Comprensión de la norma de privacidad HIPAA

La información médica es extremadamente sensible. Anteriormente, existía cierta ambigüedad sobre quién tenía acceso a ella y cómo se regulaba dicho acceso. Esta confusión fue el factor determinante para que el Congreso aprobara la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), que incluye un conjunto de regulaciones conocidas como la Regla de Privacidad de HIPAA. 

La norma de privacidad HIPAA otorga a los pacientes el derecho legal a consultar copias de sus historiales médicos solicitándolas a los proveedores de atención médica o a los planes de salud. 

En esta entrada de blog, haremos un resumen de la Regla de Privacidad de HIPAA, analizando por qué el Congreso consideró necesarias estas reglas y qué significan para la protección de los datos de salud.

Vamos a bucear en ...

Historia de la norma de privacidad de HIPAA

La HIPAA se introdujo en 1996 con el objetivo fundamental de aumentar el acceso a la atención médica en todo el país. Se diseñó como una solución integral que garantizaba la portabilidad, contemplaba disposiciones fiscales y, sobre todo, simplificaba los trámites administrativos. 

La norma de privacidad HIPAA fue pionera e implementada por el Departamento de Salud y Servicios Humanos (HHS). Esta norma era muy solicitada, ya que permite crear un sistema eficaz para la transmisión digital segura de historiales médicos y previene graves problemas de privacidad. 

Cabe recordar que, antes de 1999, el gobierno y las autoridades rara vez cumplían con las regulaciones federales que protegían la privacidad de la información sanitaria. Sin embargo, la necesidad de una mayor intervención se hizo cada vez más acuciante ante el aumento de las infracciones, y finalmente, el Departamento de Salud y Servicios Humanos (HHS) intervino con una solución: la introducción de la Regla HIPAA.

Tras considerar los comentarios del público sobre un modelo de reglamento para la privacidad de HIPAA, modificaron la Regla Común para incluir regulaciones sólidas para la divulgación y el uso de información de salud protegida por parte de las entidades cubiertas. 

Esta versión de las Normas de Privacidad de HIPAA exigía que la mayoría de los proveedores de atención médica las cumplieran antes del 14 de abril de 2003. Detrás de estas regulaciones se encuentra el reconocimiento del Congreso de la gran cantidad de datos provenientes de historiales médicos personales que contribuyen a la realización de innumerables investigaciones médicas.

¿Qué es la regla de privacidad HIPAA?

La norma de privacidad HIPAA establece estándares nacionales para que las entidades cubiertas salvaguarden la información sanitaria protegida de las personas, otorgando a los pacientes ciertos derechos sobre sus historiales médicos e información personal.

Aborda la divulgación y el uso principal de la información de salud protegida (PHI) de un individuo por parte de las entidades. Otorga a la persona un mayor control sobre su información de identificación personal. La norma se detalla en la Parte 160 del Título 45 del Código de Regulaciones Federales (45 CFR Parte 160) y en las Subpartes A y E de la Parte 164.

“Las entidades cubiertas están reguladas por todas las normas HIPAA; los socios comerciales están regulados en el contexto de sus servicios a las entidades cubiertas”. Rajiv Ranjan: Auditor líder ISO en Sprinto.

Abogando por normas de privacidad más estrictas

Hoy, diversos defensores de la privacidad señalaron que Estados Unidos necesita urgentemente medidas de protección más estrictas que la normativa HIPAA. Estas demandas se refieren principalmente a la atención médica, más que a la investigación médica.  

Por lo tanto, como parte de este estudio, se realizó una encuesta de Harris para obtener una perspectiva más amplia sobre este tema.

Tras analizar los datos del estudio, el comité constató que los ciudadanos se mostraban muy escépticos respecto a la privacidad y la seguridad de su información médica protegida. Sin embargo, señalaron que, si bien la norma de privacidad de HIPAA ha mitigado en cierta medida estas preocupaciones, no las ha erradicado. 

Cabe destacar que, si bien la mayoría de los participantes en la encuesta manifestaron su incomodidad ante el uso de su información de salud protegida (PHI) con fines de investigación sin previo aviso ni consentimiento expreso, la mayoría se mostró dispuesta a proporcionar sus datos si se tomaban ciertas precauciones. El alcance de la investigación está disponible. 

