Qué es el cumplimiento de HIPAA: Pautas para lograr la conformidad

La Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) es una ley de EE. UU. creada para proteger la privacidad individual estableciendo estándares nacionales para el mantenimiento de información de salud sensible y registros médicos de los pacientes. Las normas de cumplimiento de HIPAA incorporan requisitos de varios otros actos legislativos, incluyendo la Ley de Servicio de Salud Pública y la Ley de Tecnología de Información de Salud para la Salud Económica y Clínica (HITECH).

En este artículo, ofrecemos una visión detallada de los requisitos de HIPAA y proporcionamos toda la información que su organización necesita saber desde una perspectiva de seguridad informática para garantizar el cumplimiento de HIPAA. Para aprender más sobre las mejores prácticas de cumplimiento, consulte la HIPAA Compliance Checklist.

¿Qué es el cumplimiento de HIPAA?

Los requisitos de cumplimiento de HIPAA establecen estándares para proteger los datos electrónicos de salud y médicos de los pacientes. Los legisladores crearon HIPAA para cumplir varios objetivos fundamentales:

• Mejore la atención sanitaria
• Proteja la privacidad del paciente.
• Exigir a las entidades que proporcionen registros médicos a los pacientes cuando lo soliciten.
• Mejore la portabilidad del seguro de salud.
• Asegúrese de que los pacientes sean notificados en caso de una filtración de datos.

El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) supervisa la HIPAA, y la Oficina de Derechos Civiles (OCR) del HHS realiza periódicamente auditorías de HIPAA para evaluar el cumplimiento.

¿Qué es la Información de Salud Protegida (PHI)?

Para cumplir con HIPAA, una organización debe tener medidas de Seguridad de Datos apropiadas como HIPPA Compliance Software para la información de salud protegida.

La información de salud protegida (PHI) es cualquier información de salud personalmente identificable que se transmite o almacena electrónicamente, en papel o verbalmente. PHI incluye cualquier información sobre un individuo que se relacione con su salud pasada, presente o futura; detalles de tratamientos de atención médica; y la información de pago que puede identificar al individuo. Ejemplos de PHI incluyen:

• Número de Seguridad Social
• Nombre
• Fechas de nacimiento, fallecimiento o tratamiento, y otras fechas relacionadas con la atención al paciente
• Fotografías
• Información de contacto
• Números de historial médico

¿Quién debe cumplir con HIPAA?

HIPAA regula la información para dos grupos que manejan datos de atención médica de pacientes: entidades cubiertas y asociados comerciales.

¿Qué es una entidad cubierta?

Una entidad cubierta es una persona u organización que procesa y mantiene PHI para clientes. Ejemplos incluyen médicos, farmacias, residencias de ancianos, clínicas y compañías de seguros de salud.

Sin embargo, no todas las organizaciones que manejan información de salud se consideran una entidad cubierta. Un ejemplo son las organizaciones de investigación que no brindan servicios de atención médica y no transmiten información de salud en conexión con ninguna transacción cubierta por una regulación HIPAA.

¿Qué es un asociado de negocios?

Un asociado comercial es una organización que proporciona servicios a entidades cubiertas para ayudar con actividades y funciones de atención médica. Las entidades cubiertas pueden divulgar PHI a asociados comerciales para asistencia con funciones de atención médica, pero no para los propósitos o usos independientes del asociado comercial.

En general, se necesita un acuerdo o contrato de asociado comercial al establecer una relación entre una entidad cubierta y un asociado comercial. Sin embargo, en algunos casos no es necesario un acuerdo, por lo que es necesario que las organizaciones realicen su propia investigación.

Cómo HIPAA protege la privacidad del paciente

La forma principal de protección al paciente establecida por HIPAA es su Regla de Privacidad. La Regla de Privacidad de HIPAA establece los estándares para el uso y la divulgación de la información médica de los individuos. También define los estándares para los derechos de privacidad de los pacientes y el control sobre el uso de su información de salud.

