Enviar información de pacientes por fax es una práctica habitual en el ámbito sanitario, y HIPAA lo permite. Lo que exige la ley son las medidas de protección adecuadas en cada fax. Esta guía explica esas medidas en lenguaje sencillo, cómo cumplirlas con un servicio de fax en línea y qué cambia en su cuenta cuando el modo HIPAA está activado.
- HIPAA permite enviar PHI por fax con medidas de protección razonables y un BAA firmado con su proveedor.
- En Fax.Plus, el envío de fax conforme a HIPAA forma parte de Enterprise, con Advanced Security Controls aplicados a toda la cuenta.
- El modo HIPAA activa las notificaciones por correo electrónico sin archivos adjuntos. Los adjuntos opcionales requieren el consentimiento del administrador, la activación individual y TLS 1.2 o superior en el servidor de correo receptor. Zapier se desactiva; la API, el streaming y los webhooks siguen funcionando.
¿Está permitido enviar fax según HIPAA?
Sí. El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) confirma que un proveedor puede enviar por fax información de salud protegida a otro proveedor con fines de tratamiento. La información de salud protegida (PHI) es cualquier información de salud que pueda identificar a un paciente, desde un diagnóstico hasta una fecha de nacimiento.
Lo que HIPAA exige es diligencia, no una tecnología concreta. El HHS remite al artículo 45 CFR 164.530(c), el requisito de medidas de protección de la Regla de Privacidad, y ofrece ejemplos sencillos: confirmar el número de fax antes de enviar y mantener el aparato de fax en un lugar al que no puedan acceder personas no autorizadas.
¿Qué exige HIPAA cuando se envía un fax?
HIPAA describe las medidas de protección en tres grupos. Esto es lo que significa cada uno para el envío de fax.
Medidas administrativas. Políticas y personas. Decida quién puede enviar y recibir PHI por fax, forme a esas personas y confirme los números de los destinatarios antes de enviar. Envíe únicamente la información que el destinatario necesita.
Medidas físicas. Dónde acaban los documentos. Un fax en papel olvidado en una bandeja compartida es el riesgo clásico. Con el fax en línea, el equivalente es asegurarse de que los faxes lleguen a una bandeja de entrada protegida en lugar de a un aparato o a un buzón compartido.
Medidas técnicas. Cómo se protegen los datos en los sistemas. Incluyen el cifrado, el acceso único por usuario y los registros de auditoría que muestran quién envió, recibió o consultó un fax.
Muchas organizaciones también utilizan una portada con un aviso de confidencialidad. HIPAA no la exige de forma expresa, pero es una práctica habitual. Fax.Plus ofrece una plantilla de portada de fax conforme a HIPAA gratuita.
¿Qué cambia al utilizar un servicio de fax en línea?
Cuando un proveedor almacena o transmite PHI en su nombre, pasa a ser su asociado comercial. HIPAA exige entonces un Business Associate Agreement (BAA): un contrato en el que el proveedor se compromete a proteger la PHI que gestiona para usted. Sin un BAA, enviar PHI a través del servicio no cumple la normativa, por muy seguro que sea el servicio.
También conviene que las medidas técnicas estén integradas. En el plan Enterprise de Fax.Plus, esto incluye:
- Cifrado AES-256 para los faxes almacenados y cifrado TLS en tránsito
- Acceso basado en roles, para que los miembros vean únicamente lo que permite su rol
- Autenticación de dos factores, que los administradores pueden exigir al equipo
- Registros de auditoría de la actividad de la cuenta y de los faxes
- La posibilidad de elegir dónde se almacenan los datos de sus faxes, incluidos Estados Unidos y Canadá
No existe una certificación oficial de HIPAA, ni para el fax ni para ningún otro ámbito. Cuando un proveedor afirma que "cumple con HIPAA", lo que importa es que firme un BAA y aplique las medidas de protección exigidas.
¿Cómo se configura el envío de fax conforme a HIPAA en Fax.Plus?
El envío de fax conforme a HIPAA en Fax.Plus está disponible en el plan Enterprise. La configuración consta de tres pasos:
- Contar con el plan Enterprise. Los planes Free, Basic, Premium y Business no son aptos para HIPAA y no deben utilizarse para PHI.
- Activar Advanced Security Controls. El propietario de la cuenta o un administrador los activa en Configuración, Seguridad. Se aplican a todo el equipo a la vez.
- Solicitar y firmar el BAA. Una vez firmado el BAA y activados los controles de seguridad, su equipo podrá enviar y recibir PHI.
El modo HIPAA se establece a nivel de cuenta, no por usuario ni por departamento. Todos los miembros de la cuenta Enterprise trabajan dentro de la misma configuración protegida, lo que elimina el riesgo de que un miembro del equipo envíe PHI por fax desde un rincón desprotegido de la cuenta.
¿Qué cambia cuando el modo HIPAA está activado?
Los equipos suelen querer resolver esta duda antes de activarlo, así que aquí tiene el panorama completo.
