La atención sanitaria es una de las industrias más reguladas en lo que respecta a la protección de la información privada. Los pacientes y los empleados han llegado a esperar que los médicos y otras empresas de atención médica tengan medidas adecuadas para proteger sus datos personales. Las empresas también pueden estar sujetas a las normas de privacidad que se enmarcan en la Ley de Portabilidad y Responsabilidad de los Seguros Médicos (HIPAA) si se consideran una entidad cubierta o un asociado comercial, o a través de la administración de un plan de salud de grupo. Los empresarios deben conocer las normas aplicables de la HIPAA -especialmente durante las emergencias de salud pública como la pandemia de COVID-19 (coronavirus)- y poner en marcha las herramientas y protocolos correctos para proteger la información sanitaria de sus empleados.
¿Qué significa la HIPAA?
La HIPAA es la normativa establecida por la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996. Según el Departamento de Salud y Servicios Humanos (HHS) de EE.UU., la HIPAA permite compartir la información necesaria para garantizar que las personas reciban una atención sanitaria de alta calidad, al tiempo que se protege su derecho a la privacidad. Cualquier proveedor o empresa con acceso a información sanitaria protegida debe poner en marcha medidas para cumplir con la HIPAA.
¿Cuáles son algunos conceptos erróneos sobre la HIPAA?
Existen algunos mitos sobre las normas de la HIPAA para las empresas. El HHS aclara en su sitio que la HIPAA no:
- Impedir que un empleador pida una nota del médico para una ausencia, aunque esta práctica puede crear otras exposiciones para los empleadores.
- Afectar su capacidad para solicitar la información necesaria para administrar los programas de beneficios, tales como la cobertura de salud, las reclamaciones de compensación de los trabajadores, o la licencia por enfermedad, aunque los empleadores deben considerar otros factores de riesgo en torno a este tipo de solicitudes.
- Cubrir toda la información de beneficios de los empleados. Por ejemplo, los seguros de vida de los empleados, las indemnizaciones por incapacidad y por accidente de trabajo y los programas de bienestar no suelen estar cubiertos por esta legislación.
- Cubre la protección de los datos mantenidos en los registros de empleo, sólo los registros médicos o del plan de salud de los empleados que participan como miembros del plan de salud de la empresa.
- Incidentes de hacking/IT: Acceso indebido a los datos como resultado de una intrusión externa en forma de malware u otras irrupciones en el sistema.
- Robo/pérdida: Por ejemplo, cuando los dispositivos que almacenan información sanitaria protegida se pierden accidentalmente o son robados.
- Acceso/divulgación no autorizada: La divulgación de la información privada de un individuo a una entidad sin la debida aprobación para recibir dicha información.
- Eliminación indebida: Cuando la información de salud protegida se elimina sin la aplicación de salvaguardias razonables, como la trituración de documentos en papel.
- Por indicación de las autoridades de salud pública, agencias gubernamentales extranjeras;
- Personas con riesgo de contraer o propagar la enfermedad; y
- Miembros de la familia de un paciente, parientes, amigos u otras personas involucradas en el cuidado del paciente;
El propósito de la HIPAA en el lugar de trabajo
Las regulaciones de la HIPAA se utilizan en el lugar de trabajo para proteger la salud y los registros médicos de los empleados que participan en un plan de salud patrocinado por el empleador. Las leyes regulan la forma en que la información de salud protegida de los individuos mantenida por un plan de salud puede ser compartida con los empleadores.
¿Qué organizaciones se ven afectadas por la HIPAA?
Hay dos tipos de organizaciones que están sujetas a la HIPAA: las entidades cubiertas y los asociados comerciales. Los planes de salud patrocinados por los empleadores se consideran entidades cubiertas. Por lo tanto, el intercambio de información entre los empleadores y los planes de salud puede estar sujeto a salvaguardias adicionales en comparación con otros planes de beneficios.
Entidades cubiertas
Se refiere a las organizaciones de atención médica, incluidos, entre otros, los proveedores de atención médica, los hospitales, los planes de salud patrocinados por el empleador y las farmacias.
Asociados comerciales
Esta es una categoría que se refiere a cualquier persona o empresa que presta servicios a las entidades cubiertas u otros asociados comerciales o que trabaja con ellos. Si realiza servicios en nombre de una entidad cubierta o de un asociado comercial que implica el uso o la divulgación de información sanitaria protegida (PHI), y entra en categorías como las de proveedores de servicios (por ejemplo, contables), consultores o soporte técnico (como el almacenamiento en la nube), es probable que su contrato de asociado comercial contenga disposiciones relacionadas con la HIPAA.
¿Se aplica la HIPAA a todos los empleadores?
Debido a las complejidades de las regulaciones de la HIPAA, los empleadores son sabios al asumir que si poseen información de salud sobre los empleados, necesitarán dedicar tiempo a asegurar el cumplimiento. La HIPAA impone una serie de requisitos, pero las disposiciones que son relevantes para todas las entidades sujetas pertenecen a la seguridad y privacidad de la información relacionada con la salud. Al comprender las normas aplicables de la HIPAA para los empleadores, es posible identificar sus riesgos potenciales y poner en marcha un plan para ayudar a mitigar su exposición.