Aunque han transcurrido más de 27 años desde su introducción, el resumen de la norma de privacidad de HIPAA sigue siendo hoy en día uno de sus mayores logros entre las demás regulaciones establecidas por el HHS.

¿A quiénes se aplican las Normas de Privacidad de HIPAA?

Las normas de privacidad de HIPAA se aplican a cualquier entidad que maneje información médica electrónica (ePHI) directa o indirectamente. Las entidades cubiertas, como los planes de salud y los proveedores de atención médica, recopilan, reciben o procesan directamente información médica protegida (PHI) y deben cumplir con las normas de HIPAA. Los socios comerciales realizan ciertas funciones con la PHI en nombre de las entidades cubiertas y deben proteger esta información.

Aborda la divulgación y el uso principal de la información de salud protegida (PHI) de un individuo por parte de las entidades. Otorga a la persona un mayor control sobre su información de identificación personal. La norma se detalla en la Parte 160 del Título 45 del Código de Regulaciones Federales (45 CFR Parte 160) y en las Subpartes A y E de la Parte 164.

“Las entidades cubiertas están reguladas por todas las normas HIPAA; los socios comerciales están regulados en el contexto de sus servicios a las entidades cubiertas”. Rajiv Ranjan: Auditor líder ISO en Sprinto.

La norma de privacidad se aplica a:

1. Planes de salud

En el contexto de las normas de privacidad, los planes de salud incluyen los de empleadores, iglesias y gobiernos. También incluyen los planes de salud multiempresariales.

2. Proveedores médicos

Ahora bien, aquí es donde la cosa se pone interesante: los proveedores de atención médica están sujetos a las normas de privacidad, independientemente de su tamaño. Esto se aplica a cualquier persona que transfiera electrónicamente información médica protegida, incluyendo referencias, autorizaciones, reclamaciones de seguros, transacciones o elegibilidad para beneficios.

Si te preguntas qué se considera un profesional sanitario, aquí tienes algunos ejemplos:

• Proveedores institucionales
• Médicos
• Dentistas y otros profesionales
• Servicios médicos o de salud
• Persona u organización que proporciona facturas

3. Socios de negocio

Los socios comerciales son aquellos contratistas o personas ajenas a la plantilla que podrían necesitar acceso a información médica protegida (PHI). Por ejemplo, supongamos que usted es una organización sanitaria que necesita externalizar servicios de TI. En ese caso, deberá asegurarse de tener un « Acuerdo de Socio Comercial » con su proveedor o contratista antes de permitirle el acceso a estos datos confidenciales.

4. Entidades híbridas

Una entidad que realiza actividades reguladas y no reguladas por la HIPAA se conoce como “entidad híbrida”. Por ejemplo, la UNC es una institución híbrida. El Centro de Salud Estudiantil y el Centro de Orientación, por ejemplo, forman parte del sistema de atención médica de la UNC.

¿Qué protege la norma de privacidad de HIPAA?

El estándar de privacidad HIPAA protege toda la información sobre la salud de un individuo que una entidad cubierta o su socio comercial pueda tener, ya sea verbal, electrónica o en papel. En la jerga regulatoria, estos datos protegidos se engloban bajo un acrónimo: PHI. Puede incluir:

• Información relacionada con la condición pasada, presente o futura del paciente.
• Información sobre el tratamiento de la condición física o médica del paciente.
• Información relativa al pago del diagnóstico o tratamiento del paciente.

Aquí está la lista de información de salud protegida (PHI) que cubren las normas de privacidad:

• Nombre
• Dirección
• número de seguro social
• Número de oso
• Estado civil
• Fecha de nacimiento,
• fecha de ingreso al hospital
• Fecha de cita en el hospital y fecha de alta
• Números de teléfono y fax
• Las direcciones de correo
• Número de identificación del seguro
• Número de cuenta de seguro
• Licencia de conducir
• Datos demográficos relacionados con la información sobre seguros
• Información familiar
• Firma en hojas en cualquier centro de salud
• El bienestar físico y mental de una persona, ya sea en el pasado, presente o futuro.
• Cualquier dato que pueda vincularse a una persona en particular o que razonablemente permita identificar a un individuo como paciente, estudiante o empleado constituye información personal.
• Ya sea en el pasado, presente o futuro, la compensación por servicios médicos es un PHI

Información de salud protegida mínima necesaria para revelarla a las autoridades sanitarias.