Derecho de los pacientes a acceder a su PHI

Los pacientes individuales tienen el derecho de acceder a su propia información de salud bajo la Regla de Privacidad. Las personas también pueden designar quién más puede ver su PHI con documentación escrita y firmada.

Cuando un paciente solicita PHI, la información se entrega típicamente en un conjunto de registros designado, que contiene:

• Facturación y registros médicos como resultados de análisis de laboratorio, registros de tratamiento y radiografías
• Reclamaciones, inscripción e información de pago para el plan de salud del paciente
• Otros registros utilizados para tomar decisiones sobre el paciente

Alguna información se excluye del conjunto de registros designado ya que la información no se utilizó para tomar decisiones. Esto incluye datos sobre:

• Registros de seguridad del paciente
• Información de control de calidad
• Información recopilada para procedimientos legales

Cumplimiento de solicitudes de PHI

Una entidad cubierta podría requerir solicitudes de PHI por escrito o a través de comunicaciones electrónicas como correo electrónico o un portal web. Las entidades cubiertas no pueden crear medidas irrazonables para las solicitudes o verificaciones, ni pueden retrasar de manera razonable que un paciente obtenga acceso.

Las solicitudes pueden ser atendidas en formato papel o electrónico, dependiendo de la información que se haya pedido. Una entidad cubierta debe proporcionar la información solicitada dentro de los 30 días naturales siguientes a la solicitud.

Una entidad cubierta puede cobrar tarifas para recuperar los costos incurridos por:

• Creando copias
• Compra de suministros para la solicitud
• Franqueo
• Preparando resúmenes de PHI, si el individuo está de acuerdo

En ciertos casos, una entidad cubierta negará una solicitud de PHI. Estas circunstancias pueden incluir:

• Notas de psicoterapia
• PHI que forma parte de un estudio de investigación en curso
• Situaciones en las que el acceso tiene una probabilidad razonable de causar daño a alguien

Seguridad y privacidad de EHR

En septiembre de 2013, los legisladores incorporaron la Ley HITECH a HIPAA mediante la Regla Ómnibus. La Ley HITECH fue creada para incentivar a los proveedores de atención médica a utilizar registros médicos electrónicos (EHRs), también conocidos como información de salud protegida electrónica (ePHI). Además, la Ley HITECH estableció que las entidades que no cumplieran con las normas de HIPAA podrían estar sujetas a multas significativas.

Transacciones estándar HIPAA

HITECH aborda transacciones estándar en la Regla de Transacciones y Conjunto de Códigos (TCS). La regla TCS adopta estándares para la transmisión electrónica de datos de atención médica entre proveedores, aseguradoras de salud y clientes de seguros de salud.

Gestión de Seguridad para HIPAA

La Regla de Seguridad HIPAA

Para garantizar la seguridad de los datos de los historiales médicos electrónicos, la HIPAA Security Rule estableció normas de seguridad para las entidades cubiertas y sus asociados comerciales. Según la norma, las entidades cubiertas deben:

• Asegure la confidencialidad, integridad y disponibilidad de toda la e-PHI que crean, reciben, mantienen o transmiten.
• Identifique y protéjase contra amenazas razonablemente anticipadas a la seguridad o integridad de la información.
• Proteja contra usos o divulgaciones no permitidos que sean razonablemente previsibles.
• Asegure el cumplimiento por parte de su fuerza laboral.

Para garantizar el cumplimiento de la Norma de Seguridad HIPAA, una organización puede seguir las pautas establecidas por el Instituto Nacional de Estándares y Tecnología (NIST), que incluyen controles y recomendaciones de políticas para que las organizaciones implementen para el cumplimiento de HIPAA.

Salvaguardias HIPAA

NIST describe tres categorías de salvaguardias de EHR:

• Salvaguardias administrativas
• Salvaguardias técnicas
• Salvaguardias físicas

Estas salvaguardas pueden ser obligatorias (deben implementarse) o direccionables (deben implementarse si son razonables y apropiadas para el entorno).

