Tu Lista Completa para Lograr el Cumplimiento de la Ley HIPAA

Las sanciones de la Ley HIPAA pueden ser severas, por lo que es importante evitarlas cumpliendo con los requisitos de cumplimiento de HIPAA. Aquí tienes una lista completa paso a paso para el cumplimiento de HIPAA.

Los requisitos de cumplimiento de HIPAA incluyen lo siguiente:

• Privacidad: derechos de los pacientes a la información de salud protegida (PHI)
• Seguridad: medidas de seguridad físicas, técnicas y administrativas
• Aplicación: investigaciones sobre una violación
• Notificación de Violación: pasos requeridos si ocurre una violación
• Omnibus: socios comerciales cumplidores

Cumplimiento de HIPAA: una Breve Visión General

HIPAA es un marco desarrollado en 1996 para delinear las obligaciones legales de una organización con respecto a regulaciones específicas en la Ley de Portabilidad y Responsabilidad de Seguros de Salud. Estas regulaciones establecen estándares para aspectos críticos de la gestión de datos de salud, incluyendo el derecho de los pacientes a la privacidad, la necesidad de controles de seguridad apropiados para proteger datos privados, y los requisitos que tienen las organizaciones de salud si esos datos han sido comprometidos por un tercero malicioso.

Importante para este marco es la noción de protección de datos. La seguridad física de los datos, los estándares de cifrado utilizados para proteger esos datos, y los procedimientos utilizados para documentar, transmitir y almacenar datos son partes críticas de HIPAA y sus requisitos subyacentes.

Gestionado por el Departamento de Salud y Servicios Humanos y la Oficina de Derechos Civiles, existen regulaciones para asegurar la confidencialidad de la información privada de los pacientes en un mundo de registros electrónicos, transferencia digital de datos y (más recientemente) servicios en la nube.

Cumplimiento de HIPAA: ¿Qué Organizaciones Deben Adherirse?

Las organizaciones deben cumplir con HIPAA para asegurar que los datos de salud sensibles de los pacientes estén seguros y no se divulguen a individuos o entidades no autorizadas. HIPAA también proporciona protecciones que ayudan a asegurar que los datos se utilicen solo para el propósito previsto y no se usen o divulguen para ningún otro propósito.

Las empresas que deben demostrar cumplimiento con HIPAA incluyen:

• Proveedores de seguros de salud
• Clearinghouses de salud
• Proveedores de atención médica (hospitales, médicos, dentistas, etc.)
• Socios comerciales de entidades cubiertas (por ejemplo, empresas de facturación y empresas de almacenamiento de documentos)
• Farmacias
• Instalaciones de cuidado a largo plazo
• Instituciones de investigación
• Autoridades de salud pública
• Empleadores
• Escuelas y universidades

La Necesidad de Cumplimiento de HIPAA

El cumplimiento de HIPAA es necesario para asegurar la seguridad de la información confidencial de atención médica. Es una ley federal que requiere que las organizaciones, como los proveedores de atención médica, mantengan la privacidad y seguridad de los datos de sus pacientes. El cumplimiento con estos estándares es necesario para la protección de datos sensibles, como los registros médicos de los pacientes, la información de seguros de salud y otra información personal identificable (PII) e información de salud protegida (PHI).

Si las empresas no cumplen con HIPAA, pueden enfrentar sanciones serias. La Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU. puede emitir sanciones que incluyen multas y penalizaciones, planes de acción correctiva y sanciones monetarias civiles. Además, las empresas pueden estar sujetas a cargos criminales. Ejemplos de multas por violaciones de cumplimiento de HIPAA incluyen:

• Hasta $1.5 millones por una sola violación y hasta $15 millones por múltiples violaciones en un año calendario
• Hasta $50,000 por violación por el uso indebido consciente de la información del paciente
• Hasta $100 por violación por no proporcionar una solicitud de acceso a un paciente
• Hasta $250,000 o hasta 1 año de cárcel o ambos por obtener o divulgar información de salud identificable sin autorización

¿Por qué son tan altas estas sanciones? Si los registros de un paciente son robados, la privacidad del paciente puede ser violada. Los registros robados pueden ser utilizados para cometer robo de identidad o fraude financiero, lo que lleva a pérdidas financieras o al uso no autorizado de beneficios. La información médica sensible interceptada también puede ser utilizada para chantajear al paciente o para acosarlo.

¿Quién Debe Lograr el Cumplimiento de HIPAA?

