Las tres categorías de entidad cubierta
HIPAA no somete a sus reglas a toda organización que maneja datos de salud. Define tres categorías, y pertenecer a una de ellas activa el conjunto completo de obligaciones de privacidad y seguridad. La definición es funcional: una organización entra en la categoría por lo que hace con la información de salud, no por su forma jurídica ni su tamaño.
Los proveedores cuentan solo si transmiten información de salud por vía electrónica en transacciones estándar, como reclamaciones y consultas de elegibilidad. Una consulta que factura solo en papel no cumple la definición.
| Categoría | Quién entra | Condición clave |
|---|---|---|
| Proveedor de atención sanitaria | Médicos, clínicas, hospitales, farmacias, residencias | Transacciones estándar electrónicas |
| Plan de salud | Aseguradoras, HMO, Medicare, Medicaid, planes de empleador | Excluidos los pequeños planes que gestiona el empleador |
| Centro de proceso de datos sanitarios | Servicios de facturación, empresas de repreciación, redes de transacciones | Convierte datos de salud a formato estándar |
Entidades híbridas y el componente sanitario
Muchas organizaciones grandes realizan funciones cubiertas y no cubiertas, como una universidad con hospital docente o un minorista con farmacias. HIPAA permite que se designen entidad híbrida. En ese caso, solo se tratan como entidad cubierta los componentes que desempeñan funciones cubiertas y que figuran por escrito como componente de atención sanitaria.
La designación no es una salida. Un componente que factura reclamaciones electrónicamente sigue dentro del perímetro, porque las obligaciones siguen a los datos. Las funciones que se ejercen solo como empleador, como la nómina, quedan siempre fuera.
Quién no es entidad cubierta
Las exclusiones pesan tanto como la definición. Los datos que salen del mundo de HIPAA pueden caer bajo otro régimen jurídico o bajo ninguno. Estos son los casos más habituales:
- Empleadores en su papel de empleadores: Expedientes y nóminas no son PHI, aunque mencionen bajas
- Aseguradoras de accidentes laborales: Regidas por la ley estatal; no suelen ser planes de salud
- Aseguradoras de vida, auto e invalidez: Cubren riesgo financiero, no atención sanitaria
- La mayoría de clínicas escolares y de campus: Sus registros suelen regirse por FERPA, no por HIPAA
- Proveedores solo en papel: Sin vínculo electrónico con las transacciones estándar. Hoy, raros.
Entidad cubierta frente a business associate
La entidad cubierta y el business associate son los dos papeles centrales del modelo de datos de HIPAA. La diferencia está en el sentido del servicio. La entidad cubierta actúa en la relación sanitaria en nombre propio: atiende a pacientes, paga reclamaciones o procesa transacciones estándar. El business associate es una persona u organización ajena a la plantilla de la entidad cubierta que crea, recibe, mantiene o transmite PHI al prestarle un servicio, como facturación, transcripción, alojamiento o contabilidad.
Desde la ley HITECH, los business associates responden directamente ante los reguladores por muchos requisitos. La entidad cubierta conserva deberes propios: garantías por escrito antes de compartir PHI con un proveedor y notificación si el proveedor sufre una brecha. Una misma organización puede tener los dos papeles. Un hospital que factura reclamaciones de una clínica vecina es business associate de esa clínica y sigue siendo entidad cubierta para sus propios pacientes.
Obligaciones de la Privacy Rule
La Privacy Rule regula lo que una entidad cubierta puede hacer con PHI y reconoce a las personas derechos sobre su propia información. Deberes básicos:
- Usos y divulgaciones permitidos: PHI puede usarse para tratamiento, pago y operaciones sanitarias sin autorización del paciente. La mayoría de los demás fines, como marketing, venta de información o gran parte de la investigación, requieren autorización escrita.
- Mínimo necesario: cada uso o divulgación se limita al mínimo de PHI necesario, con excepciones estrechas, como las transferencias entre proveedores para tratamiento.
- Aviso de prácticas de privacidad: documento escrito que describe cómo la entidad usa y divulga PHI. Se entrega a los pacientes y está disponible a petición.
- Derechos de las personas: acceso a sus registros, rectificación, contabilidad de divulgaciones, solicitudes de restricción y comunicaciones confidenciales.
- Administración: un responsable de privacidad designado, formación y sanciones para el personal, tramitación de quejas y salvaguardas proporcionales al riesgo.
Security Rule y notificación de brechas
La Security Rule se aplica a la información de salud protegida electrónica (ePHI). Exige un programa documentado y basado en el riesgo, no una lista de comprobación fija. La entidad cubierta debe hacer análisis de riesgos periódicos y aplicar salvaguardas administrativas, físicas y técnicas. Entre las técnicas figuran el control de acceso según la necesidad de conocer, la identificación única de usuarios, los controles de auditoría, la protección de la integridad y el cifrado de ePHI en tránsito y en reposo.
La Breach Notification Rule añade un deber con plazos. Así funciona:
- 1
Presumir brecha
Un uso o una divulgación indebidos de PHI no protegida se presumen notificables.
- 2
Evaluar con cuatro factores
La presunción se mantiene, salvo que una evaluación documentada muestre baja probabilidad de compromiso.
- 3
Notificar a tiempo
Avisar a las personas y al regulador sin demora injustificada y como máximo 60 días después del descubrimiento.
Por dónde empezar
Empiece por comprobar cuál de las tres categorías le corresponde, porque todas las obligaciones posteriores dependen de esa respuesta. Después, enumere los proveedores que reciben PHI y los controles de confidencialidad que debe cumplir cada uno. Para ver en la práctica cómo proteger los datos de los pacientes, consulte protección de datos de pacientes en salud.
La categoría determina qué obligaciones se aplican, pero los datos determinan lo difícil que es cumplirlas.
Anexet Team