registros a esas organizaciones, o si participó intencionalmente en actividades indebidas. Pero, dijo, las empresas deben actuar de manera responsable incluso si se ven presionadas para obtener resultados financieros.
“Si estaban vendiendo a cosas que sabían que no eran organizaciones relacionadas con el tratamiento en un intento de igualar la financiación de capital de riesgo o los márgenes de beneficios o los objetivos de ingresos, eso sería realmente malo”, dijo Marchant a CNBC en una entrevista.
En una declaración en LinkedIn el miércoles, el fundador de Particle, Troy Bannister, dijo que Epic actuó de forma unilateral, y que Particle no ha visto “razonamiento, justificación o reclamaciones oficiales” sobre estos temas.
Bannister escribió que, según el conocimiento de la empresa, “todos los socios afectados apoyan directamente el tratamiento”. Dijo que estas organizaciones recopilan datos para proveedores de atención y comparten datos con la red Carequality.
“Si bien continuamos manteniendo nuestra conexión con Carequality, la capacidad de un implementador para decidir, sin evidencia o incluso sin una advertencia, desconectar a los proveedores a gran escala, pone en peligro las operaciones clínicas de cientos de miles de pacientes, así como la confianza que es tan crítica para un intercambio basado en la confianza”, escribió Bannister.
Bannister no abordó la solicitud de Epic del 4 de abril de información adicional.
El proceso de disputa formal todavía está en curso. Marchant, quien también se desempeña como co-presidente de un consejo asesor en Carequality, dijo que es la primera vez en la historia de la red que una queja ha llegado tan lejos.
VER: Las acciones de las aseguradoras caen en las tasas de Medicare