El cumplimiento de HIPAA es aplicable a cualquier organización o individuo que cree, reciba, mantenga o transmita información de salud protegida electrónicamente (ePHI). Esto incluye proveedores de atención médica como médicos y hospitales, planes de salud, compañías de seguros de salud y cualquier otra organización que trate con la industria de la salud. También se aplica a socios comerciales, como empresas de facturación de terceros, transcriptores y proveedores de servicios de TI. En última instancia, cualquier entidad que almacene, transmita o procese ePHI debe cumplir con las regulaciones de HIPAA. Esta extensa cadena de suministro de atención médica puede crear un riesgo significativo.

Las organizaciones que no crean, reciben, mantienen o transmiten ePHI no necesitan cumplir con HIPAA. Ejemplos incluyen minoristas y restaurantes. Sin embargo, incluso las organizaciones que no están directamente involucradas en la atención médica pueden estar sujetas a los requisitos de HIPAA, por ejemplo, si proporcionan servicios como almacenamiento en la nube para información relacionada con la salud.

Algunos Términos Importantes de Regulación y Cumplimiento de HIPAA

Para entender qué es el cumplimiento y a quién se aplica, es importante conocer algunos términos clave:

Entidad Cubierta

Estos son los hospitales, médicos, clínicas, agencias de seguros o cualquier persona que trabaje regularmente con pacientes y sus datos privados.

Socio Comercial

Proveedores de servicios que trabajan estrechamente con Entidades Cubiertas sin trabajar directamente con pacientes. Los socios comerciales a menudo manejan datos privados debido a sus productos tecnológicos, consultoría, administración financiera, análisis de datos u otros servicios.

Información de Salud Personal Electrónica (ePHI)

ePHI es el nombre legal de los datos privados de los pacientes almacenados y transmitidos a través de medios electrónicos. Todas las reglas de privacidad, seguridad e informes se refieren a la protección y gestión de ePHI.

¿Cuáles Son las 4 Principales Reglas de HIPAA y Cómo Impactan el Cumplimiento?

Cuatro reglas principales definen la estructura y el significado de todo lo relacionado con los requisitos de cumplimiento:

1. La Regla de Privacidad
2. La Regla de Seguridad
3. La Regla de Notificación de Violación
4. La Regla Omnibus

Cada regla proporciona un marco para un aspecto del cumplimiento e informa aspectos críticos de las otras reglas.

La Regla de Privacidad de HIPAA

La Regla de Privacidad de HIPAA establece el estándar nacional para los derechos de privacidad de los pacientes y la información privada. Además, establece el marco que dicta qué es ePHI, cómo debe protegerse, cómo puede y no puede usarse, y cómo puede transmitirse y almacenarse.

Una parte adicional de la Regla de Privacidad son los documentos y exenciones que requiere para las entidades que manejan ePHI.

En esta regla, se define ePHI como cualquier dato identificable del paciente que está sujeto a la privacidad cubierta por la entidad cubierta o cualquier socio comercial. Esto es lo que se llama “información de salud protegida” e incluye:

• Cualquier documentación pasada, presente o futura sobre condiciones físicas o mentales
• Cualquier registro sobre el cuidado del paciente
• Y registros que hacen referencia a pagos pasados, presentes o futuros por atención médica

La regla establece que los únicos escenarios donde las entidades cubiertas pueden divulgar información de salud privada involucran situaciones de cuidado, investigación o legales muy específicas. Estas situaciones son en sí mismas increíblemente estrechas y están sujetas a interpretación en un tribunal de justicia.

La mejor regla general es que cuando se trata de la privacidad de ePHI, la Entidad Cubierta y sus Socios Comerciales tienen la obligación de protegerla.

Lista de Verificación de la Regla de Privacidad de HIPAA

Esta Lista de Verificación de la Regla de Privacidad de HIPAA incluye 10 pasos esenciales que las organizaciones de atención médica y sus socios comerciales deben tomar para asegurar el cumplimiento con la Regla de Privacidad de HIPAA. Desde designar un oficial de privacidad hasta establecer protocolos para divulgar PHI a terceros, esta lista cubre todos los aspectos necesarios para proteger la información de salud sensible de los pacientes. La adherencia a estas pautas no solo ayudará a las organizaciones a evitar violaciones de HIPAA (y las subsecuentes multas, penalizaciones y litigios), sino también a construir la confianza y confianza de los pacientes en el sistema de atención médica. Incluyen:

