¿Qué es la Ley HIPAA?

La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) es una ley federal de Estados Unidos que protege la privacidad y seguridad de la información de salud de los pacientes.

Esta normativa otorga a los pacientes el derecho a controlar cómo se comparte su historial médico y obliga a los proveedores de atención médica y a otras entidades cubiertas a proteger los datos contra divulgaciones no autorizadas.

Para implementar esta ley, el Departamento de Salud y Servicios Humanos de EE. UU. (U.S. Department of Health and Human Services, HHS) desarrolló dos normas principales:

• Regla de Privacidad
• Regla de Seguridad de la Información.

A continuación, se explica qué protege la Ley HIPAA (Health Insurance Portability and Accountability Act en inglés), quiénes deben cumplirla, cuáles son los derechos del paciente y qué hacer si se viola la privacidad de sus datos.

¿Qué información protege la Ley HIPAA?

HIPAA protege lo que se considera como Información de Salud Protegida (PHI), que incluye:

• historial clínico y registros médicos,
• resultados de laboratorio,
• facturas médicas,
• y notas de conversaciones con su médico.

De acuerdo con HIPAA, el paciente tiene derecho a:

• Acceso a su información: Obtener copias físicas o digitales de sus registros. La entidad debe entregarlas en un plazo máximo de 30 días.
• Corrección de registros: Solicitar por escrito la corrección de datos incorrectos o incompletos o añadir una enmienda.
• Privacidad de la información reproductiva: La protección de datos sobre anticoncepción, aborto y otros cuidados reproductivos se reforzó con la Regla Final de Privacidad de HIPAA de 2024, para limitar su uso en investigaciones legales.
• Restricción de divulgación: Solicitar que cierta información no se comparta con el seguro médico; por ejemplo, si usted paga un servicio de su propio bolsillo.

HIPAA establece un estándar federal mínimo, pero algunos estados pueden ofrecer protecciones adicionales más estrictas.

¿Cómo se aplica la Ley HIPAA?

Las organizaciones que manejan información de salud protegida deben cumplir con las normas de HIPAA y adoptar prácticas de privacidad adecuadas. Además, deben designar un oficial de privacidad responsable del cumplimiento.

Sin embargo, no todas las personas que manejan datos de salud están sujetas a HIPAA. La ley se aplica principalmente a las entidades cubiertas, como:

1. Proveedores de atención médica: médicos, clínicas, psicólogos, dentistas y farmacias, especialmente quienes trabajan con información de salud protegida, transmitida de forma electrónica (ePHI por sus siglas en inglés).
2. Planes de salud: compañías de seguro médico (health plans), Medicare, Medicaid) y seguros de salud de empleadores.
3. Socios comerciales (business associates): Empresas externas que manejan datos de pacientes, como compañías de facturación, almacenamiento en la nube o ciertos servicios legales.

Los proveedores de servicios médicos y otras entidades cubiertas que no cumplan con las normas de HIPAA pueden enfrentar multas, sanciones civiles y, en casos graves, consecuencias penales supervisadas por la Oficina de Derechos Civiles (OCR) del HHS.

¿Por qué la Ley HIPAA es importante?

Las normas de seguridad y privacidad de HIPAA son importantes porque:

• reducen el fraude y abuso cuando se le ofrece atención médica,
• obligan que la industria de la salud y los proveedores médicos tengan protocolos estándares, para manejar la facturación y otros procesos,
• requiere un manejo confidencial de la información de sus pacientes.

Por ejemplo, usted probablemente no desea que sus archivos médicos sean utilizados sin su permiso para investigaciones, que sus facturas y deudas de salud sean reveladas libremente, ni que los problemas de salud de su hijo menor de edad sean conocidos en la escuela. HIPAA ayuda a evitar estos posibles abusos de divulgación.

¿Cuándo no se aplica la protección de HIPAA?

HIPAA permite ciertas divulgaciones de información que el proveedor de atención médica (health care provider) o la compañía de seguro de salud debe compartir por ley.

Por ejemplo, si el expediente médico de un niño indica lesiones por abuso infantil, en la mayoría de los estados, el proveedor de servicios médicos está obligado a reportar ese hecho a las autoridades.

Además, la información confidencial sobre la salud puede compartirse si el paciente dio autorización para liberarla. Pero en estos casos, el proveedor debe limitarse a divulgar la información necesaria para cumplir el propósito.

¿Qué hacer si “hackean” mis datos médicos?

Si sus datos médicos son robados o comprometidos, la Ley sobre Tecnología de la Información Sanitaria para la Salud Económica y Clínica (HITECH) refuerza las protecciones de HIPAA; incluidas la identidad y la información personal.

Cuando sus datos médicos caen en las manos equivocadas:

• La clínica o el seguro médico tiene la obligación legal de enviarle una carta o correo electrónico notificándole en un plazo de 60 días.
• La notificación debe explicar qué información fue comprometida y qué medidas se están tomando.
• Si aparecen cobros por servicios que no recibió, puede reportar cargos fraudulentos como robo de identidad médica.
• Si la brecha afecta a más de 500 personas, la ley obliga a la entidad a notificar a los medios de comunicación.

Si no recibe notificación, puede presentar una queja ante la Oficina de Derechos Civiles (OCR).

¿Qué hacer si se violan sus derechos amparados por HIPAA?

Cada entidad cubierta debe contar con un proceso para recibir quejas. Si cree que sus derechos se vulneraron, puede:

1. Presentar una queja interna con el oficial de privacidad de la entidad.
2. Presentar una queja formal ante la OCR, dentro de un plazo de 180 días desde el incidente.

Tenga en cuenta que la ley HIPAA no permite demandar directamente a un médico por una violación de privacidad. Sin embargo, podría presentar una demanda por lesiones personales en su estado si se produjo un daño.

Si sus derechos sobre información médica protegida fueron vulnerados, un abogado que trabaje con casos de seguros de salud o privacidad médica puede ayudarle a evaluar sus opciones y el proceso correspondiente.

Le recomendamos leer:

• Abogados de seguro de salud
• Seguros de salud para personas indocumentadas
• Intérpretes médicos: sus derechos como paciente