Комплексные онкологические центры, назначенные Национальным институтом рака США (NCI), генерируют и передают большие объёмы данных электронных медицинских карт (ЭМК), включая защищённую медицинскую информацию (PHI), для клинической помощи, исследований и всё чаще — для коммерческой деятельности, такой как разработка искусственного интеллекта (ИИ). Согласно закону HIPAA, медицинские организации обязаны предоставлять пациентам Уведомление о практиках конфиденциальности (NPP), описывающее, как PHI может использоваться и раскрываться, а также права пациентов на конфиденциальность. Однако мало известно о том, как онкологические центры информируют об этих практиках.

Исследователи проанализировали NPP всех 57 комплексных онкологических центров NCI в США. С использованием стандартизированного инструмента извлечены данные по 16 переменным: доступность информации о конфиденциальности, языковая доступность, права пациентов, требования к авторизации, возможность отказа, участие в обменах медицинской информацией (HIE) и способы использования и раскрытия PHI. Раскрытия классифицированы по необходимости авторизации пациента (opt-in), возможности отказа (opt-out) или отсутствию требования авторизации.

Все 57 центров имеют публичный NPP, при этом 86% используют общесистемное уведомление, а не специфичное для онкоцентра, 74% предоставляют NPP на языках помимо английского. Выявлено 31 категория использования и раскрытия PHI, из которых 81% не требуют авторизации пациента хотя бы в одном центре (например, 100% центров разрешают обмен данными для лечения, оплаты и операций здравоохранения, 98% — для общественного здравоохранения, 93% — для донорства органов и тканей, 54% — для HIE). При этом 7 категорий имеют процесс opt-out хотя бы в одном центре (91% позволяют отказаться от справочников пациентов, 75% — от использования для фандрайзинга, 2% — от напоминаний о приёмах).

Только 19% из 31 категории PHI требуют opt-in в одном или более центрах, чаще всего для маркетинговых целей (88%). Все центры описывают права пациентов на доступ к записям и запрос отчёта о раскрытиях. Ни один NPP не описывает использование данных ЭМК для ИИ или разработки ИИ и не различает раскрытие коммерческим и некоммерческим организациям.

Комплексные онкологические центры NCI существенно различаются в том, как они информируют об использовании PHI, раскрытиях, правах пациентов и процессах авторизации. Большинство описанных в NPP способов использования PHI не требуют авторизации пациента. Несмотря на растущий интерес к вторичному использованию медицинских данных, ни один центр явно не раскрывает использование данных для ИИ и не дифференцирует коммерческие и некоммерческие практики обмена данными, что указывает на потенциальные пробелы в прозрачности для пациентов.