La privacidad de los pacientes y la confidencialidad de sus datos son fundamentales para los proveedores de atención sanitaria. Sin embargo, con el aumento de los historiales médicos electrónicos, los accesos no autorizados y las brechas de datos de pacientes son cada vez más frecuentes. Ahí es donde entra en juego la Ley de Portabilidad y Responsabilidad de los Seguros de Salud (HIPAA).
HIPAA es una ley federal promulgada en 1996 que establece normas para la privacidad y la seguridad de la información de salud protegida (PHI). HIPAA tiene como objetivo proporcionar un marco para proteger la privacidad de los pacientes y garantizar la confidencialidad, la integridad y la disponibilidad de la PHI. La ley tiene dos normas principales: la Privacy Rule y la Security Rule. En este artículo nos centraremos en la Privacy Rule y exploraremos en qué consiste y por qué es importante.
HIPAA es el acrónimo de la
HIPAA se creó para abordar varias preocupaciones, entre ellas la portabilidad de la cobertura de seguros de salud, la simplificación administrativa y la privacidad y la seguridad de la PHI. Antes de HIPAA, no existían normativas federales que regularan la privacidad y la seguridad de la PHI. HIPAA tenía como objetivo proporcionar un marco para proteger la privacidad de los pacientes y garantizar la confidencialidad, la integridad y la disponibilidad de la PHI.
Las disposiciones de HIPAA se dividen en cinco títulos, y el Título II se centra específicamente en la privacidad y la seguridad de la PHI. Dentro del Título II, HIPAA contiene dos reglas principales: la Regla de Privacidad y la Regla de Seguridad. La Regla de Privacidad establece normas nacionales para la protección de la PHI y se aplica a los proveedores de atención médica, los planes de salud y las cámaras de compensación de atención médica. La Regla de Seguridad establece normas para la protección de la PHI electrónica (ePHI) y se aplica únicamente a las entidades cubiertas que crean, reciben, mantienen o transmiten ePHI.
HIPAA y
HIPAA establece normas estrictas sobre la privacidad de la PHI. Las entidades cubiertas solo pueden utilizar y divulgar la PHI para el tratamiento, el pago y las operaciones de atención médica, o con el consentimiento del paciente o según lo permita la ley. Las entidades cubiertas también deben implementar salvaguardas para proteger la PHI, incluidas salvaguardas administrativas, físicas y técnicas. Estas salvaguardas deben revisarse y actualizarse con regularidad para garantizar el cumplimiento continuo.
La regla exige que las organizaciones sanitarias obtengan el consentimiento por escrito de los pacientes antes de utilizar o divulgar su PHI, salvo en determinadas situaciones, como el tratamiento, el pago y las operaciones de atención médica.
Conforme a HIPAA, los pacientes tienen derecho a:
- acceder a su historial médico y solicitar correcciones
- recibir un aviso sobre las prácticas de privacidad de su proveedor de atención médica
- presentar una queja ante la OCR si consideran que se han vulnerado sus derechos.
- designen a un responsable de privacidad que supervise el cumplimiento de HIPAA
- ofrezcan formación periódica a los empleados sobre la normativa HIPAA
- obtengan acuerdos escritos de asociado comercial de los proveedores que manejan ePHI
- desarrollen políticas y procedimientos que garanticen el cumplimiento de la Regla de Privacidad.
La Regla de Seguridad de HIPAA establece normas para la protección de la ePHI. La regla exige que las organizaciones sanitarias implementen salvaguardas administrativas, físicas y técnicas específicas para garantizar la confidencialidad, la integridad y la disponibilidad de la ePHI.
La Regla de Seguridad de HIPAA exige que las organizaciones sanitarias:
- implementen políticas y procedimientos para prevenir, detectar, contener y corregir las violaciones de seguridad
- realicen evaluaciones de riesgos periódicas para identificar posibles vulnerabilidades
- implementen programas de concienciación y formación en seguridad para el personal
- establezcan controles de acceso para limitar el acceso a la ePHI únicamente al personal autorizado
- cifren y descifren la ePHI cuando se almacena o se transmite
- implementen controles de auditoría para registrar y examinar la actividad en los sistemas de información que contienen ePHI
- implementen controles de integridad para garantizar que la ePHI no se haya alterado ni destruido
- desarrollen planes de contingencia para responder a emergencias u otros incidentes que dañen los sistemas que contienen ePHI.
HIPAA exige que las organizaciones sanitarias realicen evaluaciones de riesgos para identificar posibles vulnerabilidades e implementar las salvaguardas adecuadas para proteger la ePHI. Las evaluaciones de riesgos son un componente importante de la estrategia de seguridad de una organización sanitaria, ya que ayudan a identificar posibles amenazas y vulnerabilidades y a priorizar las medidas de seguridad.
