Cumplimiento Glosario

Las salvaguardias administrativas son acciones, políticas y procedimientos para gestionar el desarrollo, la implementación y el mantenimiento de medidas de seguridad para proteger la información de salud protegida (PHI). Guían a las entidades cubiertas para que cumplan con la norma de seguridad de HIPAA. Para cumplir con las salvaguardias administrativas, se deben evaluar los controles de seguridad existentes, analizar con precisión los riesgos para los sistemas y evaluar la documentación…

La disponibilidad implica que el centro de atención médica debe mantener sus sistemas de hardware y software en funcionamiento correctamente. Esto requiere que las entidades cubiertas y los socios comerciales mantengan su infraestructura actualizada para protegerla contra amenazas de seguridad. La disponibilidad es un requisito para las salvaguardas técnicas y físicas de HIPAA. Su objetivo es permitir que las personas autorizadas accedan a la información necesaria…

Un Acuerdo de Asociado Comercial (BAA, por sus siglas en inglés) es un acuerdo firmado entre entidades cubiertas y socios comerciales. La norma de privacidad de HIPAA exige que las entidades cubiertas que comparten información de salud protegida (PHI, por sus siglas en inglés) con proveedores de servicios externos especifiquen las responsabilidades de cada parte para proteger dicha información. Un BAA debe describir las reglas permitidas para usar o divulgar la PHI y exigir que la empresa…

Los asociados comerciales son personas o entidades que trabajan para una entidad cubierta o le prestan servicios. Su trabajo implica el uso y la divulgación de información de salud protegida (PHI). Deben cumplir con la norma de privacidad de HIPAA. Los asociados comerciales desempeñan funciones como el procesamiento de reclamaciones, el análisis de datos, el control de calidad, la gestión de consultorios, la revisión de precios, entre otras.

Las entidades cubiertas pueden ser un plan de salud, una cámara de compensación de atención médica o un proveedor de atención médica. Transmiten información de salud electrónicamente según los estándares del HHS e incluyen a individuos y organizaciones. – Los planes de salud son individuos o grupos que brindan atención médica o cubren sus gastos. – Las cámaras de compensación de atención médica son empresas privadas o públicas que procesan información de salud…

Un Acuerdo de Uso de Datos (DUA, por sus siglas en inglés) es un acuerdo que regula el intercambio de datos entre colaboradores de investigación que se encuentran dentro del ámbito de aplicación de la norma de privacidad HIPAA. Un DUA define cómo se establece la información como un conjunto de datos limitado, su uso por parte del destinatario previsto y el grado de protección que se le brinda.

La información anonimizada es información de salud que no identifica a una persona si las entidades cubiertas consideran que no existe causa razonable para creer que pueda utilizarse para identificar a una persona. La norma de privacidad de HIPAA especifica dos métodos para anonimizar la información de salud protegida (PHI): – Método de determinación de expertos, que aplica principios estadísticos o científicos para concluir que…

Los conjuntos de registros designados incluyen registros de facturación, registros médicos, registros de pagos y reclamaciones, registros de gestión de casos, registros de inscripción en planes de salud, así como otros registros utilizados, en parte o en su totalidad, por o para una entidad cubierta, para llegar a conclusiones sobre las personas.

El Departamento de Servicios Humanos (DHS, por sus siglas en inglés) proporciona y patrocina diversos servicios sociales y de salud, además de determinar la elegibilidad de las personas para recibirlos. Recopila información personal y de salud sobre usted y/o su familia, la cual se mantiene confidencial y se denomina "información de salud protegida".

Se dice que un profesional sanitario tiene una relación de tratamiento directo con el paciente si le proporciona servicios, diagnósticos, productos o resultados directamente.

Un plan de recuperación ante desastres de HIPAA (HIPAA DRP) es una propuesta formal que especifica los procesos, acciones y metodologías que deben adoptarse para proteger y restaurar los registros médicos electrónicos (EHR) en caso de un desastre natural o provocado por el hombre, una calamidad o un evento similar.

Los medios electrónicos se refieren a sistemas de almacenamiento como discos duros, computadoras, memorias USB, discos ópticos o cualquier soporte en el que se puedan almacenar datos en formato digital. Además, cualquier medio utilizado para transmitir datos, como internet, extranet, líneas de acceso telefónico y redes privadas, se considera un medio electrónico.

