¿Qué es la HIPAA? Una explicación en lenguaje sencillo

La HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico) es una ley federal estadounidense de 1996 que establece normas nacionales para la protección de la información sanitaria de los pacientes y exige a las organizaciones sanitarias y a sus proveedores que la protejan. La mayoría de la gente da por sentado que la HIPAA solo se aplica a los hospitales y a los médicos. Sin embargo, la ley se extiende también a las empresas de facturación, los proveedores de TI, los proveedores de servicios en la nube y el servicio de fax que transmite una derivación.

El presidente Bill Clinton firmó la HIPAA el 21 de agosto de 1996 como Ley Pública 104-191. El Congreso y el Departamento de Salud y Servicios Humanos (HHS) la han actualizado en cuatro ocasiones: la Norma de Privacidad (2003), la Norma de Seguridad (2005), la Norma de Notificación de Violaciones (2009) y la Norma Ómnibus (2013). Una quinta actualización, la mayor revisión de la Norma de Seguridad en 20 años, figura en la agenda regulatoria de la OCR para mayo de 2026.

Esta guía explica qué es la HIPAA, cuáles son sus cuatro normas, qué se considera información médica protegida (PHI), quiénes están obligados a cumplirla, las sanciones por incumplirla, cómo se aplica la HIPAA al uso del fax, el correo electrónico, los SMS y Slack, y ofrece una lista de verificación inicial de ocho pasos. Léela una vez y sabrás si la HIPAA se aplica a tu organización y qué pasos debes seguir a continuación.

Definición de la HIPAA y breve reseña histórica (de 1996 hasta la actualidad)

La HIPAA se redactó inicialmente para ayudar a los trabajadores a conservar su seguro médico cuando cambiaban de empleo. Las normas de privacidad y seguridad que todo el mundo asocia hoy en día con ella se añadieron posteriormente.

Qué significa HIPAA

HIPAA son las siglas de la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996. El presidente Bill Clinton la firmó el 21 de agosto de 1996 como Ley Pública 104-191. La ley tenía cuatro objetivos originales: garantizar la portabilidad del seguro médico al cambiar de empleo, reducir el fraude y los abusos en la asistencia sanitaria, normalizar las transacciones sanitarias electrónicas y proteger la información sanitaria.

La parte relativa a la protección de la información sanitaria era la más breve de la ley original. El Congreso encargó al Departamento de Salud y Servicios Humanos (HHS) que elaborara posteriormente las normas concretas sobre privacidad y seguridad. Esas normas son a lo que la mayoría de la gente se refiere hoy en día cuando habla de la «HIPAA».

La evolución de la HIPAA: las cuatro actualizaciones principales

• La Norma de Privacidad (2003) estableció las primeras normas nacionales sobre quién puede utilizar y divulgar la información médica protegida (PHI) y otorgó a los pacientes derechos sobre sus historiales médicos.
• La Norma de Seguridad (2005) introdujo medidas de protección administrativas, físicas y técnicas para la información médica protegida (PHI) en formato electrónico.
• La Ley HITECH y la Norma sobre Notificación de Violaciones (2009) aumentaron la sanción máxima de 25 000 dólares al año a 1,5 millones de dólares al año, introdujeron la obligación de notificar las violaciones de datos e impulsaron la adopción de los historiales médicos electrónicos (HME) con 25 000 millones de dólares en incentivos. La Ley HITECH también otorgó a los fiscales generales estatales la autoridad para velar por el cumplimiento de la HIPAA.
• La Norma Ómnibus (2013) estableció la responsabilidad directa de los socios comerciales por las infracciones de la HIPAA e invirtió la carga de la prueba en materia de notificación de violaciones.

La situación de la HIPAA en 2025-2026

El Departamento de Salud y Servicios Humanos (HHS) propuso una importante actualización de la Norma de Seguridad en enero de 2025. Esta actualización haría obligatorias la autenticación multifactorial y el cifrado, y eliminaría la distinción entre especificaciones «obligatorias» y «recomendadas». Las estimaciones de costes del sector ascienden a 34 000 millones de dólares. La Oficina de Derechos Civiles mantuvo la finalización de la norma en su agenda regulatoria para mayo de 2026. Considere la autenticación multifactorial y el cifrado como requisitos obligatorios desde ahora para evitar problemas más adelante.

Explicación de las cuatro normas de la HIPAA

La gente habla de la «HIPAA» como si fuera una sola cosa. En realidad, se trata de cuatro normas interrelacionadas, y la mayoría de las infracciones se producen en los puntos de unión entre ellas.

