¿Qué es el cumplimiento de HIPAA? Normas, infracciones y sanciones

Cumplir HIPAA significa seguir la Health Insurance Portability and Accountability Act de EE. UU. y las normas dictadas en virtud de ella para proteger la información de salud. Regula cómo las organizaciones del sector sanitario y de su entorno manejan la información de salud protegida, y la aplica el Departamento de Salud y Servicios Humanos (HHS) de EE. UU. Este artículo es información general, no asesoramiento legal.

Para ver de un vistazo en qué punto están tus salvaguardas, prueba la autoevaluación de riesgos HIPAA.

Las normas que definen HIPAA

HIPAA no es un único checklist, sino un conjunto de normas. Tres de ellas hacen la mayor parte del trabajo diario:

• La Privacy Rule. Fija estándares nacionales sobre cómo puede usarse y divulgarse la información de salud protegida (PHI, protected health information) y da a las personas derechos sobre sus propios historiales, incluido el derecho a acceder a ellos y a pedir correcciones. Los usos y divulgaciones fuera de una finalidad permitida suelen requerir la autorización del paciente.
• La Security Rule. Se aplica específicamente a la PHI electrónica y exige salvaguardas administrativas, físicas y técnicas: cosas como el análisis de riesgos, los controles de acceso, el registro de auditoría, el cifrado cuando proceda y la formación del personal. Muchos de sus requisitos son «addressable», es decir, los implantas o documentas por qué una medida equivalente es razonable.
• La Breach Notification Rule. Cuando se produce una brecha de PHI no protegida, exige avisar a las personas afectadas, al Departamento de Salud y Servicios Humanos y, en las brechas más grandes, a los medios de comunicación, dentro de plazos definidos. La PHI que estaba debidamente cifrada puede acogerse a un puerto seguro y no activar la notificación.

Quién debe cumplir

HIPAA alcanza a dos grupos. Las covered entities son los planes de salud, las cámaras de compensación sanitarias y los proveedores sanitarios que transmiten información de salud electrónicamente en relación con ciertas transacciones, como las reclamaciones. Los business associates son los proveedores y socios que crean, reciben, mantienen o transmiten PHI en nombre de una covered entity: empresas de facturación, proveedores de alojamiento en la nube, proveedores de analítica, proveedores de servicios gestionados y muchos proveedores de software. Un business associate agreement (BAA) es el contrato que obliga a un business associate a cumplir las obligaciones de HIPAA aplicables, y el deber se traslada también a los subcontratistas. Si tu organización maneja PHI para un cliente sanitario, casi seguro que eres un business associate, te hayas llamado así o no.

Qué cuenta como infracción

Una infracción de HIPAA es cualquier incumplimiento de las normas aplicables. En la práctica, las infracciones se agrupan en unos pocos temas: usos o divulgaciones de PHI no permitidos; salvaguardas de la Security Rule ausentes o insuficientes, muy a menudo un análisis de riesgos inexistente o desactualizado; la falta de un business associate agreement con un proveedor que toca PHI; no dar a los pacientes acceso a tiempo a sus historiales; y notificaciones de brechas tardías o inexistentes. Las infracciones salen a la luz por quejas de pacientes, brechas comunicadas por la propia organización e investigaciones y auditorías iniciadas por el regulador. La causa de fondo habitual rara vez es la mala fe: suele ser que nadie trazó dónde está y por dónde circula la PHI, así que un control o un acuerdo simplemente nunca se puso en marcha.

Los cuatro niveles de sanción

Las sanciones civiles pecuniarias de HIPAA se estructuran en cuatro niveles según la culpabilidad, y los reguladores sopesan los hechos concretos de cada caso:

1. Nivel 1: desconocimiento. La entidad no sabía, y actuando con una diligencia razonable no habría sabido, que infringía la norma.
2. Nivel 2: causa razonable. La infracción se debió a una causa razonable y no a una negligencia deliberada.
3. Nivel 3: negligencia deliberada, corregida. La infracción se debió a una negligencia deliberada, pero se corrigió dentro del plazo exigido.
4. Nivel 4: negligencia deliberada, no corregida. La infracción se debió a una negligencia deliberada y no se corrigió a tiempo.