El Plan de Operaciones en Modo de Emergencia es un proceso que exige que los servicios de atención médica continúen operando durante un evento catastrófico. Estos incluyen incendios, terremotos, robos, robo de datos, fallas del sistema o cualquier desastre natural o provocado por el hombre. 

Un plan de Operación en Modo de Emergencia (EMO, por sus siglas en inglés) es un plan de contingencia de una organización para garantizar la continuidad de las operaciones en caso de incendio, desastre natural, vandalismo o falla del sistema. Se deben asignar presupuesto y recursos para el EMO y probarlo en un entorno controlado.

Cualquier dato del paciente que se cree, almacene, gestione, transmita o comparta por medios electrónicos constituye Información de Salud Protegida Electrónica (ePHI). Según la normativa HIPAA, existen 18 identificadores HIPAA que se consideran ePHI. Las entidades cubiertas y los socios comerciales están obligados a proteger la ePHI de acuerdo con las normas de seguridad y privacidad de HIPAA. 

Una entidad externa podría referirse a cualquier persona, organización u organismo gubernamental distinto del grupo solicitante que maneje o utilice información de salud protegida (PHI, por sus siglas en inglés).

Todos los componentes cubiertos por HIPAA deben implementar un plan de seguridad de las instalaciones para proteger las instalaciones y los equipos que contienen contra el acceso físico no autorizado, el robo y la manipulación en todas las ubicaciones que almacenan o acceden a información médica electrónica protegida (ePHI).

Un centro de intercambio de información sanitaria puede ser cualquier organización que procese información sanitaria no estandarizada y la convierta a un formato de contenido estándar, en nombre de otra entidad o servicio.

El Componente de Atención Médica (HCC, por sus siglas en inglés) es un componente o una combinación de componentes de una entidad híbrida HIPAA. Una entidad híbrida es una entidad cubierta cuyas actividades comerciales incluyen funciones cubiertas y no cubiertas. 

El término “Proveedor de atención médica” incluye: – un hospital, entidad de atención médica domiciliaria, centro de enfermería especializada, centro de enfermería, – centros de atención a largo plazo como clínicas de atención médica, centros de diálisis renal, centros comunitarios de salud mental, centros de transfusión sanguínea, -proveedor de servicios médicos de emergencia, centro quirúrgico ambulatorio, -centro de salud calificado federalmente, práctica grupal, profesional, farmacéutico, médico, farmacia, laboratorio, un centro rural…

El Departamento de Salud y Servicios Humanos de los Estados Unidos (HHS, por sus siglas en inglés) es una rama ejecutiva del gobierno federal estadounidense con rango de gabinete, creada para salvaguardar la salud de todos los ciudadanos estadounidenses y proporcionar servicios humanos esenciales.

El Comité de Investigaciones Humanas (HIC) del Departamento de Salud Pública (DPH) es responsable de supervisar, revisar y aprobar las investigaciones que utilizan información de salud identificable obtenida por el Departamento con el fin de proteger los derechos y el bienestar de los sujetos de investigación.

Un Acuerdo de Asociado Comercial HIPAA es un contrato entre una entidad cubierta por HIPAA (como un proveedor de atención médica) y una empresa o persona que colabora en ciertas funciones relacionadas con la información de salud protegida (PHI). Esencialmente, se trata de un acuerdo escrito que describe cómo se utiliza la PHI. HIPAA exige que las entidades cubiertas trabajen con socios comerciales que demuestren la capacidad de proteger…

Un formulario de autorización HIPAA, a menudo llamado formulario de liberación HIPAA, es un documento que los pacientes firman con sus proveedores de atención médica. Otorga permiso al proveedor para usar o compartir su información de salud protegida (PHI) por razones específicas. Estas razones incluyen: ¿Cuándo se requiere la autorización HIPAA? La autorización HIPAA se requiere en situaciones específicas descritas en 45…