Normativa sobre privacidad (2003)

La Norma de Privacidad define qué es la información médica protegida (PHI) y quién puede acceder a ella y en qué condiciones. Los pacientes tienen derecho a acceder a su historial médico, solicitar correcciones, obtener un registro de las divulgaciones realizadas y solicitar restricciones sobre el uso de su información. Los proveedores deben responder a las solicitudes de acceso en un plazo de 30 días, con la posibilidad de una prórroga de 30 días.

La Norma permite el uso de la información médica protegida (PHI) sin la autorización del paciente para fines de tratamiento, pago y operaciones sanitarias (la excepción «TPO»). Todo lo demás está sujeto al principio de «lo estrictamente necesario»: solo se divulgará lo que sea necesario para alcanzar el objetivo. El tratamiento es el único caso en el que se permite el traspaso de historiales completos entre proveedores.

Un caso clásico de incumplimiento de la normativa de privacidad: la consulta de un médico envía por fax el estado serológico respecto al VIH de un paciente a quien el personal cree que es su médico de cabecera, pero que resulta ser su empresa. Número equivocado, falta de controles mínimos necesarios y ausencia de verificación.

Norma de seguridad (2005)

La Norma de Seguridad se aplica únicamente a la información médica protegida en formato electrónico (ePHI). En ella se definen tres categorías de medidas de seguridad:

• Aspectos administrativos: análisis de riesgos, formación del personal, política de sanciones, gestión de accesos
• Físico: controles de acceso a las instalaciones, seguridad de los puestos de trabajo, eliminación de dispositivos
• Aspectos técnicos: controles de acceso, registros de auditoría, controles de integridad, cifrado de la transmisión

La distinción actual entre especificaciones «obligatorias» y «recomendadas» está a punto de desaparecer con la actualización propuesta para 2025. Las deficiencias en el análisis de riesgos son la causa principal de las sanciones. Estas aparecieron en 13 de las 22 resoluciones de la OCR cerradas en 2024.

Norma sobre notificación de violaciones de seguridad (2009, en virtud de la ley HITECH)

En caso de que se produzca una filtración de información médica protegida (PHI) no protegida, las entidades afectadas deben notificarlo a tres grupos:

• Las personas afectadas en un plazo de 60 días
• HHS (de forma inmediata en caso de filtraciones que afecten a 500 personas o más; en un plazo de 60 días a partir del cierre del ejercicio en caso de filtraciones de menor alcance)
• Los principales medios de comunicación, si se ven afectados 500 o más residentes de un mismo estado

El cifrado ofrece una protección adicional. La pérdida o el robo de datos debidamente cifrados no da lugar a la obligación de notificarlo. El acuerdo de 1,5 millones de dólares alcanzado por Warby Parker en 2025 se debió a incumplimientos tanto de la Norma de Seguridad como de la Norma de Notificación de Violaciones, tras un ataque de «credential stuffing» que dejó al descubierto los datos de las recetas oftalmológicas de los clientes.

Existen tres excepciones a la violación de la confidencialidad: el acceso involuntario por parte de un empleado autorizado, la divulgación involuntaria entre dos personas autorizadas y la divulgación a una parte que no pudiera conservar razonablemente la información.

Norma general (2013)

La Norma Ómnibus estableció que los socios comerciales y sus subcontratistas son directamente responsables en lo que respecta a la HIPAA. Antes de 2013, solo las entidades cubiertas podían ser sancionadas.

La Ley Ómnibus también invirtió la carga de la prueba en lo que respecta a las violaciones de la seguridad. Ahora se presume que cualquier uso o divulgación no autorizados por la Norma de Privacidad constituye una violación de la seguridad, a menos que la entidad afectada pueda demostrar que existe una baja probabilidad de que la información médica protegida se haya visto comprometida, mediante una evaluación de riesgos basada en cuatro factores.

¿Qué es la información médica protegida (PHI)? Los 18 identificadores que activan la HIPAA

La información médica protegida (PHI) es cualquiera de los 18 identificadores específicos relacionados con la salud, la atención médica o el pago de la atención médica de una persona. Si se eliminan correctamente los 18 identificadores, los datos quedan anonimizados, lo que significa que dejan de ser información médica protegida (PHI).