¿Qué constituye la información de salud protegida mínima necesaria y quién la determina?

En la mayoría de los casos, la entidad cubierta decide la cantidad mínima de datos que deben compartirse para atender una solicitud. Sin embargo, en ciertos escenarios, la Ley de Privacidad permite a las entidades cubiertas divulgar la información según su criterio. 

Al tomar tales decisiones, es responsabilidad de CE asegurarse de que sean suficientemente razonables. Por ejemplo, si un funcionario o agencia pública plantea la solicitud, se considera una solicitud razonable. 

La HIPAA abarca esta norma en la Sección 164.512 de la misma. La Sección 164.514(d) establece que “Una entidad cubierta puede confiar, si dicha confianza es razonable dadas las circunstancias, en una divulgación solicitada como la mínima necesaria para el propósito declarado cuando: (A) Realiza divulgaciones a funcionarios públicos que están permitidas según la Sección 164.512, si el funcionario público declara que la información solicitada es la mínima necesaria para el/los propósito(s) declarado(s)”.

¿Cómo protege la norma de privacidad HIPAA la información?

La norma de privacidad HIPAA está diseñada para proteger la privacidad y la seguridad de la información sanitaria de los pacientes mediante la aplicación de estándares mínimos necesarios, la exigencia a las organizaciones de implementar medidas de seguridad y la rendición de cuentas de los infractores.

1. Limitaciones al uso y divulgación permitidos

La norma de privacidad HIPAA impone restricciones al uso y la divulgación de la información de salud protegida (PHI) para protegerla del acceso no autorizado. Las entidades cubiertas deben usar, divulgar o solicitar la información mínima necesaria para fines tales como tratamiento, pago o cualquier operación de atención médica requerida. La PHI solo debe divulgarse con el consentimiento del paciente.

2. Derechos del paciente

La norma de privacidad HIPAA otorga ciertos derechos a los pacientes para garantizar un mayor control sobre su información y proteger su privacidad. Estos derechos incluyen el derecho de acceso, el derecho a rectificar, el derecho a solicitar restricciones, el derecho a presentar una queja, entre otros.

3. Salvaguardias

La norma también exige que las entidades cubiertas implementen medidas de seguridad técnicas, físicas y administrativas para salvaguardar la confidencialidad, la integridad y la disponibilidad de la información de salud protegida (PHI, por sus siglas en inglés) y garantizar que solo los usuarios autorizados tengan acceso a ella.

Sprinto le ayuda a mantener estas medidas de seguridad sin esfuerzo, implementando un programa HIPAA integral con evaluaciones de privacidad y seguridad, políticas alineadas con HIPAA, capacitación sobre HIPAA, acuerdos con socios comerciales y más. Asegure la monitorización continua y el cumplimiento constante con Sprinto. Solicite una demostración.

4. Responsabilidad

La norma de privacidad de HIPAA responsabiliza a las organizaciones cuando se produce una violación de la seguridad de la información e impone sanciones civiles y penales según la gravedad de la infracción.

5. ¿Para qué necesitan consentimiento los proveedores de servicios?

En primer lugar, todos los proveedores de atención médica son responsables de proteger su privacidad. Por lo tanto, deben obtener su consentimiento antes de usar o divulgar cualquier información de salud protegida para brindar tratamiento, gestionar pagos y llevar a cabo operaciones.

6. Divulgación de información de salud protegida a las autoridades de salud pública

Si bien proteger la privacidad de los pacientes es una prioridad absoluta, también es importante permitir que las autoridades de salud pública accedan a la información necesaria para que puedan desempeñar su trabajo. 

La Regla de Privacidad reconoce esta necesidad al permitir que la información de salud protegida (PHI) se comparta con estas autoridades para que puedan trabajar eficazmente por el bienestar colectivo de nuestras comunidades. ¡Es importante comprender qué implica la regla de privacidad de HIPAA!