La evaluación de riesgos para el cumplimiento de HIPAA consiste en evaluar las salvaguardas administrativas, físicas y técnicas existentes para proteger la ePHI. Las organizaciones deben evaluar la probabilidad y el impacto de las posibles amenazas para la ePHI e identificar las medidas adecuadas para hacerles frente.
La Regla de Seguridad de HIPAA también exige que las organizaciones sanitarias implementen medidas de seguridad razonables y adecuadas en función de los resultados de sus evaluaciones de riesgos. Esto incluye implementar políticas y procedimientos de seguridad, formación en seguridad para el personal, controles de acceso, cifrado, controles de auditoría y planificación de contingencias.
Las infracciones de HIPAA pueden acarrear consecuencias significativas para las entidades cubiertas y los asociados comerciales. Los tipos de sanciones y multas que pueden imponerse dependen de la gravedad de la infracción, del número de personas afectadas y del grado de intencionalidad.
Una infracción habitual de HIPAA es no obtener el consentimiento del paciente antes de divulgar la PHI. Esto ocurre cuando los proveedores de atención médica divulgan la información de salud protegida de los pacientes a personas o entidades sin obtener el consentimiento por escrito del paciente. No implementar salvaguardas para proteger la PHI es otra infracción frecuente, que puede producirse cuando las organizaciones sanitarias no protegen adecuadamente los datos de los pacientes.
El acceso o la divulgación no autorizados de la PHI también constituyen una infracción significativa de HIPAA. Esto puede ocurrir cuando empleados u otras personas acceden a PHI que no están autorizados a ver, o cuando la PHI se divulga a terceros no autorizados. No permitir a los pacientes el acceso a su propia PHI es otra infracción que puede producirse cuando los proveedores de atención médica no ofrecen a los pacientes la posibilidad de revisar u obtener copias de su historial médico.
Por último, no formar a los empleados en las políticas y los procedimientos de HIPAA puede dar lugar a infracciones de HIPAA. Esto puede suceder cuando las organizaciones sanitarias no forman adecuadamente a sus empleados sobre la importancia de proteger los datos de los pacientes o sobre las políticas y los procedimientos específicos relacionados con el cumplimiento de HIPAA.
Las infracciones de HIPAA conllevan sanciones considerables, que oscilan entre 100 y 50 000 dólares por infracción, con un máximo de 1,5 millones de dólares al año por cada infracción de una disposición idéntica. Además de las sanciones económicas, vulnerar la normativa HIPAA tiene otras consecuencias negativas. Las infracciones pueden provocar la pérdida de confianza de pacientes y clientes, atención mediática negativa y daños a la reputación de una organización. En algunos casos, las infracciones de HIPAA pueden incluso dar lugar a cargos penales y penas de prisión.
Para ilustrar la gravedad de las infracciones de HIPAA, conviene mencionar algunos casos en los que se multó a organizaciones sanitarias por incumplimiento. Por ejemplo, en 2020, Premera Blue Cross tuvo que pagar 6,85 millones de dólares para resolver posibles infracciones de HIPAA. La OCR determinó que Premera no había realizado un análisis de riesgos adecuado, no había implementado planes de gestión de riesgos ni había cifrado la ePHI de forma sistemática, lo que provocó una filtración de datos que afectó a más de 10 millones de personas.
De forma similar, en 2019, la OCR multó con 3 millones de dólares al University of Rochester Medical Center (URMC) por infracciones de HIPAA. La OCR descubrió que URMC no había cifrado la ePHI en sus dispositivos móviles, lo que provocó una filtración de datos que afectó a más de 3000 personas. URMC tampoco realizó un análisis de riesgos, no implementó planes de gestión de riesgos ni formó a su personal en la normativa HIPAA.
Para evitar tales sanciones, las organizaciones sanitarias deben dar prioridad al cumplimiento de HIPAA y adoptar medidas proactivas para proteger la PHI. Esto incluye realizar análisis de riesgos periódicos, implementar planes de gestión de riesgos, cifrar la ePHI y ofrecer formación al personal sobre la normativa HIPAA. De este modo, las organizaciones sanitarias pueden evitar costosas infracciones de HIPAA y salvaguardar la privacidad y la seguridad de sus pacientes.
Hideez Service elimina la necesidad de contraseñas, una fuente habitual de vulnerabilidades de seguridad. La solución utiliza una aplicación móvil que permite una autenticación segura en el escritorio con verificación biométrica, así como llaves de seguridad de hardware, para autenticar a los usuarios y concederles acceso a los sistemas y datos protegidos.
Además, Hideez Authentication Service ayuda a las organizaciones sanitarias a cumplir las reglas de seguridad de HIPAA al ofrecer políticas y procedimientos de seguridad completos, controles de acceso y registros de auditoría. Para apoyar aún más a las organizaciones sanitarias, Hideez ofrece una