Los 18 identificadores de la HIPAA

1. Nombres
2. Datos geográficos de una extensión inferior a la de un estado
3. Todas las fechas, excepto el año, relacionadas con una persona
4. Números de teléfono
5. Números de fax
6. Direcciones de correo electrónico
7. Números de la Seguridad Social
8. Números de expediente médico
9. Número de afiliados a planes de salud
10. Números de cuenta
11. Números de certificado o licencia
12. Identificadores de vehículos, incluidas las matrículas
13. Identificadores de dispositivos y números de serie
14. Direcciones URL
15. Direcciones IP
16. Identificadores biométricos, como las huellas dactilares y las huellas vocales
17. Fotografías de rostro completo e imágenes similares
18. Cualquier otro número, característica o código de identificación único

Cuando los mismos datos NO constituyen información médica protegida

Los identificadores sin un contexto sanitario no constituyen información médica protegida (PHI). El nombre de un cliente en la lista de correo de un minorista es solo un nombre. Un contexto sanitario sin identificadores tampoco constituye PHI. Las estadísticas hospitalarias agregadas y debidamente anonimizadas quedan fuera del ámbito de aplicación de la HIPAA. Ambos elementos deben estar presentes al mismo tiempo para que se aplique la ley. El nombre de un paciente junto con un diagnóstico constituye PHI. Un diagnóstico sin ningún identificador no lo constituye.

¿Quién debe cumplir con la HIPAA (y quién no)?

Tus datos de Fitbit no están protegidos por la HIPAA. Probablemente, el programa de bienestar de tu empresa tampoco lo esté. La HIPAA se aplica a una lista concreta de organizaciones, y esa lista es más reducida de lo que la mayoría de la gente cree.

Entidades afectadas (EA)

Una entidad sujeta a la HIPAA se clasifica en una de estas tres categorías:

1. Planes de salud: aseguradoras, organizaciones de atención médica integrada (HMO), Medicare, Medicaid y planes de salud colectivos de empresas. La mayoría de los planes de salud colectivos de empresas están sujetos a la HIPAA, independientemente de su tamaño. La única excepción son los planes de salud colectivos autogestionados con menos de 50 afiliados, que quedan excluidos de la HIPAA. Si el plan lo gestiona una aseguradora o un administrador externo, está sujeto a la HIPAA.
2. Centros de intercambio de información sanitaria: entidades que convierten datos no estandarizados en transacciones electrónicas estandarizadas.
3. Los proveedores de atención sanitaria que transmitan cualquier tipo de información sanitaria por vía electrónica en relación con una transacción cubierta (solicitudes de reembolso, comprobaciones de cobertura, derivaciones).

El requisito de las transacciones electrónicas es la razón por la que casi todos los proveedores actuales están cubiertos. En cuanto se envíe una factura al seguro por vía electrónica o se remita una derivación electrónica, ya se cumple el requisito.

Business (BA)

Un socio comercial es cualquier persona u organización que desempeña una función en nombre de una entidad sujeta a la normativa y que implique el manejo de información médica protegida (PHI). Ejemplos habituales: empresas de facturación, proveedores de TI, proveedores de almacenamiento en la nube, servicios de trituración de documentos, bufetes de abogados con acceso a PHI, servicios de transcripción y proveedores de fax que cumplen con la HIPAA.

Desde la entrada en vigor de la Norma Ómnibus de 2013, los socios comerciales son directamente responsables ante la OCR. Es necesario firmar un acuerdo Business (BAA) antes de que la información médica protegida (PHI) cambie de manos. Gulf Coast Pain Consultants pagó 1,19 millones de dólares después de que un contratista conservara el acceso al sistema tras la rescisión de su contrato y presentara reclamaciones fraudulentas a Medicare, lo que pone de manifiesto lo que ocurre cuando fallan los controles de acceso de los socios comerciales.

¿Quién NO está amparado por la HIPAA?

• Empleadores que gestionan información sanitaria de los empleados fuera del ámbito de un plan de salud colectivo (en estos casos se aplican la ADA y la FMLA)
• Aplicaciones de fitness para consumidores que no venden sus datos a terceros, como Fitbit, Apple Health y MyFitnessPal (en estos casos se aplica la Norma de Notificación de Violaciones de Datos Sanitarios de la FTC)
• Centros educativos y universidades (la ley FERPA regula los expedientes académicos)
• Las aseguradoras de vida, las aseguradoras de accidentes laborales y la mayoría de las aseguradoras de incapacidad
• Fuerzas del orden
• Empresas de análisis de marketing que no tienen acceso a información médica protegida

La HIPAA y los canales de comunicación: fax, correo electrónico, SMS, Slack, videoconferencia

Una clínica dental de Texas tuvo que pagar 10 000 dólares porque un empleado respondió a una reseña de una estrella en Yelp revelando datos personales de un paciente. La HIPAA se aplica al mensaje, no al medio. Cada canal que utilice su personal para transmitir información médica protegida (PHI) requiere su propia solución.