El fax compatible con HIPAA es un método obligatorio y confiable para transmitir datos de pacientes de forma segura. Para cumplir con los estrictos requisitos de protección de datos de HIPAA, los profesionales de la salud y las empresas utilizan servicios de fax basados ​​en la nube para salvaguardar la integridad de la información de salud protegida (PHI). ¿El fax es compatible con HIPAA? El fax, por su naturaleza, se considera compatible con HIPAA debido a su seguridad inherente y transmisión punto a punto. Las líneas de fax y la mayoría de las IP…

La Regla de Privacidad de HIPAA establece estándares para salvaguardar los registros médicos y la información de salud identificable de las personas, comúnmente conocida como PHI. Por ejemplo, las conversaciones entre médicos y pacientes deben ser privadas, y los pacientes pueden preferir ser contactados en sus teléfonos celulares en lugar de en sus hogares. Incluso los familiares bienintencionados no necesariamente tendrán acceso a la información de un ser querido…

El HIPAA Journal es un sitio web muy útil para todo lo relacionado con HIPAA. Ofrece noticias, información sobre filtraciones de datos, consejos y las últimas novedades en seguridad de datos sanitarios. Cuenta con secciones como «Nuevas regulaciones de HIPAA» y «Cambios en HIPAA 2023». Podrás informarte sobre las últimas actualizaciones de las normas HIPAA, como las normas de telemedicina y los cambios en seguridad. Incluso han escrito sobre…

Los enlaces de HIPAA son designados por cada HCC para colaborar con la Oficina de Privacidad de HIPAA y son el primer punto de contacto para consultas y procedimientos relacionados con el cumplimiento de HIPAA para cada una de las entidades cubiertas. Los enlaces de HIPAA también pueden recibir solicitudes de pacientes, incluyendo, entre otras, acceso, apelaciones, enmiendas y contabilidad.

Las entidades cubiertas deben proporcionar un Aviso de Prácticas de Privacidad (Aviso de Privacidad) a cada persona cuya información de salud protegida (PHI) sea procesada por ellas. Los proveedores de atención médica envían este aviso a los nuevos afiliados al momento de la inscripción y al menos una vez cada tres años a los afiliados existentes. Los planes de salud autoasegurados crean sus propios Avisos de Privacidad, mientras que los planes totalmente asegurados se basan en…

La Regla de Seguridad de HIPAA define tres estándares cruciales para salvaguardar la información de salud: Salvaguardas Administrativas Estas salvaguardas son vitales para gestionar las medidas de seguridad y proteger la información de salud electrónica (ePHI). Por lo general, un oficial de seguridad designado supervisa estas acciones, que incluyen evaluaciones de riesgos, controles de acceso, respuesta a incidentes y capacitación en concientización sobre seguridad. Salvaguardas Físicas Estas medidas se centran en proteger edificios, equipos y…

La HIPAA exige la implementación de sanciones por violaciones de políticas dentro de las entidades cubiertas. Esta política se centra en las sanciones a los empleados por violaciones de la HIPAA, haciendo hincapié en la importancia de salvaguardar la información médica protegida (PHI) de los pacientes. Los componentes clave de la política incluyen: Violar las regulaciones de la HIPAA puede conllevar multas que van desde $100 hasta $250,000 y penas de prisión de 1 a 10 años. Aplicación consistente…

El resumen de HIPAA es una breve descripción de los marcos de HIPAA. Explica cómo los proveedores de atención médica y las entidades relacionadas deben procesar la información de salud y las medidas que deben cumplir al transmitir o compartir información de salud protegida (PHI). Los temas clave que se abordan en el resumen de HIPAA son: La Regla de Privacidad (PHI y conceptos clave). La Regla de Privacidad rige el uso y…

Un formulario de exención HIPAA, también conocido como formulario de autorización para la divulgación de información de registros médicos, permite a los pacientes autorizar a terceros a acceder a sus registros médicos. Asimismo, permite a los proveedores de atención médica compartir información cuando sea necesario. Los pacientes pueden revocar o modificar estos permisos en cualquier momento. Compartir registros médicos sin un formulario de autorización HIPAA constituye una infracción.

Una entidad jurídica que realiza funciones tanto cubiertas como no cubiertas puede designarse como una entidad híbrida según la HIPAA y puede optar por no aplicar la Regla de Privacidad a sus componentes no relacionados con la atención médica, mientras que todos los componentes de atención médica cubiertos deben cumplir con la HIPAA, y la entidad cubierta mantiene el cumplimiento de las normas de seguridad, la supervisión y...