| Función | Cuenta estándar | Con el modo HIPAA activado |
|---|---|---|
| Notificaciones por correo electrónico | Pueden incluir el fax como archivo adjunto | Solo notificación de forma predeterminada; adjuntos opcionales tras el consentimiento del administrador y la activación individual, con TLS 1.2 o superior en el servidor de correo receptor. |
| Notificaciones de Slack | Pueden incluir el fax como archivo adjunto | Solo notificación, sin archivo adjunto. |
| Faxes recibidos por correo electrónico | Entrega del archivo adjunto cuando está activada; opciones de PDF o TIFF | Solo notificación de forma predeterminada, o con archivos adjuntos tras la aceptación requerida y la configuración de TLS. El cliente es responsable de proteger la PHI entregada en su entorno de correo electrónico. |
| Correo electrónico a fax | Envíe desde el correo electrónico verificado de su cuenta a number@fax.plus | Envíe a number@tls.fax.plus, con TLS obligatorio; solo pueden enviar los usuarios aprovisionados en la cuenta |
| Zapier | Disponible en Enterprise | Desactivado |
| API REST y webhooks | Disponible en Enterprise | Siguen funcionando, incluida la IA de Fax.Plus |
| Aplicaciones web y móviles | Disponibles | Siguen funcionando |
| Gestión de usuarios y asignación de números | Disponibles | Siguen funcionando |
Conviene conocer dos detalles. Si alguien de una cuenta HIPAA envía por error un correo a la dirección estándar @fax.plus, Fax.Plus redirige el mensaje automáticamente al flujo con TLS obligatorio. Y, como Zapier está desactivado, la API es la vía para conectar el fax con sus otros sistemas en un flujo de trabajo HIPAA. Consulte la API de fax HIPAA para obtener más información.
Automatización de los flujos de trabajo de fax conforme a HIPAA
El modo HIPAA desactiva Zapier, pero no detiene la automatización. Los archivos adjuntos de correo electrónico son un flujo de trabajo opcional que se activa por separado. En una cuenta HIPAA, la API de Fax.Plus sigue funcionando, y tres funcionalidades son las más importantes para la admisión de pacientes en el ámbito sanitario:
- Transmisión de fax en tiempo real (streaming). Cada página de un fax entrante se envía a su sistema en cuanto se recibe, de modo que una derivación puede clasificarse desde la página 1. El streaming se activa previa solicitud y funciona en cuentas HIPAA.
- Webhooks de nivel de producción. Los eventos están firmados para que su servidor pueda verificarlos, se pueden filtrar por tipo de evento y número de fax, e incluyen un registro de entregas, reenvío de eventos perdidos y alertas cuando un endpoint falla de forma reiterada.
- Sin PHI en la carga útil. Los eventos de webhook incluyen detalles del fax, como el estado y el número de páginas, pero no el documento. Su sistema descarga el fax a través de la API.
El servidor MCP de Fax.Plus, que permite a los asistentes de IA trabajar con fax, no está disponible en cuentas con Advanced Security Controls, por lo que los flujos de trabajo HIPAA utilizan la API en su lugar.
¿Qué planes de Fax.Plus se pueden utilizar para PHI?
Solo Enterprise. Este plan reúne lo que necesita el envío de fax conforme a HIPAA: el BAA, Advanced Security Controls, el registro de auditoría, el acceso basado en roles y opciones de residencia de datos. Los planes inferiores no incluyen estas funciones, por lo que no son aptos para PHI.
Para consultar la lista completa de controles, vea fax conforme a HIPAA. Para una introducción a la propia ley, vea qué es HIPAA.
Lista de verificación de fax conforme a HIPAA
Antes de que su equipo envíe PHI por fax, confirme cada uno de estos puntos:
- Se ha firmado un BAA con su proveedor de fax.
- El modo HIPAA (Advanced Security Controls en Fax.Plus) está activado en la cuenta.
- Solo el personal capacitado tiene acceso, con roles acordes a su puesto.
- Se exige la autenticación de dos factores.
- Los números de los destinatarios se confirman antes del envío y, cuando es posible, se guardan como contactos.
- Los faxes se envían únicamente con la información que necesita el destinatario.
- El personal sabe dónde se almacenan los faxes recibidos y que la PHI no debe reenviarse a correos electrónicos personales ni a herramientas no autorizadas.
Preguntas frecuentes
¿Cómo se envía un fax conforme a HIPAA?
Utilice un servicio de fax que firme un BAA y proteja los faxes con cifrado y controles de acceso. En Fax.Plus, esto significa una cuenta Enterprise con Advanced Security Controls activados y un BAA firmado. Después, confirme el número del destinatario, envíe solo la información que necesite y utilice una portada con un aviso de confidencialidad.
¿Está protegido un número de fax por HIPAA?
Un número de fax por sí solo no es información de salud. Sin embargo, los números de fax figuran en la lista de identificadores de HIPAA, por lo que un número de fax vinculado a la información de salud de un paciente forma parte de la PHI de ese paciente y requiere la misma protección.
¿Exige HIPAA una portada de fax?
Ninguna norma específica la exige. Muchas organizaciones utilizan una portada con un aviso de confidencialidad como parte de sus medidas de protección. Puede partir de la plantilla gratuita de portada de fax conforme a HIPAA y consultar qué incluir en una portada conforme a HIPAA.
¿Cuenta Fax.Plus con certificación HIPAA?
No existe un programa oficial de certificación HIPAA. Fax.Plus, en el plan Enterprise, implementa las medidas de protección técnicas de HIPAA y firma BAA con entidades cubiertas y asociados comerciales.
¿Puedo activar el modo HIPAA solo para un departamento?
No. En Fax.Plus, el modo HIPAA se aplica a toda la cuenta Enterprise. Un único BAA cubre la cuenta y todos los miembros trabajan dentro del entorno protegido.
¿Puedo seguir enviando faxes desde el correo electrónico con el modo HIPAA activado?
Sí. Las cuentas HIPAA envían Email-to-Fax a través de una dirección dedicada, number@tls.fax.plus, con cifrado TLS obligatorio. Solo pueden enviar de este modo los usuarios aprovisionados en su cuenta.
¿Puedo usar Fax.Plus para PHI en el plan Basic, Premium o Business?
No. El envío de fax conforme a HIPAA requiere el plan Enterprise con Advanced Security Controls y un BAA firmado.
Artículos destacados
Ver todo
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Confederación Suiza
Innosuisse - Agencia Suiza de Innovación