La matriz de cumplimiento

‍

El fax: sigue siendo el caballo de batalla del sector sanitario

En virtud de la excepción de «canal de transmisión», la empresa de telecomunicaciones no se considera un socio comercial cuando transmite un fax, ya que nunca revisa ni almacena el contenido. Esto hace que el fax tradicional se mantenga dentro de los canales permitidos por la HIPAA.

El fax analógico presenta dos problemas prácticos. No deja rastro de auditoría, y un solo dígito erróneo puede revelar información médica protegida (el incidente del estado serológico respecto al VIH al empleador). Un servicio de fax en la nube que cumple con la HIPAA Fax.Plus como Fax.Plus un acuerdo de confidencialidad (BAA) en su Enterprise , cifra el tráfico tanto en tránsito como en reposo, registra cada envío y recepción, y permite al personal enviar faxes desde el correo electrónico o un navegador web. El personal puede enviar faxes directamente desde el correo electrónico sin salir del flujo de trabajo que ya utiliza.

Correo electrónico y mensajería

El correo electrónico gratuito para particulares es la infracción silenciosa más habitual de la HIPAA. Gmail, Outlook.com, Yahoo e iCloud no firman un acuerdo de cuenta de negocios (BAA) en sus planes gratuitos. Las versiones de pago de Google Workspace y Microsoft 365 cumplen con la HIPAA, pero solo tras firmar el BAA y aplicar una configuración de seguridad estricta (desactivar el acceso de aplicaciones de terceros, activar el registro de auditoría y exigir la autenticación de dos factores).

Los SMS estándar no cumplen con la normativa. Los operadores no firman acuerdos de divulgación de información (BAA) y los mensajes se almacenan sin cifrar en los dispositivos y en los sistemas de los operadores. En su lugar, utiliza una aplicación de mensajería que cumpla con la HIPAA.

Vídeo y colaboración

Las cuentas personales de FaceTime y Zoom ya no son válidas. Ahora se utilizan Zoom for Healthcare, Doxy.me y Microsoft Teams con un acuerdo de confidencialidad y responsabilidad, BAA). Slack requiere Enterprise para firmar un BAA. Los espacios de trabajo estándar de Slack, por muy bien configurados que estén, no cumplen con la HIPAA.

Infracciones de la HIPAA y sanciones: cuánto cuesta el incumplimiento

En 2024, la Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos (HHS) cerró 22 procedimientos sancionadores por un valor de 9,9 millones de dólares. En 13 de ellos se identificó la misma causa principal: «no haber realizado un análisis de riesgos adecuado».

Niveles de sanciones administrativas (2026)

• Nivel 1 (desconocimiento): de 145 a 73 011 dólares por infracción, hasta un máximo de 2 190 294 dólares al año
• Nivel 2 (motivo justificado): de 1.461 a 73.011 dólares por infracción
• Nivel 3 (incumplimiento deliberado, subsanado en un plazo de 30 días): entre 14 618 y 73 011 dólares por infracción
• Nivel 4 (negligencia deliberada, sin subsanar): de 73 011 a 2 190 294 dólares por infracción

Sanciones penales

La OCR remite los casos penales al Departamento de Justicia, que se encarga de su enjuiciamiento. Obtención o divulgación deliberada de información médica protegida (PHI): hasta 50 000 dólares y un año de prisión. Bajo falsos pretextos: hasta 100 000 dólares y cinco años de prisión. Con la intención de vender, transferir o utilizar dicha información para obtener un beneficio comercial o causar un daño malicioso: hasta 250 000 dólares y diez años de prisión.

Casos reales de ejecución de la ley 2024-2025

• Warby Parker, 1,5 millones de dólares (2025): ataque de suplantación de credenciales; el minorista de gafas era una entidad afectada
• Centro Médico Montefiore, 4,75 millones de dólares: un empleado robó más de 12 000 registros; controles de auditoría deficientes
• Enzo Biochem, 4,5 millones de dólares: la exposición al ransomware se atribuyó al uso de credenciales compartidas y a una contraseña con una década de antigüedad
• Gulf Coast Pain Consultants, 1,19 millones de dólares: un contratista despedido conservó el acceso al sistema y presentó reclamaciones fraudulentas a Medicare
• Clínica dental de Texas, 10 000 dólares: el propietario respondió a una reseña de Yelp revelando datos personales de un paciente

La Iniciativa sobre el Derecho de Acceso de la OCR ha dado lugar a 54 medidas coercitivas desde 2019, con multas que oscilan entre los 3.500 y los 160.000 dólares para los proveedores que no facilitaron la documentación a tiempo.