Salvaguardias Administrativas

• Proceso de gestión de seguridad: Utilice sistemas para detectar, prevenir, contener y corregir violaciones de seguridad.
• Responsabilidad de seguridad asignada: Designar a un oficial responsable de la implementación y desarrollo de políticas y procedimientos.
• Seguridad de la fuerza laboral: Otorgue acceso a ePHI solo a los empleados que lo necesiten y prevenga que usuarios no autorizados obtengan acceso.
• Gestión de acceso a la información: Utilice sistemas de seguridad para autorizar el acceso a ePHI.
• Concienciación y formación en seguridad: Capacite a todos los empleados en prácticas de seguridad de datos y concienciación.
• Procedimientos de incidentes de seguridad: Establecer protocolos para incidentes de seguridad.
• Planes de contingencia: Desarrollar planes de gestión de emergencias para daños en el sistema.
• Evaluación: Realice evaluaciones periódicas del sistema para medir la seguridad de los datos y la fiabilidad.

Salvaguardias Técnicas

• Control de acceso: Permitir acceso solo a individuos o programas de software que hayan recibido derechos de acceso.
• Controles de auditoría: Utilice sistemas que registren y examinen la actividad relacionada con ePHI.
• Integridad: Establecer métodos para prevenir el mal manejo de
• Autenticación de personas o entidades: Utilice sistemas de seguridad con medidas de verificación robustas.
• Seguridad de transmisión: Implemente medidas de seguridad para proteger contra el acceso no autorizado a ePHI durante la transmisión electrónica.

Salvaguardias físicas

• Control de acceso a las instalaciones: Limitar el acceso físico a ePHI.
• Uso de estaciones de trabajo: Establezca flujos de trabajo y requisitos de configuración para las estaciones de trabajo donde se accede a ePHI.
• Seguridad de estaciones de trabajo: Restrinja el uso de estaciones de trabajo a usuarios autorizados.
• Control de dispositivos y medios: Gestione la recepción y eliminación de hardware y medios que contienen ePHI.

Análisis de riesgo de datos

Bajo las directrices del Proceso de Gestión de Seguridad, la Norma de Seguridad requiere análisis de riesgo, o evaluación y gestión de riesgos.

La guía de NIST sobre el análisis de riesgo de datos tiene múltiples pasos, que incluyen:

1. Identificación de vulnerabilidades y amenazas.
2. Evaluando la seguridad actual de los datos.
3. Determinar la probabilidad de amenazas y los posibles impactos.

Costo de las violaciones de HIPAA

Notificación de brecha

Una violación es cualquier uso o divulgación no autorizada de PHI bajo la Norma de Privacidad. En algunos casos, una organización puede demostrar una baja probabilidad de PHI comprometida basándose en un análisis de riesgo.

Si ocurre una violación de datos, una organización debe notificar a las personas afectadas por correo o correo electrónico, alertar a los medios y presentar un informe al Secretario de HHS a través de un formulario en línea — todo dentro de 60 días.

Sanciones y multas de HIPAA

Cuando las violaciones resultan en infracciones de HIPAA, la HIPAA Enforcement Rule regula las investigaciones, audiencias y sanciones. Las causas comunes de las multas de HIPAA incluyen dispositivos no encriptados que se pierden o son robados, falta de capacitación de los empleados, violaciones de bases de datos y chismes en la oficina sobre información de pacientes.

La Ley HITECH establece cuatro niveles de multas por violaciones:

• Nivel A: Infracción en la que una persona o entidad desconocía haber cometido una violación.
• Nivel B: Infracción de causa razonable pero sin negligencia intencionada.
• Nivel C: Infracción debido a negligencia intencionada, pero la persona o entidad puede remediar la situación.
• Nivel D: Infracción de Nivel C donde la situación no se corrige dentro de los 30 días.