1. Designar un oficial de privacidad
2. Desarrollar e implementar políticas y procedimientos escritos
3. Proporcionar capacitación a los miembros del personal
4. Obtener el consentimiento del paciente para ciertas divulgaciones
5. Mantener salvaguardas apropiadas para la información de salud protegida (PHI)
6. Implementar un sistema para revisar y verificar solicitudes de PHI
7. Responder a las solicitudes de acceso a PHI de los pacientes
8. Notificar a los pacientes en caso de una violación de PHI no asegurada
9. Asignar identificadores únicos a individuos y grupos
10. Establecer protocolos para divulgar PHI a socios comerciales y otros terceros

La Regla de Seguridad de HIPAA

Con la definición de privacidad y ePHI en su lugar, el siguiente paso es proteger esos datos. La Regla de Seguridad de HIPAA estableció los estándares nacionales para los mecanismos requeridos para proteger los datos de ePHI. Estos mecanismos se extienden a lo largo de toda la operación de la entidad cubierta, incluyendo tecnología, administración, salvaguardas físicas para computadoras y dispositivos, y cualquier cosa que pueda impactar la seguridad de ePHI.

Los controles descritos en esta regla están organizados en tres grupos de salvaguardas:

1. Tareas Administrativas para el Cumplimiento de HIPAA

Esto incluye políticas y procedimientos que impactan ePHI, así como las tecnologías, diseño de sistemas, gestión de riesgos y mantenimiento relacionados con todas las demás medidas de seguridad. También incluye aspectos de la administración de atención médica como Recursos Humanos y capacitación de empleados.

2. Físicas para el Cumplimiento de HIPAA

Las salvaguardas físicas aseguran el acceso a equipos físicos, incluidos computadoras, enrutadores, conmutadores y almacenamiento de datos. Las entidades cubiertas están obligadas a mantener instalaciones seguras donde solo individuos autorizados puedan acceder a los datos.

3. Técnicas para el Cumplimiento de HIPAA

La ciberseguridad incluye computadoras, dispositivos móviles, cifrado, seguridad de red, seguridad de dispositivos y cualquier cosa relacionada con la tecnología real de almacenamiento y comunicación de ePHI.

Lista de Verificación de Cumplimiento de la Regla de Seguridad de HIPAA

La Lista de Verificación de la Regla de Seguridad de HIPAA cubre 10 áreas clave que las organizaciones deben abordar para proteger la información de salud protegida electrónicamente (ePHI). Desde realizar evaluaciones de riesgos hasta establecer planes de contingencia para emergencias, esta lista de verificación integral está diseñada para ayudar a las organizaciones a asegurar el cumplimiento con los estándares de seguridad de HIPAA y proteger los datos sensibles de los pacientes de posibles amenazas y vulnerabilidades.

1. Realizar un análisis de riesgos para identificar amenazas y vulnerabilidades potenciales
2. Implementar políticas y procedimientos para mantener y monitorear la seguridad de la información de salud protegida electrónicamente (ePHI)
3. Limitar el acceso a ePHI solo a individuos autorizados que requieran acceso para realizar sus funciones laborales
4. Asegurar que toda ePHI esté cifrada y almacenada de manera segura
5. Implementar procedimientos para responder a incidentes de seguridad y violaciones
6. Capacitar a todos los miembros del personal en políticas y procedimientos de seguridad de HIPAA
7. Revisar y actualizar regularmente las medidas de seguridad para asegurar que estén actualizadas y sean efectivas
8. Establecer un plan de contingencia para desastres u otras emergencias que puedan impactar ePHI
9. Asegurar que todos los proveedores y contratistas de terceros cumplan con los requisitos de seguridad de HIPAA
10. Realizar auditorías y evaluaciones regulares para asegurar el cumplimiento con los estándares de seguridad de HIPAA

La Regla de Notificación de Violación de HIPAA

La Regla de Notificación de Violación especifica qué sucede cuando ocurre una violación de seguridad. Es casi imposible proteger los datos con un 100% de efectividad, y las organizaciones necesitan tener planes en su lugar para notificar al público y a las víctimas de una violación de HIPAA sobre lo que ha sucedido y cuáles son sus próximos pasos.

