¿Qué es la Ley HITECH? Cómo reforzó la HIPAA

La Ley HITECH (Health Information Technology for Economic and Clinical Health Act), aprobada en 2009, es la ley de EE. UU. que llevó a la sanidad a la historia clínica electrónica y, de paso, reforzó sustancialmente la HIPAA. Si la HIPAA es la estructura, HITECH es la reforma que la adaptó a un sistema sanitario digital y lleno de proveedores. Este artículo es información general, no asesoramiento legal.

Por qué existe HITECH

HITECH se aprobó como parte de una ley más amplia de recuperación económica, y su propósito principal era económico y clínico: conseguir que el sistema sanitario adoptara y usara de verdad la tecnología de la información sanitaria, en especial la historia clínica electrónica (EHR). Lo hizo sobre todo mediante programas de incentivos que premiaban a los proveedores por adoptar tecnología EHR certificada y demostrar su «uso significativo». La consecuencia de seguridad era inevitable: a medida que los historiales pasaban de los archivadores a sistemas en red y circulaban entre organizaciones, el volumen de información sanitaria protegida en formato electrónico se disparó, y las normas de privacidad y seguridad que la rodeaban necesitaban dientes. HITECH se los puso.

La adopción de la EHR y sus efectos en cadena

El paso a los historiales electrónicos es el telón de fondo de todo lo demás que hizo HITECH. Digitalizar los datos de salud los hizo más útiles (más portables, más fáciles de compartir y de analizar) y, al mismo tiempo, más expuestos. Más sistemas, más interfaces, más proveedores y más copias amplían la superficie de ataque y el número de sitios donde puede originarse una brecha. Buena parte del resto de HITECH puede leerse como una respuesta a esa realidad: si vas a poner en línea los historiales sanitarios de todo un país, necesitas una gestión de brechas creíble, una aplicación real de la ley y que los proveedores que ahora custodian los datos rindan cuentas.

La Breach Notification Rule

Antes de HITECH no existía un requisito federal general de avisar a las personas cuando su información de salud quedaba expuesta. HITECH creó la obligación que se convirtió en la Breach Notification Rule de la HIPAA. Las entidades cubiertas deben notificar a los afectados y al Departamento de Salud y Servicios Humanos (HHS) cuando se produce una brecha de PHI no asegurada, dentro de plazos definidos, y deben avisar a los medios de comunicación destacados en las brechas más grandes de una zona afectada. Los business associates deben notificar a la entidad cubierta. Un punto crucial es que la norma incluye un puerto seguro: la PHI que se ha hecho inutilizable, ilegible o indescifrable para personas no autorizadas, sobre todo mediante un cifrado adecuado, puede no contar en absoluto como brecha notificable. Esa sola disposición es uno de los argumentos prácticos más sólidos para cifrar los datos de salud allí donde estén.

Una aplicación más estricta y los niveles de sanción

HITECH también cambió las consecuencias de hacerlo mal. Introdujo una estructura escalonada de sanciones civiles ligada al grado de culpabilidad del infractor, desde el desconocimiento genuino hasta la negligencia deliberada que no se corrige, y elevó los topes de las sanciones. Dio a los fiscales generales de los estados la facultad de emprender acciones civiles en nombre de sus residentes, sumando aplicadores además del gobierno federal. Y elevó lo que está en juego en las auditorías e investigaciones. Las cifras concretas se fijan por reglamento y se ajustan con el tiempo, así que conviene comprobarlas en las fuentes oficiales vigentes en lugar de memorizarlas; lo que importa aquí es la idea estructural: la HIPAA pasó de aplicarse rara vez a ser realmente exigible. Nuestra explicación del cumplimiento de la HIPAA recorre esos cuatro niveles de sanción con más detalle.

La HIPAA Omnibus Rule y la responsabilidad de los business associates

Las leyes marcan la dirección; los reglamentos las hacen operativas. La HIPAA Omnibus Rule de 2013 aplicó la mayoría de las disposiciones de privacidad y seguridad de HITECH y las incorporó a las normas de la HIPAA. Su cambio más trascendente fue hacer a los business associates directamente responsables del cumplimiento de los requisitos aplicables de la Security Rule y de ciertas disposiciones de la Privacy Rule, y extender esa responsabilidad a lo largo de la cadena hasta los subcontratistas que manejan PHI. Antes de Omnibus, las obligaciones de un proveedor dependían en gran medida de su contrato con la entidad cubierta; después, los reguladores pueden investigar y sancionar a los business associates por sí mismos. La Omnibus Rule también endureció las normas sobre el uso de la PHI para marketing y captación de fondos, prohibió la venta de PHI sin autorización, afinó el estándar de notificación de brechas y amplió los derechos de las personas, incluido el acceso a copias electrónicas de sus historiales.

Para quien dirige un programa de seguridad o de cumplimiento, el cambio sobre los business associates es el núcleo práctico de HITECH. Significa que cada proveedor que toca PHI es un riesgo de cumplimiento del que puedes tener que responder, y por eso una gestión estructurada del riesgo de terceros (un business associate agreement firmado, salvaguardas documentadas y una evaluación continua con algo como una tarjeta de puntuación de riesgo de proveedores y la lista de evaluación de seguridad de proveedores) es hoy lo mínimo en sanidad. Relacionar esas salvaguardas con un marco reconocido como el NIST Cybersecurity Framework da a ambas partes un lenguaje común sobre lo que significa en la práctica «razonable y apropiado».

La conclusión

HITECH tomó la HIPAA, una ley de privacidad de la era del papel con una aplicación débil, y la convirtió en un régimen pensado para los datos de salud digitales: historiales electrónicos a escala, notificación obligatoria de brechas, sanciones escalonadas y significativas, y responsabilidad directa de los proveedores que custodian los datos. Entender HITECH es, en realidad, entender por qué el cumplimiento moderno de la HIPAA depende tanto de tu cadena de suministro y de tu cifrado como de tu propia puerta de entrada.

Preguntas frecuentes

¿Qué es la Ley HITECH? Una ley de EE. UU. de 2009 que impulsó la adopción de la historia clínica electrónica y, al hacerlo, reforzó la HIPAA mediante la notificación de brechas, una aplicación más estricta y la responsabilidad directa de los business associates.

¿Cómo reforzó la HIPAA? Creó la Breach Notification Rule, añadió sanciones civiles escalonadas según la culpabilidad, permitió aplicar la ley a los fiscales generales de los estados, amplió los derechos de las personas y, mediante la Omnibus Rule, hizo directamente responsables a los business associates.

¿Qué es la Omnibus Rule? Un reglamento de 2013 que incorporó los cambios de HITECH a las normas de la HIPAA; su efecto clave es la responsabilidad directa de los business associates y sus subcontratistas, además de normas más estrictas sobre marketing, venta de PHI y notificación de brechas.

¿Son responsables los business associates por HITECH? Sí: HITECH, mediante la Omnibus Rule, los sometió directamente a los requisitos aplicables de la HIPAA, con una obligación que se extiende a los subcontratistas, y no solo a través de su contrato.

¿Qué hizo con las brechas? Creó la notificación de brechas: avisar a los afectados y a los reguladores (y a los medios en las brechas grandes) dentro de plazos fijados, con un puerto seguro para la PHI debidamente protegida, por ejemplo cifrada.