Un conjunto de datos limitado se detalla como información de salud que excluye ciertos identificadores directos enumerados, pero que puede incluir ciudad; código postal; estado; elementos de fecha; números de teléfono, números de fax y otras características, números o códigos no enumerados como identificadores directos. Los identificadores directos definidos en los datos limitados de la Regla de Privacidad establecen disposiciones que…

La Oficina de Derechos Civiles (OCR, por sus siglas en inglés) promueve la excelencia médica en todo el país, garantizando la igualdad de acceso a determinados servicios sociales y de salud, al tiempo que protege la privacidad y la seguridad de la información sanitaria.

La Información de Salud Protegida (PHI, por sus siglas en inglés) se refiere a cualquier dato en un registro médico que pueda usarse para identificar a una persona. Estos datos fueron creados, utilizados o divulgados durante la prestación de servicios de salud a un paciente. La Regla de Privacidad de HIPAA cubre ampliamente los derechos que una persona tiene sobre esta información. Entidades cubiertas…

Las medidas de seguridad físicas son aquellas medidas, procedimientos y políticas físicas destinadas a proteger los sistemas de información electrónica de una entidad cubierta, así como los equipos y edificios relacionados, contra peligros naturales y no naturales e intrusiones no autorizadas.

El responsable de privacidad de HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico) se encarga de desarrollar, gestionar e implementar procesos para garantizar que las organizaciones cumplan con las normas y directrices federales y estatales de HIPAA aplicables, en particular para las organizaciones que tienen acceso a información de salud protegida (PHI) y la utilizan.

Las actividades de salud pública incluyen la notificación de enfermedades o lesiones; la realización de vigilancia epidemiológica; la notificación de eventos vitales (por ejemplo, nacimientos o defunciones); la notificación de abuso y negligencia infantil; investigaciones o intervenciones; y el seguimiento de resultados adversos relacionados con medicamentos, alimentos (incluidos los suplementos dietéticos), productos biológicos y dispositivos médicos. Las entidades cubiertas pueden notificar actividades adversas relacionadas con organismos públicos o…

Una evaluación de riesgos valida si su organización cumple con las medidas de seguridad técnicas, administrativas y físicas de la HIPAA. Además, ayuda a identificar las áreas donde la información de salud protegida (PHI) de su organización es vulnerable a filtraciones.

La gestión de riesgos es un plan formal para identificar y corregir riesgos. Algunas de estas prácticas básicas le ayudarán a lograr el cumplimiento de la seguridad sin exceder su presupuesto. – Implemente “Salvaguardas técnicas, administrativas y físicas” para proteger la información de salud pública (PHI). – Identifique y corrija las vulnerabilidades en su sistema. – Trabaje en ello de forma constante y realice…

El responsable de seguridad para HIPAA gestiona todo tipo de datos para supervisar riesgos, evaluar amenazas y crear políticas y normativas que permitan gestionar vulnerabilidades. Es responsable de crear, implementar y hacer cumplir el programa de seguridad de la organización en los ámbitos físico, administrativo y técnico, de acuerdo con la normativa de seguridad.

La OCR, en colaboración con la Oficina del Coordinador Nacional de Tecnología de la Información Sanitaria, desarrolló una herramienta descargable de evaluación de riesgos de seguridad (SRA, por sus siglas en inglés) que guía a los usuarios a través del proceso de evaluación de riesgos de seguridad mediante un enfoque sencillo basado en un asistente, tal como lo solicitó el CMS o los Centros de Servicios de Medicare y Medicaid (CMS) para el Registro Electrónico de Salud.

Los subcontratistas son personas a quienes los socios comerciales delegan una tarea, función o servicio que implica la creación, transmisión o gestión de información de salud protegida (PHI). Trabajan en nombre de un socio comercial y están sujetos al cumplimiento de los requisitos de privacidad de HIPAA. 

Se refiere a la información sanitaria protegida que no se ha vuelto inutilizable, indescifrable o ilegible para personal no autorizado mediante el uso de una tecnología o procedimiento especificado por el Secretario en las directrices.