HIPAA es la Ley de Portabilidad y Responsabilidad de Seguros Médicos de 1996 (Health Insurance Portability and Accountability Act), una ley federal. En virtud de ella, el Departamento de Salud y Servicios Humanos de los EE. UU. (HHS) redactó normas que protegen la información de salud de las personas. Las reglas que usted debe conocer como miembro del personal de atención médica son:
- La Regla de Privacidad — quién puede usar y compartir la información de salud, con qué fines, y los derechos que tienen los pacientes sobre su propia información.
- La Regla de Seguridad — cómo debe protegerse la información de salud electrónica.
- La Regla de Notificación de Violaciones de Seguridad — qué debe ocurrir cuando la información de salud se pierde, es robada o se comparte de forma indebida.
La Ley HITECH de 2009 y la regla "Omnibus" de 2013 reforzaron estas reglas, hicieron a los socios comerciales directamente responsables de cumplir partes de ellas y aumentaron las sanciones.
Quién debe cumplir HIPAA
HIPAA se aplica a las entidades cubiertas y a sus socios comerciales.
Las entidades cubiertas son:
- Planes de salud — aseguradoras de salud, HMO, planes de salud de empresas y programas gubernamentales como Medicare y Medicaid.
- Centros de intercambio de información de salud (clearinghouses) — organizaciones que convierten datos de salud no estándar a formatos estándar (y a la inversa), a menudo para la facturación.
- Proveedores de atención médica que transmiten información de salud por vía electrónica en relación con transacciones estándar, como facturar a un plan de salud por vía electrónica. Esto incluye a la mayoría de los hospitales, clínicas, consultorios médicos y dentales, farmacias, hogares de ancianos, laboratorios y terapeutas.
Los socios comerciales son personas u organizaciones ajenas a la entidad cubierta que realizan trabajos para ella o en su nombre que implican información de salud. Ejemplos:
- una empresa de facturación o de codificación;
- una empresa de tecnología, un proveedor de alojamiento en la nube o un proveedor de expedientes médicos electrónicos que almacena o mantiene datos de pacientes;
- un servicio de transcripción, una empresa de destrucción de documentos o un abogado o contador externo que ve información de pacientes.
Una entidad cubierta debe tener un contrato de socio comercial (BAA, por sus siglas en inglés) con cada socio comercial. El BAA establece cómo puede usar la información el socio comercial y le exige protegerla. Los subcontratistas de un socio comercial que manejan la información también son socios comerciales.
Quién forma parte del personal
HIPAA define al personal (workforce) como los empleados, voluntarios, personas en formación y otras personas cuyo trabajo para una entidad cubierta o un socio comercial está bajo su control directo, reciban o no un pago. Los estudiantes en prácticas, los voluntarios de la recepción y el personal temporal son todos miembros del personal, y las reglas se les aplican de la misma manera.
El requisito de capacitación
La Regla de Privacidad (45 CFR 164.530(b)) establece que una entidad cubierta debe capacitar a todos los miembros de su personal en sus políticas y procedimientos de privacidad, en la medida necesaria y apropiada para el trabajo de cada persona. La capacitación debe impartirse:
- a cada nuevo miembro del personal dentro de un plazo razonable después de su incorporación;
- a los miembros del personal cuyas funciones se vean afectadas cuando las políticas o procedimientos cambien de manera significativa, dentro de un plazo razonable tras el cambio.
La entidad cubierta debe documentar que se impartió la capacitación. Por su parte, la Regla de Seguridad exige un programa de concientización y capacitación en seguridad para todos los miembros del personal.
La ley no menciona ningún curso, certificado o proveedor de capacitación en particular, ni indica con qué frecuencia debe repetirse la capacitación. Muchas organizaciones imparten un repaso cada año.
Qué es este curso y qué no es
Este curso explica las reglas federales de HIPAA que se aplican en todo el país. No sustituye la capacitación de su empleador sobre sus propias políticas y procedimientos; por ejemplo, cómo maneja su organización la entrega de información, qué herramientas de mensajería puede usar y quiénes son sus oficiales de privacidad y de seguridad. Su empleador debe capacitarle en esos temas. Algunas leyes estatales dan a los pacientes más protección que HIPAA; cuando una ley estatal es más estricta, por lo general sigue aplicándose junto con HIPAA, así que siga las políticas de su organización, que deben tener en cuenta ambas.
Situaciones prácticas
Una estudiante de enfermería en prácticas. Priya es una estudiante de enfermería que hace una rotación clínica en un hospital. El hospital no le paga, pero trabaja bajo su dirección y ve expedientes de pacientes. Es miembro del personal: el hospital debe capacitarla en sus políticas de privacidad, y ella debe cumplirlas exactamente igual que el personal.
Un contratista de informática. Un consultorio pequeño contrata a una empresa de informática para mantener sus computadoras y su expediente médico electrónico. Los técnicos de la empresa pueden ver datos de pacientes mientras trabajan. La empresa es un socio comercial, por lo que el consultorio debe tener un contrato de socio comercial con ella, y la empresa debe proteger la información y notificar las violaciones de seguridad al consultorio.
Una aplicación de bienestar. Una persona descarga una aplicación que cuenta pasos e introduce su peso. La empresa de la aplicación no es un plan de salud, un centro de intercambio de información ni un proveedor, ni trabaja en nombre de uno, así que por lo general HIPAA no se le aplica; puede que se apliquen otras leyes. HIPAA depende de quién tiene la información y en qué función, no solo del tipo de información.
Puntos clave
- Las reglas principales de HIPAA son la Regla de Privacidad, la Regla de Seguridad y la Regla de Notificación de Violaciones de Seguridad.
- Se aplica a las entidades cubiertas (planes de salud, centros de intercambio de información, proveedores que facturan por vía electrónica) y a sus socios comerciales.
- Los voluntarios, las personas en formación y los estudiantes son miembros del personal, reciban o no un pago.
- Las entidades cubiertas deben capacitar a todos los miembros del personal y documentarlo; la capacitación de su empleador sobre sus políticas sigue siendo obligatoria.