Violaciones y sanciones de la norma de privacidad de HIPAA

La violación de la norma de privacidad de HIPAA conlleva repercusiones tanto financieras como para la reputación en forma de multas, sanciones, demandas, escrutinio y una percepción pública dañada.

Esto es lo que sucede cuando infringes las reglas:

1. Sanciones civiles

Las sanciones civiles por infracciones de la HIPAA oscilan entre $137 y $68928 por infracción. Pueden llegar hasta $2067183 si existe negligencia intencional que no se corrige dentro de los 30 días posteriores a la infracción. En comparación con el costo de la certificación HIPAA , estas cifras de sanciones generalmente justifican con creces la inversión inicial en cumplimiento para cualquier entidad cubierta que procese volúmenes significativos de información de salud protegida (PHI).

2. Penalidades criminales

Las sanciones penales pueden incluir multas que oscilan entre 50000 y 250000 dólares y penas de prisión de entre 1 y 10 años, dependiendo de la gravedad de la infracción.

3. Escrutinio regulatorio

El incumplimiento de las normas HIPAA también puede atraer la atención de los organismos reguladores del Departamento de Salud y Servicios Humanos (HHS) y dar lugar a medidas coercitivas por parte de dicho organismo, como sanciones y la exigencia de medidas correctivas. 

5. Percepción pública negativa

La violación de la norma de privacidad HIPAA puede ralentizar su ciclo de ventas debido a la publicidad negativa. El daño a la reputación puede generar desconfianza por parte de los clientes en la protección de su información personal, lo que puede obstaculizar las operaciones comerciales.

¿Qué derechos tienen los pacientes según la Regla de Privacidad de HIPAA?

La Regla de Privacidad de HIPAA establece que las organizaciones de atención médica (entidades cubiertas) deben proporcionar a las personas acceso a la información de salud protegida (PHI) previa solicitud. 

Esto incluye inspeccionar u obtener copias de la información de salud protegida (PHI, por sus siglas en inglés) que mantienen las entidades de atención médica y que dicha información se transmita a un tercero designado por usted. 

Este derecho se aplica a toda la información creada, ya sea producida o almacenada electrónicamente o físicamente, ya sea en las instalaciones, de forma remota o en archivos. Todos los datos están sujetos a este conjunto de derechos, independientemente de cuándo se crearon o dónde se almacenan (electrónicamente, físicamente en las instalaciones o de forma remota en archivos).

Cómo Sprinto puede ayudarle a cumplir con las normas HIPAA.

Cumplir con la normativa HIPAA puede ser complicado. Por suerte, Sprinto tiene la solución. Su plataforma de automatización de cumplimiento optimiza los flujos de trabajo para la normativa de privacidad HIPAA y mucho más.

Le preparamos para el éxito automatizando sus tareas relacionadas con la HIPAA, desde la evaluación de riesgos hasta la valoración de su nivel de cumplimiento.

• Mapea y gestiona los requisitos de HIPAA desde un lugar centralizado.
  Realizar evaluaciones de riesgos cualitativas y obtener medidas de mitigación prácticas para poner en marcha el proyecto.
• Implementar políticas HIPAA predefinidas en toda la organización y garantizar el reconocimiento de las mismas.
• Publique módulos de capacitación sobre HIPAA y realice un seguimiento de las tasas de finalización.
• Aproveche las comprobaciones automatizadas a nivel granular y las alertas automatizadas para contener las desviaciones de cumplimiento.
• Obtenga evidencia recopilada automáticamente para superar fácilmente las auditorías de HIPAA.

Nuestros clientes cumplen con la normativa HIPAA en cuestión de semanas y mantienen un cumplimiento continuo. Descubra cómo Neurosynaptic logró la certificación HIPAA en tan solo 5 sesiones.

Ahorre tiempo y evite complicaciones para que pueda concentrarse en lo que realmente importa: el crecimiento de su negocio. Póngase en contacto con nuestros expertos en cumplimiento normativo y nos encargaremos de que cumpla con la normativa HIPAA rápidamente.

Preguntas frecuentes