La regla de Notificación de Violación define una serie de pasos que cualquier Entidad Cubierta necesita tomar durante una violación para mantenerse en cumplimiento, incluyendo:

1. Notificar a los individuos afectados por una violación. Las entidades cubiertas necesitan dar a las víctimas un aviso formal y por escrito de la violación, ya sea por correo de primera clase o correo electrónico (si es aplicable).
2. Si la Entidad Cubierta no tiene información de contacto para más de 10 personas en una violación, entonces deben proporcionar un aviso alternativo ya sea a través de una publicación en el sitio web durante 90 días o un aviso en fuentes de noticias impresas y de transmisión importantes.
3. La Entidad debe proporcionar el aviso no más tarde de 60 días desde el descubrimiento de la violación.
4. Si la violación afecta a más de 500 individuos en un Estado u otra jurisdicción, la Entidad debe proporcionar un aviso público prominente de la violación a través de medios de comunicación locales.
5. La Entidad debe además proporcionar un Aviso al Secretario de Salud dentro de los 60 días si la violación afecta a más de 500 personas. Si es menos, entonces la entidad puede actualizar al Secretario al final del año.

Estas reglas de notificación se aplican a cualquier violación hecha conocida a la Entidad Cubierta por uno de sus socios comerciales.

La Regla Omnibus de HIPAA

Una regla más reciente, la regla Omnibus amplía el alcance de las regulaciones a organizaciones fuera de las Entidades Cubiertas. En resumen, la Regla Omnibus establece que las obligaciones de cumplimiento cubren a los Socios Comerciales y contratistas. En consecuencia, esto significa que las Entidades Cubiertas son responsables de cualquier violación potencial de los Socios Comerciales y contratistas, y necesitan actualizar su análisis de distancia, evaluación de riesgos y procedimientos de cumplimiento en consecuencia.

¿Qué es la Regla de Aplicación de HIPAA?

La Regla de Aplicación de HIPAA es un conjunto de regulaciones que proporcionan pautas para investigaciones y sanciones por violaciones de las reglas de privacidad y seguridad bajo la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA). La regla está diseñada para asegurar que las entidades cubiertas y los socios comerciales cumplan con las regulaciones de HIPAA y protejan la privacidad y seguridad de la información de salud protegida (PHI) de los pacientes. La Regla de Aplicación también establece procedimientos para responder a quejas y realizar investigaciones de presuntas violaciones, incluyendo la imposición de sanciones monetarias civiles y planes de acción correctiva.

Entendiendo las Últimas Actualizaciones de HIPAA para el Cumplimiento de HIPAA

Las actualizaciones más recientes de HIPAA se implementaron en 2013 y 2016.

En 2013, se introdujo la Regla Omnibus de HIPAA, que realizó cambios significativos en las regulaciones que gobiernan cómo se maneja y protege la información de salud protegida (PHI). Algunos de los cambios clave incluyeron:

• Protecciones ampliadas para los derechos de los pacientes, incluyendo el derecho a acceder y recibir copias de su PHI, y el derecho a solicitar restricciones sobre el uso o divulgación de su PHI
• Refuerzo de la aplicación de las regulaciones de HIPAA, incluyendo multas aumentadas por incumplimiento y un requisito para que los socios comerciales (proveedores de servicios de terceros) cumplan con las regulaciones de HIPAA
• Definiciones actualizadas de términos clave como “socio comercial” e “información de salud protegida”

En 2016, la Regla de Privacidad de HIPAA se modificó para permitir que ciertas entidades cubiertas, como proveedores de atención médica o aseguradoras, divulguen los nombres de individuos que han sido identificados como teniendo una condición de salud mental al Sistema Nacional Instantáneo de Verificación de Antecedentes Criminales (NICS). Este cambio se realizó en respuesta al tiroteo de 2012 en la Escuela Primaria Sandy Hook, que generó preocupaciones sobre la capacidad de individuos con problemas de salud mental para obtener armas de fuego. Sin embargo, la divulgación de esta información está sujeta a ciertas limitaciones y protecciones, incluyendo requisitos para que la entidad cubierta obtenga un consentimiento escrito específico del individuo antes de divulgar su información, y para proporcionar ciertas divulgaciones al individuo sobre las posibles consecuencias de tal divulgación.

Cumplimiento de TI de HIPAA

El cumplimiento de HIPAA y el cumplimiento de TI de HIPAA varían ligeramente.

El cumplimiento de HIPAA es un conjunto de reglas y regulaciones establecidas por el Departamento de Salud y Servicios Humanos de EE. UU. (HHS) para proteger la privacidad, seguridad e integridad de la información de salud sensible de los pacientes. Esto incluye requisitos para salvaguardas administrativas, físicas y técnicas, como la implementación de políticas, procedimientos y medidas de seguridad.

