Protección de la salud: soluciones de cumplimiento normativo de la HIPAA

Las entidades que deben cumplir la HIPAA se definen como «entidades cubiertas» y «socios comerciales». Las «entidades cubiertas» son los planes sanitarios, las cámaras de compensación sanitaria y los proveedores de atención sanitaria que transmiten información sanitaria de forma electrónica. Los «socios comerciales» son personas o entidades que desempeñan determinadas funciones o actividades que implican el uso o la divulgación de información sanitaria protegida en nombre de una entidad cubierta o que le prestan servicios a una entidad cubierta.

La HIPAA protege toda la «información sanitaria identificable individualmente» mantenida o transmitida por una entidad cubierta o uno de sus socios comerciales en cualquier forma o medio, ya sea electrónico, en papel o verbal. Esto se conoce como información sanitaria protegida (PHI). Algunos ejemplos son nombres, fechas de nacimiento, historiales médicos, prescripciones farmacéuticas, etc.

Los principales componentes de la HIPAA son: la Regla de privacidad, que protege la privacidad de la información sanitaria que permite identificar a los individuos; la Regla de seguridad, que establece estándares para garantizar la seguridad de la información sanitaria electrónica protegida; y la Regla de notificación de infracciones, que requiere que las entidades afectadas y sus socios comerciales hagan la correspondiente notificación si se produce una infracción que desprotege la información sanitaria protegida.

Una organización puede cumplir la HIPAA implementando políticas y procedimientos que cumplan los requisitos de las Reglas de privacidad, seguridad y notificación de infracciones de la HIPAA. Esto incluye hacer evaluaciones de los riesgos, formar a los empleados, proteger los datos de los pacientes y establecer procedimientos de respuesta en caso de incidentes.

Las penalizaciones por incumplir la HIPAA pueden oscilar entre los 100 y los 50 000 dólares por infracción, con una penalización máxima de 1,5 millones de dólares al año por cada infracción. Las sanciones concretas dependen de la naturaleza de la infracción y del grado de negligencia.

La HIPAA les otorga a los pacientes ciertos derechos sobre su información médica, incluidos los derechos a examinar y obtener una copia de sus registros médicos y a solicitar correcciones. El cumplimiento normativo de la HIPAA es el conjunto de políticas y procedimientos que adopta su empresa sanitaria para permitir que los pacientes ejerzan esos derechos.

Una infracción de la HIPAA es un uso o divulgación no permitidos por la Regla de privacidad que pone en peligro la seguridad o la privacidad de la información sanitaria protegida. Las entidades cubiertas deben notificar el incumplimiento a las personas afectadas, a la Secretaría del Departamento de Salud y Servicios Humanos de EE. UU. y, en determinadas circunstancias, a los medios de comunicación.

La HIPAA impone que todos los empleados de las entidades cubiertas y los socios comerciales reciban formación sobre las políticas y procedimientos de privacidad y seguridad de la organización según sea necesario y apropiado para que desempeñen sus funciones. Aunque no se exige una frecuencia específica, la recomendación es que la formación se lleve a cabo en un régimen anual o siempre que se produzcan cambios significativos en las normativas o las prácticas comerciales.

Sí, los particulares pueden presentar una queja ante la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos de Estados Unidos si creen que su información sanitaria se ha utilizado o divulgado de una manera que incumple la HIPAA o si creen que se les ha denegado el acceso a su información sanitaria.