¿Quién se encarga de hacer cumplir la HIPAA?

La Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos (HHS) se encarga de la aplicación de la normativa civil. Los fiscales generales estatales también pueden interponer acciones en virtud de la HIPAA (la ley HITECH les otorgó esa competencia en 2009). El Departamento de Justicia se encarga de la persecución de los delitos penales. La Comisión Federal de Comercio (FTC) vela por el cumplimiento de la Norma de Notificación de Violaciones de la Privacidad en el Ámbito Sanitario en el caso de las aplicaciones de salud no sujetas a la HIPAA, como los dispositivos de seguimiento de la actividad física.

Leyes estatales que van más allá de la HIPAA

La HIPAA es la normativa federal mínima. Algunos estados han ido más allá, y la legislación estatal prevalece cuando es más estricta.

• La ley CMIA de California: amplía la definición de «información médica», se aplica a un mayor número de tipos de entidades, otorga a los pacientes el derecho de acción privada para demandar directamente y exige el acceso a los registros en un plazo de 5 días, frente a los 30 días que establece la HIPAA.
• Proyecto de ley HB 300 de Texas: amplía el concepto de «entidad sujeta a la normativa» para incluir, en esencia, a cualquier persona que maneje información médica protegida (PHI) en Texas; exige la formación bienal del personal en un plazo de 90 días desde la contratación; y autoriza al Fiscal General a imponer multas de hasta 1,5 millones de dólares al año.
• La MHMDA de Washington: la ley de privacidad sanitaria de los consumidores más amplia de Estados Unidos. Abarca los datos de los dispositivos de seguimiento de la actividad física, las aplicaciones de seguimiento del ciclo menstrual y la información de las aplicaciones de bienestar que la HIPAA excluye de su ámbito de aplicación, y reconoce el derecho de acción privada.

La Ley SHIELD de Nueva York y la Ley de Privacidad de la Información Genética de Illinois refuerzan la protección en sus respectivos estados.

Si la legislación estatal es más estricta que la HIPAA, se aplicará la legislación estatal. Si la HIPAA es más estricta, prevalecerá esta última. Compara ambas normativas para cada estado en el que manejes información médica protegida (PHI).

Cómo empezar a cumplir con la HIPAA: una lista de verificación práctica

El cumplimiento de la HIPAA no es algo que se «termine» de una vez por todas. Se trata de un proceso continuo. Se puede poner en marcha un programa sólido siguiendo ocho pasos.

Lista de verificación inicial de la HIPAA en 8 pasos

1. Determina tu situación. ¿Eres una entidad sujeta a la normativa, un socio comercial o ninguna de las dos cosas? La respuesta determinará todos los pasos posteriores.
2. Realice un análisis de riesgos de seguridad (SRA). Esta es la deficiencia más citada por la OCR (13 de 22 en 2024). Haga un inventario de todos los lugares donde se almacena la información médica protegida (PHI), todos los sistemas que interactúan con ella y todas las amenazas.
3. Nombra a un responsable de protección de datos y a un responsable de seguridad. En las organizaciones pequeñas, estas funciones pueden recaer en una misma persona. Establece estas funciones por escrito.
4. Redacta las políticas necesarias: políticas de privacidad, políticas de seguridad, un plan de respuesta ante violaciones de seguridad, una política de sanciones y una política de dispositivos. Las plantillas genéricas son un punto de partida, no el punto de llegada.
5. Firma acuerdos de confidencialidad (BAA) con todos los proveedores que tengan acceso a información médica protegida (PHI). Proveedor de correo electrónico, almacenamiento en la nube, servicio de fax (Fax.Plus Enterprise un BAA), empresa de facturación, soporte informático, servicio de transcripción. Sin BAA, no hay PHI.
6. Forma a tu personal. Formación inicial al incorporarse, cursos de actualización periódicos y formación específica para cada puesto, tanto para el personal clínico como para el de TI. Documenta la asistencia.
7. Implementar medidas de seguridad técnicas. Controles de acceso basados en roles, registros de auditoría, cifrado en tránsito y en reposo, y autenticación multifactorial (MFA) en todas las cuentas que manejen información médica protegida (PHI).
8. Elabora un manual de respuesta ante violaciones de seguridad. El proceso de evaluación de riesgos de cuatro factores, un plazo de notificación de 60 días, una lista de contactos de la OCR y de los fiscales generales estatales, y un simulacro al menos una vez al año.

‍