El cumplimiento de TI de HIPAA, por el contrario, se refiere a los aspectos técnicos de la Regla de Seguridad de HIPAA, específicamente en cuanto a la implementación, mantenimiento y monitoreo de salvaguardas técnicas para la información de salud protegida electrónicamente (ePHI). Esto incluye implementar medidas de autenticación y control de acceso fuertes, evaluaciones periódicas de riesgos de seguridad, y cifrado y seguridad de los datos almacenados.

¿Existe una Lista de Verificación Específica de Cumplimiento de HIPAA para TI?

Algunas organizaciones de TI deben cumplir con HIPAA porque manejan datos sensibles y/o confidenciales que están protegidos por HIPAA. Como tal, las organizaciones de TI deben tomar las medidas necesarias para asegurar que sus sistemas y procedimientos cumplan con las regulaciones de HIPAA.

Las organizaciones de TI deben considerar estos elementos de la lista de verificación para demostrar el cumplimiento de TI de HIPAA:

1. Tener un Oficial de Privacidad de HIPAA dedicado responsable de desarrollar e implementar medidas de seguridad.
2. Identificar y clasificar todos los datos que caen bajo la jurisdicción de HIPAA.
3. Educar a todo el personal sobre las leyes y regulaciones de HIPAA.
4. Establecer y documentar políticas y procesos administrativos, técnicos y físicos en relación con HIPAA.
5. Equipar todas las computadoras y/o estaciones de trabajo con suficientes medidas de seguridad para proteger contra el acceso no autorizado.
6. Almacenar de manera segura todos los documentos que contengan información de salud protegida y limitar el acceso solo al personal autorizado.
7. Usar software de cifrado donde sea apropiado para proteger los datos en reposo.
8. Practicar la navegación web segura y usar software de seguridad de correo electrónico.
9. Eliminar adecuadamente documentos y registros que contengan datos de pacientes; triturar o quemar son los métodos preferidos y más seguros.
10. Establecer y mantener procedimientos para manejar violaciones de seguridad e intentos de acceso no autorizado.
11. Revisar y monitorear regularmente los registros de acceso para detectar cualquier acceso no autorizado potencial.
12. Implementar procedimientos integrales de registro y auditoría de usuarios.
13. Desarrollar e implementar procedimientos de respaldo que cumplan con las pautas de HIPAA.
14. Desarrollar y mantener un plan de contingencia y un sistema de recuperación ante desastres.

Recursos de Cumplimiento de HIPAA

Para obtener más información sobre HIPAA y los requisitos de cumplimiento de HIPAA, asegúrate de visitar estos recursos:

1. Sitio web de HHS.gov
2. Sitio web de la Revista HIPAA
3. Oficina de Derechos Civiles de HHS
4. Centros de Servicios de Medicare y Medicaid
5. Instituto Nacional de Estándares y Tecnología
6. Guías de Gestión de Seguridad de HHS
7. Regla de Seguridad de HIPAA
8. Regla de Privacidad de HIPAA
9. Publicaciones Especiales del Instituto Nacional de Estándares y Tecnología (NIST)
10. Acta de Seguridad y Notificación de Violación de HITECH

Comenzando con el Cumplimiento de HIPAA

Si eres nuevo en el cumplimiento de HIPAA, aquí hay algunos pasos que tu organización puede tomar para comenzar a cumplir con HIPAA:

1. Desarrollar un plan de cumplimiento de seguridad y privacidad de HIPAA.
2. Desarrollar políticas y procedimientos para manejar y proteger la información de salud protegida (PHI).
3. Implementar salvaguardas físicas, administrativas y técnicas para proteger PHI.
4. Capacitar al personal en las mejores prácticas y protocolos de HIPAA.
5. Hacer que los empleados firmen reconocimientos de HIPAA y confirmen que entienden sus responsabilidades y obligaciones.
6. Asegurar que los socios comerciales, proveedores y contratistas hayan firmado acuerdos de socio comercial (BAA) y cumplan con las regulaciones de HIPAA.
7. Implementar procedimientos para revisar, auditar y actualizar regularmente el cumplimiento de HIPAA.
8. Registrar y documentar todas las medidas de seguridad y privacidad de PHI.
9. Tener un plan de respuesta a incidentes en caso de una violación o pérdida de datos.
10. Monitorear regularmente la seguridad de PHI y asegurar el cumplimiento completo con las regulaciones de HIPAA.

