Los errores y los ataques ocurren. La Regla de Notificación de Violaciones de Seguridad (Breach Notification Rule) exige a las entidades cubiertas y a los socios comerciales informar a las personas correspondientes cuando se produce una violación de seguridad de PHI no protegida.
Qué es una violación de seguridad
Una violación de seguridad (breach) es la adquisición, el acceso, el uso o la divulgación de PHI de una manera que la Regla de Privacidad no permite y que compromete la seguridad o la privacidad de la información.
Todo uso o divulgación no permitidos se presume una violación de seguridad, salvo que la organización demuestre, mediante una evaluación de riesgos documentada, que hay una baja probabilidad de que la PHI se haya visto comprometida. La evaluación tiene en cuenta al menos cuatro factores:
- la naturaleza y el alcance de la PHI afectada: los tipos de identificadores y la probabilidad de que se vuelva a identificar a la persona;
- la persona no autorizada que usó la PHI o la recibió;
- si la PHI fue realmente adquirida o vista;
- la medida en que se ha mitigado el riesgo; por ejemplo, obtener la garantía de que la información se devolvió o se destruyó.
Es la organización la que tiene que demostrar que no era necesaria una notificación.
Excepciones
Tres situaciones no son violaciones de seguridad:
- un acceso o uso no intencional por parte de un miembro del personal que actúa de buena fe y dentro del ámbito de su autoridad, si después no se usa ni se divulga indebidamente;
- una divulgación involuntaria de una persona autorizada a acceder a la PHI a otra persona autorizada de la misma organización, si después no se usa ni se divulga indebidamente;
- una divulgación en la que la organización cree de buena fe que el destinatario no autorizado no habría podido razonablemente conservar la información.
Decidir si un hecho es una violación de seguridad le corresponde al oficial de privacidad, no a la persona que cometió el error. Notifique todos los incidentes y deje que el oficial los evalúe.
PHI no protegida y cifrado
La notificación se aplica a la PHI no protegida (unsecured): la PHI que no se ha vuelto inutilizable, ilegible o indescifrable para las personas no autorizadas mediante los métodos que especifica el HHS, como un cifrado o una destrucción adecuados. Si se roba una computadora portátil cifrada correctamente y la clave no se ha visto comprometida, por lo general no se requiere notificación. Esta es una de las razones más sólidas para usar el cifrado.
Cuándo empieza a correr el plazo
Una violación de seguridad se considera descubierta el primer día en que la organización la conoce, o en que la habría conocido actuando con una diligencia razonable. Que la conozca cualquier miembro del personal (distinto de la persona que cometió la violación) cuenta como que la conoce la organización. Por eso debe notificarlo de inmediato: puede que los plazos ya estén corriendo cuando usted nota el problema.
A quién hay que notificar
- A las personas afectadas — sin demoras injustificadas y a más tardar 60 días naturales después del descubrimiento, normalmente por correo postal de primera clase (o por correo electrónico si la persona lo aceptó). El aviso explica en un lenguaje sencillo qué ocurrió, qué información estuvo implicada, qué pueden hacer las personas para protegerse, qué está haciendo la organización y cómo obtener más información. Si los datos de contacto de 10 o más personas están desactualizados, se requiere un aviso sustitutivo; por ejemplo, un aviso en el sitio web de la organización durante 90 días o en los principales medios de comunicación, con un número de teléfono gratuito.
- Al HHS — en las violaciones de seguridad que afectan a 500 o más personas, al mismo tiempo que el aviso a las personas. En las que afectan a menos de 500, la organización lleva un registro y las notifica al HHS a más tardar 60 días después del final del año calendario en que se descubrieron.
- A los medios de comunicación — en las violaciones de seguridad que afectan a más de 500 residentes de un estado o jurisdicción, hay que notificar a los medios de comunicación destacados de esa zona, también sin demoras injustificadas y en un plazo de 60 días.
Un socio comercial que descubre una violación de seguridad debe notificarla a la entidad cubierta sin demoras injustificadas y a más tardar 60 días después del descubrimiento, identificando a las personas afectadas cuando sea posible. Normalmente es la entidad cubierta la que notifica a los pacientes. Los avisos pueden retrasarse cuando las fuerzas del orden indican que el aviso obstaculizaría una investigación penal.
Muchos estados tienen sus propias leyes de notificación de violaciones de seguridad, a veces con plazos más cortos. Su oficial de privacidad también se ocupa de ellas.
Situaciones prácticas
Documentos en papel en un contenedor de basura. Se encuentran en un contenedor abierto las antiguas hojas de citas de una clínica. Es una divulgación no permitida, el papel no se destruyó y cualquiera podría habérselo llevado. Es probable que, tras la evaluación de riesgos, se considere una violación de seguridad, y los plazos de notificación corren desde el día en que se descubrió.
Un correo electrónico al colega equivocado. Una enfermera envía por correo electrónico el resumen de un paciente a otra enfermera del mismo hospital que también está autorizada a ver PHI, pero que no forma parte del equipo de atención de ese paciente. La colega lo borra sin seguir leyendo. Puede que encaje en la excepción de divulgación involuntaria, pero quien decide es el oficial de privacidad, no la enfermera, así que igualmente hay que notificarlo.
Ransomware. Un programa malicioso cifra los archivos de un consultorio y exige un pago. El HHS considera que un ataque de ransomware contra ePHI se presume una violación de seguridad, salvo que la organización pueda demostrar, según la evaluación de riesgos, una baja probabilidad de que la información se haya visto comprometida.
Puntos clave
- Un uso o una divulgación no permitidos se presumen una violación de seguridad, salvo que una evaluación de riesgos de cuatro factores demuestre una baja probabilidad de que la información se haya visto comprometida.
- Hay que notificar a las personas afectadas sin demoras injustificadas y en un plazo de 60 días desde el descubrimiento.
- 500 o más afectados: notificar al HHS al mismo tiempo; más de 500 en un estado: notificar también a los medios de comunicación; menos de 500: informe anual al HHS.
- La PHI cifrada correctamente no es "no protegida"; por eso es importante el cifrado.