HHS OCR publica violaciones en su sitio web denominado “Wall of Shame”. Otros sitios publican multas y enlaces a acuerdos. Ejemplos recientes incluyen:

• En septiembre de 2020, Premera Blue Cross fue multada con $6,850,000 para resolver una violación de datos que afectó a más de 6 millones de individuos.
• En julio de 2020, Lifespan Health System fue multado con más de $1 millón por un portátil robado que no estaba encriptado.

En octubre de 2019, Elite Dental Associates fue multado con $10,000 por la divulgación de información de pacientes en redes sociales.

Preguntas frecuentes

¿Con qué frecuencia se requiere la capacitación de HIPAA?

La capacitación sobre HIPAA debe realizarse al menos anualmente para todos los miembros del personal que manejan información de salud protegida (PHI). Sin embargo, las organizaciones de atención médica no solo deben cumplir con esta obligación una vez al año. Querrás sesiones de capacitación adicionales cuando comiencen nuevos empleados, cuando las políticas cambien, después de incidentes de seguridad y cuando se implementen nuevas tecnologías. La clave para el cumplimiento de HIPAA no es solo cumplir con los requisitos mínimos, sino construir una cultura consciente de la seguridad donde proteger los datos de los pacientes se convierta en algo natural.

¿Cuál describe mejor la Regla de Seguridad HIPAA?

La Regla de Seguridad HIPAA es su hoja de ruta técnica para proteger la información de salud electrónica (ePHI). A diferencia de la Regla de Privacidad que se centra en quién puede acceder a los datos, la Regla de Seguridad profundiza en los detalles técnicos de cómo asegurar esos datos electrónicamente. Requiere que las entidades cubiertas implementen salvaguardias administrativas, físicas y técnicas que garanticen la confidencialidad, integridad y disponibilidad de la ePHI. Es la guía práctica para convertir los principios de privacidad en controles de seguridad reales que funcionan.

¿Cuál es la clave para el cumplimiento de HIPAA?

La clave para el cumplimiento de HIPAA es entender que la seguridad de los datos comienza con la identidad. No puedes proteger lo que no puedes ver, ni controlar lo que no gestionas. El cumplimiento exitoso de HIPAA requiere tres elementos fundamentales: saber quién tiene acceso a la PHI, monitorear lo que están haciendo con ese acceso y mantener registros de auditoría detallados de todas las actividades. No se trata de una seguridad perfecta, sino de una diligencia debida demostrable y la capacidad de detectar y responder a amenazas antes de que se conviertan en violaciones.

¿HIPAA requiere cifrado?

HIPAA no exige explícitamente el cifrado, pero se considera “tratable” bajo las salvaguardias técnicas de la Regla de Seguridad. La realidad práctica: si almacenas o transmites ePHI sin cifrado y experimentas una violación de datos, enfrentarás sanciones más severas y requisitos de notificación. El enfoque práctico es tratar el cifrado como esencial, no opcional. Cifra los datos en reposo, en tránsito e incluso en uso cuando sea posible. Cuando se implementa correctamente, el cifrado puede reducir tus obligaciones de notificación de brechas y demostrar tu compromiso con la protección de la privacidad de los pacientes.

Cómo garantizar el cumplimiento de HIPAA?

Asegurar el cumplimiento de HIPAA requiere un enfoque sistemático que va más allá de las políticas y procedimientos. Comience con una evaluación de riesgos integral para identificar vulnerabilidades en su entorno. Implemente el principio de mínimo privilegio – otorgue acceso a las personas solo a la PHI que necesitan para sus funciones laborales específicas. Despliegue monitoreo continuo para rastrear quién accede a qué datos y cuándo. Establezca procedimientos claros de respuesta ante incidentes y practíquelos regularmente. Lo más importante, recuerde que el cumplimiento no es un destino – es un proceso continuo que requiere atención constante y actualizaciones regulares a medida que su organización y el panorama de amenazas evolucionan.