¿Qué es HITECH y Cómo se Relaciona con el Cumplimiento de HIPAA?

La Ley de Tecnología de la Información de Salud para la Economía y la Salud Clínica (HITECH) fue firmada en ley en 2009 e informa los requisitos de cumplimiento para todos los años posteriores. Críticamente, esta ley revisó los requisitos legales de las organizaciones de atención médica en varias industrias, incluyendo la atención médica directa y la seguridad social.

Antes de HITECH, solo el 10% de los hospitales usaban registros de salud electrónicos (EHR). HITECH fue una parte crítica para impulsar a los hospitales a cambiar a registros electrónicos. En parte, HITECH promovió la adopción de tecnología de gestión digital de ePHI y el cumplimiento subsiguiente con las regulaciones de HIPAA. Esto incluye ofrecer incentivos para cambiar a tecnología digital.

Para 2017, en gran parte gracias a HITECH, la tasa de adopción de EHR aumentó al 86% para 2017.

HITECH también cambió parte de la responsabilidad del cumplimiento de HIPAA. Para fomentar la adopción de tecnología, la Ley HITECH revisó las regulaciones de atención médica para que los Socios Comerciales se volvieran directamente responsables de las violaciones, y que su responsabilidad se describiera en un acuerdo de socio comercial (BAA) necesario con una Entidad Cubierta.

HITECH también aumentó las sanciones por violaciones y alentó a las fuerzas del orden a perseguir las violaciones más rigurosamente para que las organizaciones se mantuvieran en cumplimiento.

¿Qué Son las Violaciones de HIPAA?

El cumplimiento significa mantenerse dentro de las regulaciones establecidas en las Reglas de Privacidad, Seguridad y Notificación de Violación. Si una organización no cumple con estos estándares para mantenerse en cumplimiento, entonces se considera que está en violación de HIPAA.

Las violaciones incluyen:

• La exposición ilegal de ePHI a partes no autorizadas, ya sea intencionalmente o accidentalmente
• Fallo en implementar protocolos de seguridad adecuados según lo descrito por la Regla de Seguridad de HIPAA
• Falta de protocolos administrativos o de capacitación adecuados que cumplan con los requisitos
• Fallo en notificar adecuadamente a las partes afectadas y a los funcionarios públicos después de violaciones de datos relevantes
• Falta de disposición para actualizar, mejorar o abordar las brechas de cumplimiento existentes

Con eso en mente, HIPAA divide las violaciones en dos grupos: civiles y criminales.

• Violaciones civiles son incidentes de incumplimiento donde el incumplimiento fue accidental o sin intención maliciosa. Esto incluye eventos como negligencia o falta de conciencia. Las sanciones tienden a ser menores para las violaciones civiles:
  • Para individuos que desconocen las violaciones, la multa es de $100 por incidente.
  • Para aquellos con causa razonable sin negligencia, la multa es un mínimo de $1,000.
  • La negligencia intencional conlleva una multa mínima de $10,000 por incidente.
  • La negligencia intencional, seguida sin una rectificación inmediata de la violación, resulta en una multa mínima de $50,000 por violación.
• Violaciones criminales son aquellas cometidas con intención maliciosa, es decir, robo, lucro o fraude. Las sanciones aquí incluyen:
  • Obtener o divulgar ePHI a sabiendas es hasta $50,000 y 1 año de cárcel.
  • Cometer fraude como parte de la violación es hasta $100,000 y 5 años de cárcel.
  • Cometer violaciones con la intención de lucrar con la violación es hasta $250,000 y hasta 10 años de cárcel.

Las violaciones numerosas y repetidas pueden costar a las organizaciones millones de dólares al año.

Dicho esto, hay varios ejemplos comunes de violaciones:

• Fraude. La violación más directa y obvia es cuando los individuos roban ePHI para lucro o ganancia. Los hackers o las operaciones internas son raras, pero cada vez más comunes a medida que más hospitales y redes de atención médica recurren a la tecnología en la nube y dependen de proveedores de servicios no probados.
• Dispositivos perdidos o robados. En el mundo de las estaciones de trabajo de escritorio, el robo de tecnología era menos común. Sin embargo, a medida que más clínicas y hospitales recurren a dispositivos móviles como laptops, tabletas y teléfonos inteligentes, es cada vez más probable que estos dispositivos terminen en manos equivocadas.
• Falta de protección. La Regla de Seguridad define los tipos de cifrado de HIPAA, firewalls y otras medidas de seguridad que deberían estar en su lugar. Muchas organizaciones pueden no entender estos, o pueden trabajar con un socio de terceros que creen que cumple pero no lo hace.
• Acceso no autorizado a través de organizaciones. Ya sea compartiendo datos de un individuo autorizado a uno no autorizado, o usando dispositivos o correos electrónicos no cifrados, es extremadamente fácil para los trabajadores no capacitados acceder o transmitir ePHI de manera incorrecta. De hecho, la divulgación accidental de PHI es la forma más común de violación, por lo que hay una categoría completa de sanciones de menor nivel para cubrirla.

