HIPAA tiene consecuencias reales para las organizaciones y para las personas. Saber cómo se tratan las infracciones —y cómo notificar un problema— protege a los pacientes, a su organización y a usted.
Quién hace cumplir HIPAA
- La Oficina de Derechos Civiles (OCR) del HHS hace cumplir las Reglas de Privacidad, de Seguridad y de Notificación de Violaciones de Seguridad. Investiga las quejas de pacientes y otras personas, revisa las notificaciones de violaciones de seguridad y realiza revisiones de cumplimiento.
- La mayoría de los casos de la OCR terminan con la organización corrigiendo el problema. En los casos graves, la OCR puede firmar un acuerdo de resolución con un pago y un plan de acción correctiva de varios años, o imponer sanciones monetarias civiles.
- Los fiscales generales de los estados también pueden presentar demandas civiles por infracciones de HIPAA que afecten a residentes de su estado.
- Los casos penales los lleva el Departamento de Justicia de los EE. UU. (DOJ).
Sanciones civiles
Las sanciones monetarias civiles se fijan en cuatro niveles, según el grado de culpa:
- la organización no sabía de la infracción y, actuando con una diligencia razonable, no la habría conocido;
- la infracción se debió a una causa razonable, no a una negligencia deliberada;
- negligencia deliberada que se corrigió dentro de los 30 días siguientes a la fecha en que la organización la conoció o debió conocerla;
- negligencia deliberada que no se corrigió en un plazo de 30 días.
Cada nivel tiene un mínimo y un máximo por infracción y un máximo para infracciones idénticas en un año calendario. Cuanto más alto es el nivel, mayor es la sanción. Los importes en dólares se ajustan por inflación cada año y los publica el HHS, así que consulte las cifras vigentes en hhs.gov o en el Federal Register en lugar de fiarse de un número que recuerde.
Sanciones penales
Una persona que a sabiendas obtiene o divulga información de salud que identifica a una persona infringiendo HIPAA puede ser procesada. Según la ley federal (42 U.S.C. 1320d-6), las sanciones máximas aumentan con la gravedad de la conducta:
- obtener o divulgar a sabiendas — multas de hasta $50,000 y hasta 1 año de prisión;
- con falsos pretextos — hasta $100,000 y hasta 5 años;
- con la intención de vender, transferir o usar la información para obtener una ventaja comercial, un beneficio personal o causar un daño malintencionado — hasta $250,000 y hasta 10 años.
Se ha procesado a miembros del personal a título individual; por ejemplo, por vender información de pacientes o por consultar expedientes para perjudicar a alguien.
Consecuencias en el trabajo
Las entidades cubiertas deben tener y aplicar sanciones a los miembros del personal que infrinjan las políticas de privacidad. Según la infracción, las sanciones van desde una nueva capacitación y advertencias hasta la suspensión y el despido. Las juntas de licencias profesionales también pueden tomar medidas.
Notificar incidentes
Toda entidad cubierta debe designar un oficial de privacidad y un oficial de seguridad (a veces es la misma persona). Notifíqueles a ellos, o por el canal que establezca su organización, cada vez que vea o cause:
- un fax, un correo electrónico o una carta enviados por error;
- la pérdida o el robo de una computadora portátil, un teléfono, una credencial o documentos en papel;
- un clic en un enlace de phishing o una contraseña compartida;
- a alguien consultando expedientes que no necesita;
- PHI que queda a la vista del público o que se tira a la basura común.
Notifíquelo con prontitud, aunque no esté seguro de que sea una infracción e incluso si usted cometió el error. La organización debe evaluar el hecho, mitigar los efectos perjudiciales en la medida de lo posible y cumplir unos plazos que quizá ya estén corriendo. No investigue por su cuenta, no borre pruebas ni se ponga en contacto con las personas afectadas salvo que se lo indiquen.
Prohibición de represalias
Una entidad cubierta no puede intimidar, amenazar, discriminar ni tomar represalias contra nadie por ejercer sus derechos según HIPAA, presentar una queja o participar en una investigación. Los miembros del personal también pueden presentar una queja directamente ante la OCR. Notificar con honestidad y prontitud es lo que las reglas esperan de usted; ocultar un error es lo que lo empeora.
Situaciones prácticas
Un error a altas horas de la noche. Al final de un turno largo se da cuenta de que imprimió una lista de pacientes y la dejó en un baño público. Vuelva, recójala si puede y notifíquelo. Reconocer el error rápidamente da a la organización la mejor oportunidad de limitar el daño.
Presión para no notificar. Un supervisor le dice que "no diga nada" sobre un fax enviado por error para que la unidad no quede mal. HIPAA espera que los incidentes se notifiquen y se evalúen. Use otro canal —el oficial de privacidad, una línea directa de cumplimiento o la OCR— y recuerde que las represalias por notificar están prohibidas.
La queja de una paciente. Una paciente le dice que quiere presentar una queja sobre cómo se manejó su información. Dígale que puede quejarse ante la organización (dele los datos de contacto del oficial de privacidad que figuran en el Aviso de Prácticas de Privacidad) y ante la OCR. Nunca desanime a nadie a presentar una queja.
Puntos clave
- La OCR hace cumplir las reglas de HIPAA; el DOJ procesa los casos penales; los fiscales generales de los estados también pueden demandar.
- Las sanciones civiles se dividen en cuatro niveles según el grado de culpa, con importes que se ajustan por inflación cada año.
- Obtener o divulgar PHI a sabiendas puede ser un delito federal; venderla puede castigarse con hasta 10 años.
- Notifique los incidentes con prontitud a su oficial de privacidad o de seguridad; las represalias por notificar están prohibidas.