Cumplir con la HIPAA
Aunque la intención principal de la HIPAA es mejorar la portabilidad y la continuidad de los planes de seguro de salud, los empleadores deben familiarizarse con la ley y las áreas potenciales que pueden afectarles. El cumplimiento de la HIPAA por parte de los empleadores a menudo puede dar lugar a una mayor seguridad de los datos y a procesos estandarizados que benefician a los procedimientos de administración de beneficios de un empleador.
¿Cuáles son algunas de las violaciones más comunes de la HIPAA?
Los incidentes reportados se clasifican generalmente por los siguientes tipos:
Reglas de la HIPAA para los empleadores
Hay cinco reglas a las que hay que prestar mucha atención en la ley HIPAA, y los empleadores deben tenerlas en cuenta cuidadosamente a la hora de cumplirla.
Regla de privacidad e información de salud personal
La HIPAA define la PHI de forma amplia. Sin embargo, suele incluir información demográfica y de contacto, como el nombre y la dirección; y un número de la Seguridad Social que se relaciona con el estado de salud pasado, presente o futuro de una persona. También se refiere a los pagos realizados por la prestación de asistencia sanitaria. Además, la HIPAA define específicamente con quién puede compartirse la información sanitaria protegida. Principalmente, las entidades cubiertas y los asociados comerciales pueden compartir la información sanitaria protegida sólo con la persona en cuestión; para el tratamiento, la facturación y las operaciones de atención sanitaria; a los difuntos en caso de muerte; a un representante personal designado; o en respuesta a una orden judicial. Las normas de la HIPAA exigen que las entidades cubiertas notifiquen las prácticas de privacidad y el modo en que se puede utilizar o compartir la PHI. La ley es muy específica en cuanto a los derechos del paciente, lo que debe incluirse y cuándo debe presentarse la información.
Regla de seguridad electrónica
Esta regla requiere que se establezcan salvaguardas físicas, técnicas y administrativas para proteger la información sanitaria de los individuos. La responsabilidad recae sobre las entidades cubiertas y sus asociados comerciales para asegurar la información sanitaria protegida en formato electrónico. Se espera que las organizaciones tomen las medidas necesarias para garantizar la privacidad, la protección contra las amenazas, el cumplimiento por parte de los empleados y la protección contra usos o divulgaciones electrónicas prohibidas. Los organismos reguladores se toman muy en serio el cumplimiento de la normativa, con sanciones que pueden llegar a los 50.000 dólares por infracción y la posibilidad de emprender acciones legales en casos graves.
Regla de notificación de infracciones
En virtud de esta norma, las entidades cubiertas y los asociados comerciales están obligados a informar de cualquier infracción que comprometa la información sanitaria protegida de una persona. En caso de que se produzca una infracción, se debe notificar debidamente a los individuos afectados, y la entidad cubierta debe presentar copias de las notificaciones al secretario del HHS.
Reglamento de simplificación administrativa
Las disposiciones de simplificación administrativa estandarizan el intercambio electrónico de información sanitaria. Se establecieron normas nacionales para las transacciones electrónicas, los conjuntos de códigos y los identificadores únicos. Los empleadores deben utilizar su número de identificación patronal utilizado para la declaración de impuestos como su identificador para todas las transacciones de la HIPAA.
Reglamento Omnibus
Esta norma amplió la responsabilidad de los asociados comerciales e instituyó mayores sanciones por incumplimiento. Las normas adicionales impiden que se comparta cierta información sobre el plan de salud de un empleado cuando éste paga los servicios médicos de su bolsillo. Las empresas que puedan definirse como asociados comerciales tendrán que entender cómo han cambiado sus responsabilidades y hacer los ajustes pertinentes en sus políticas o procedimientos de la HIPAA.
¿Se aplica la HIPAA a los empleadores durante la pandemia de la COVID-19?
Aunque los requisitos de la HIPAA siguen aplicándose incluso durante una emergencia de salud pública, los empleadores pueden estar autorizados a revelar la PHI a ciertas personas sin el permiso de un empleado o paciente. A la luz de la actual pandemia de COVID-19, el HHS esbozó estas entidades en un boletín de febrero de 2020, e incluyen:
Los empleadores deben tener en cuenta que pueden aplicarse otras normas estatales o federales.
Consideraciones de la HIPAA para los empleados
Los empleados con acceso a información sanitaria protegida deben ser educados en sus responsabilidades y recibir información sobre cómo informar de una presunta infracción. Para reducir el riesgo de que se produzca una infracción de la HIPAA, la formación de los empleados debe incluir lo siguiente:
- No comparta nunca su contraseña.
- No transmita nunca información sensible a través de mensajes de texto.
- Compruebe las credenciales de identificación u otra información de quienes solicitan información sanitaria privada.
- Nunca abandone su área de trabajo sin bloquear su pantalla o asegurar los datos.
Cumplimiento de la HIPAA para su empresa
El cumplimiento de la HIPAA para los empleadores es fundamental, tanto si son una entidad cubierta o un asociado comercial, como si ofrecen un plan de salud de grupo, o si operan durante una emergencia de salud pública. Abordar la HIPAA de forma proactiva incluye beneficios como la mejora de la seguridad de los datos y un flujo de información más eficiente derivado del uso de procedimientos e identificadores de datos estandarizados.
Si su empresa opera en el espacio de la sanidad o trabaja contractualmente con una empresa que lo hace, es importante que determine sus obligaciones y exposición al riesgo de la HIPAA. Un profesional de RRHH o un abogado de empresa con experiencia puede ayudarle a mapear los riesgos, así como a desarrollar e implementar un plan para cumplir con la normativa.