Logra y Mantén el Cumplimiento de HIPAA con una Lista de Verificación de Autoevaluación

Al usar una lista de verificación de autoevaluación de HIPAA, las organizaciones de atención médica pueden identificar áreas potenciales de incumplimiento y tomar medidas correctivas antes de que ocurra una auditoría por parte del Departamento de Salud y Servicios Humanos (HHS). Una autoevaluación también puede ayudar a las organizaciones de atención médica a evitar sanciones y multas costosas por violaciones de HIPAA.

Además, realizar una autoevaluación puede ayudar a las organizaciones de atención médica a establecer mejores prácticas para el cumplimiento de HIPAA y mejorar su postura general de seguridad de datos. También puede ayudar a construir confianza con los pacientes al demostrar un compromiso con la protección de su información sensible.

Usar una lista de verificación de autoevaluación de HIPAA es un paso importante para mantener el cumplimiento con las regulaciones de HIPAA y proteger los datos de los pacientes.

Aquí tienes una lista de verificación para autoevaluación de cumplimiento de HIPAA:

1. Determinar el alcance de la auditoría, incluyendo qué entidades y procesos serán evaluados.
2. Revisar políticas y procedimientos para asegurar el cumplimiento con las regulaciones de HIPAA.
3. Verificar que todos los miembros del personal hayan recibido capacitación en HIPAA y que la capacitación esté actualizada.
4. Revisar los controles de acceso y verificar que solo individuos autorizados tengan acceso a PHI.
5. Evaluar las salvaguardas físicas, incluyendo controles de acceso a instalaciones y estaciones de trabajo.
6. Revisar las salvaguardas técnicas, incluyendo controles de acceso a sistemas, cifrado de PHI y políticas de contraseñas.
7. Verificar que los acuerdos de socio comercial estén en su lugar con todos los proveedores de terceros que tengan acceso a PHI.
8. Evaluar los procedimientos de respuesta a incidentes y verificar que estén actualizados y sean efectivos.
9. Revisar los procedimientos de notificación de violaciones y verificar que estén actualizados y sean efectivos.
10. Verificar que toda la documentación requerida de HIPAA esté actualizada y disponible fácilmente.
11. Evaluar el cumplimiento con la Regla de Privacidad de HIPAA, incluyendo obtener y documentar autorizaciones de pacientes para divulgaciones de PHI.
12. Revisar el cumplimiento con la Regla de Seguridad de HIPAA, incluyendo realizar evaluaciones de riesgos regulares y abordar los riesgos identificados.
13. Verificar que todas las divulgaciones de PHI estén debidamente autorizadas y documentadas, incluyendo divulgaciones para tratamiento, pago y operaciones de atención médica.
14. Revisar el cumplimiento con la Regla de Notificación de Violación de HIPAA, incluyendo el reporte oportuno de cualquier violación de PHI no asegurada.
15. Evaluar el cumplimiento con la Regla Omnibus de HIPAA, incluyendo el cumplimiento con los nuevos requisitos para socios comerciales y subcontratistas.
16. Verificar que toda PHI se elimine adecuadamente de acuerdo con las regulaciones de HIPAA.
17. Revisar el cumplimiento con las leyes estatales y locales que puedan impactar el cumplimiento de HIPAA.
18. Realizar auditorías periódicas y remediar cualquier área de incumplimiento.
19. Documentar todos los hallazgos de auditoría y actividades de remediación.
20. Desarrollar e implementar un programa de cumplimiento de HIPAA que incluya capacitación, monitoreo y auditoría continuos.
21. Asignar un Oficial de Cumplimiento de HIPAA para gestionar tus esfuerzos de cumplimiento en toda tu organización.
22. Rastrear y proteger dispositivos móviles para que no terminen en manos no autorizadas, y que todos los datos contenidos en ellos estén debidamente cifrados. Implementar borrados remotos para destruir PHI que sea robada, o simplemente evitar almacenar PHI en dispositivos móviles en primer lugar.