Los importes de las sanciones aumentan de un nivel a otro, y tanto los límites por infracción como los anuales los fija la normativa y se ajustan periódicamente, así que siempre debes consultar las cifras oficiales vigentes en lugar de fiarte de un número concreto. Más allá de las sanciones civiles, obtener o divulgar PHI indebidamente a sabiendas puede acarrear responsabilidad penal. Los reguladores resuelven con frecuencia los casos mediante planes de acción correctiva que exigen arreglar el programa de fondo, no solo pagar una cantidad.

No existe una «certificación HIPAA» oficial

Esto confunde a muchos compradores y proveedores. El Gobierno no certifica a nadie como «conforme con HIPAA», y no existe ningún organismo acreditado que emita un certificado HIPAA oficial. Lo que sí existe es la evaluación independiente: una firma cualificada puede evaluar tus controles frente a los requisitos de HIPAA y emitir un informe, y los proveedores de formación pueden certificar que una persona completó un curso. Son pruebas razonables, pero un producto que se anuncia como «certificado HIPAA» usa lenguaje de marketing, no describe un estatus legal. Trata esas afirmaciones como tratarías cualquier afirmación de un proveedor: verifícala. Una evaluación de riesgos de proveedores estructurada y las preguntas de nuestro checklist de evaluación de seguridad de proveedores te ayudan a distinguir las salvaguardas reales y un BAA firmado de una insignia en una página de aterrizaje.

Cómo se logra de verdad el cumplimiento

El cumplimiento real de HIPAA es un programa continuo, no un acontecimiento puntual. Los pasos clave son: saber dónde está y por dónde circula la PHI; hacer y mantener un análisis de riesgos; implantar las salvaguardas administrativas, físicas y técnicas que exige la Security Rule; firmar business associate agreements con cada proveedor que toque PHI; formar a tu personal; y tener un proceso de respuesta a brechas probado para que la notificación llegue a tiempo. Como buena parte de la Security Rule se solapa con la práctica general de seguridad de la información, asociar tus controles a un marco como el NIST Cybersecurity Framework te da una estructura coherente, y un ejercicio de modelado de amenazas te ayuda a ver dónde está más expuesta la PHI antes de que lo vea un auditor o un atacante.

Preguntas frecuentes

¿Qué es el cumplimiento de HIPAA? Cumplir los requisitos de HIPAA y sus normas (principalmente la Privacy Rule, la Security Rule y la Breach Notification Rule) al manejar información de salud protegida. Se aplica a las covered entities y a sus business associates, y lo hace cumplir el Departamento de Salud y Servicios Humanos. Información general, no asesoramiento legal.

¿Qué cuenta como infracción? Cualquier incumplimiento de las normas aplicables: divulgaciones no permitidas, falta de salvaguardas o de análisis de riesgos, falta de un business associate agreement, denegación del acceso al paciente o una notificación de brecha tardía.

¿Cuáles son los niveles de sanción? Cuatro niveles según la culpabilidad (desconocimiento, causa razonable, negligencia deliberada corregida y negligencia deliberada no corregida), con importes fijados por la normativa y ajustados con el tiempo. Consulta las cifras oficiales vigentes.

¿Cómo consigo la certificación HIPAA? No puedes, de forma oficial: no existe una certificación HIPAA del Gobierno. Existen evaluaciones de terceros y certificados de formación, pero decir que un producto está «certificado HIPAA» es marketing. El cumplimiento es un programa continuo.

¿Se aplica a los proveedores de software y de nube? Sí, si manejan PHI en nombre de una covered entity: son business associates y necesitan un BAA. Un «software conforme con HIPAA» facilita un despliegue conforme; la configuración y la operación hacen el resto.