Cumplimiento de HIPAA vs. Cumplimiento de GDPR: ¿Quién Tiene Prioridad?

El Reglamento General de Protección de Datos de la UE (GDPR) y la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) son dos regulaciones separadas que tienen como objetivo proteger la privacidad de los datos personales. GDPR se aplica a todas las empresas que procesan o manejan datos personales de ciudadanos de la UE, independientemente de su ubicación, mientras que HIPAA es aplicable a proveedores de atención médica, aseguradoras y sus socios comerciales en los EE. UU. Sin embargo, a medida que las entidades de atención médica y los socios comerciales operan cada vez más a escala global, es esencial entender el impacto de GDPR en el cumplimiento de HIPAA.

El GDPR impone requisitos de protección de datos más estrictos que HIPAA, incluyendo:

Consentimiento Explícito en GDPR

GDPR requiere consentimiento explícito antes de procesar los datos personales de un individuo, mientras que HIPAA solo requiere una autorización general.

Derechos de los Sujetos de Datos en GDPR

GDPR otorga a los individuos un control más extenso sobre sus datos, incluyendo el derecho a acceder, rectificar y borrar sus datos personales, mientras que HIPAA proporciona derechos limitados para acceder y solicitar enmiendas.

Oficial de Protección de Datos (DPO) Estipulado en GDPR

GDPR exige que ciertas organizaciones nombren un DPO para supervisar la protección de datos, mientras que HIPAA no requiere este rol.

Notificaciones de Violación de Datos Requeridas por GDPR

GDPR requiere que las organizaciones informen sobre violaciones de datos dentro de las 72 horas, mientras que HIPAA requiere informes dentro de los 60 días.

Penalizaciones de GDPR

GDPR impone penalizaciones significativamente más altas por incumplimiento, con multas de hasta 20 millones de euros o el 4% de los ingresos anuales globales, lo que sea mayor. En contraste, las multas de HIPAA varían de $100 a $50,000 por violación, hasta un máximo de $1.5 millones por año.

Por lo tanto, las entidades de atención médica y los socios comerciales que procesan datos personales de ciudadanos de la UE deben asegurar el cumplimiento tanto con GDPR como con HIPAA. Deben revisar sus políticas y procedimientos de privacidad de datos, implementar los cambios necesarios para cumplir con los requisitos de GDPR y capacitar a su personal sobre las disposiciones de las regulaciones. El incumplimiento de cualquiera de las regulaciones puede resultar en sanciones financieras significativas y dañar la reputación de una organización.

Kiteworks Ayuda a las Organizaciones a Lograr el Cumplimiento de HIPAA con una Red de Contenido Privado

La Red de Contenido Privado de Kiteworks ayuda a las entidades cubiertas y sus socios comerciales a lograr y mantener el cumplimiento de HIPAA protegiendo PHI y otros contenidos sensibles que comparten con terceros de confianza.

Kiteworks consolida las comunicaciones de terceros como correo electrónico, uso compartido de archivos, transferencia de archivos administrada, SFTP y formularios web para que las organizaciones puedan controlar, proteger y rastrear la PHI que se accede, envía, almacena y recibe. Las características de seguridad y cumplimiento incluyen:

• Un dispositivo virtual reforzado preconfigurado y autónomo con protección antivirus integrada y sistema de detección de intrusiones (IDS)
• Cifrado AES de contenido en reposo y cifrado TLS 1.2 para contenido en tránsito, y medidas de seguridad adicionales como rotación de claves, tiempos de espera de sesión, verificaciones de integridad y antivirus
• Informes de cumplimiento de HIPAA y GDPR con un solo clic que demuestran que las salvaguardas administrativas, físicas y técnicas están en su lugar, en cumplimiento con HIPAA
• Controles de acceso granulares, permisos basados en roles y expiración de archivos/carpetas que restringen el acceso a PHI al personal autorizado y solo durante el tiempo necesario
• Opciones de despliegue seguro que incluyen en las instalaciones, privado, híbrido y nube privada virtual FedRAMP
• Detección de amenazas, mitigación y análisis forense a través de un análisis del Tablero de CISO y registros de auditoría completos que se pueden exportar a tu SIEM

Para aprender cómo Kiteworks puede ayudar a mantener el cumplimiento de HIPAA en tus organizaciones, programa una demostración personalizada hoy.