¿Qué es HIPAA? Una explicación en lenguaje sencillo

HIPAA, la Ley de Portabilidad y Responsabilidad del Seguro Médico (Health Insurance Portability and Accountability Act), es una ley federal estadounidense de 1996 que establece estándares nacionales para proteger la información de salud de los pacientes y exige a las organizaciones sanitarias y a sus proveedores que la resguarden. Mucha gente cree que HIPAA solo rige para hospitales y médicos. En realidad, la ley alcanza también a las empresas de facturación, a los proveedores de TI, a los proveedores de cloud y al servicio de fax que transmite una derivación.

El presidente Bill Clinton firmó HIPAA el 21 de agosto de 1996 como Ley Pública 104-191. El Congreso y el HHS la han modernizado cuatro veces: la Regla de Privacidad (2003), la Regla de Seguridad (2005), la Regla de Notificación de Brechas (2009) y la Regla Ómnibus (2013). Una quinta actualización, la mayor reescritura de la Regla de Seguridad en 20 años, figura en la agenda regulatoria de la OCR para mayo de 2026.

Esta guía explica qué significa HIPAA, las cuatro Reglas, qué se considera PHI, quién debe cumplirla, las sanciones por incumplimiento, cómo se aplica HIPAA al fax, al correo electrónico, a los SMS y a Slack, y una lista de verificación inicial de ocho pasos. Con una sola lectura sabrá si HIPAA se aplica a su organización y qué hacer a continuación.

Definición de HIPAA y breve historia (de 1996 a hoy)

HIPAA se redactó originalmente para ayudar a los trabajadores a conservar su seguro médico al cambiar de empleo. Las reglas de privacidad y seguridad que hoy todo el mundo asocia con ella se añadieron más tarde.

Qué significa HIPAA

HIPAA son las siglas de Health Insurance Portability and Accountability Act (Ley de Portabilidad y Responsabilidad del Seguro Médico) de 1996. El presidente Bill Clinton la firmó el 21 de agosto de 1996 como Ley Pública 104-191. La ley tenía cuatro objetivos originales: hacer que el seguro médico fuera transferible entre empleos, reducir el fraude y el abuso en la atención sanitaria, estandarizar las transacciones electrónicas de salud y proteger la información de salud.

La protección de la información de salud fue la parte más pequeña de la ley original. El Congreso encargó al Departamento de Salud y Servicios Humanos (HHS) que emitiera más adelante los reglamentos concretos de privacidad y seguridad. Esos reglamentos son lo que la mayoría de las personas entiende hoy por «HIPAA».

Cómo evolucionó HIPAA: las cuatro actualizaciones principales

• La Regla de Privacidad (2003) estableció los primeros estándares nacionales sobre quién puede usar y divulgar la PHI, y otorgó a los pacientes derechos sobre sus historiales.
• La Regla de Seguridad (2005) añadió salvaguardas administrativas, físicas y técnicas para la PHI electrónica.
• La Ley HITECH y la Regla de Notificación de Brechas (2009) elevó la sanción máxima de 25.000 dólares anuales a 1,5 millones de dólares anuales, introdujo la notificación obligatoria de brechas e impulsó la adopción de las historias clínicas electrónicas (EHR) con 25.000 millones de dólares en incentivos. HITECH también otorgó a los fiscales generales de los estados la facultad de hacer cumplir HIPAA.
• La Regla Ómnibus (2013) hizo a los socios comerciales directamente responsables de las infracciones de HIPAA e invirtió la carga de la prueba en la notificación de brechas.

Situación de HIPAA en 2025–2026

El HHS propuso una importante actualización de la Regla de Seguridad en enero de 2025. Haría obligatorias la autenticación multifactor y el cifrado, y eliminaría la distinción entre especificaciones «requeridas» y «abordables». Las estimaciones de costes del sector alcanzan los 34.000 millones de dólares. La Oficina de Derechos Civiles mantuvo la finalización en su agenda regulatoria para mayo de 2026. Trate la MFA y el cifrado como obligatorios desde ahora para evitar prisas más adelante.

Las cuatro reglas de HIPAA explicadas

Se habla de «HIPAA» como si fuera una sola cosa. En realidad son cuatro Reglas interconectadas, y la mayoría de las infracciones se producen en los puntos de unión entre ellas.

Regla de Privacidad (2003)

La Regla de Privacidad define qué es la PHI y quién puede acceder a ella y en qué condiciones. Los pacientes tienen derecho a acceder a sus historiales, solicitar correcciones, obtener un registro de las divulgaciones y pedir restricciones sobre el uso de su información. Los proveedores deben responder a las solicitudes de acceso en un plazo de 30 días, con una única prórroga de 30 días.

La Regla permite el uso de la PHI sin autorización del paciente para tratamiento, pago y operaciones de atención médica (la excepción «TPO»). Todo lo demás está sujeto al estándar de mínimo necesario: divulgar solo lo necesario para lograr el propósito. El tratamiento es la única excepción en la que los historiales completos pueden circular entre proveedores.

Un fallo clásico de la Regla de Privacidad: la consulta de un médico envía por fax el estado de VIH de un paciente a quien el personal cree que es el médico de atención primaria del paciente, pero resulta ser su empleador. Número equivocado, sin controles de mínimo necesario, sin verificación.

Regla de Seguridad (2005)

La Regla de Seguridad se aplica únicamente a la PHI electrónica (ePHI). Define tres categorías de salvaguardas:

• Administrativas: análisis de riesgos, formación del personal, política de sanciones, gestión de accesos
• Físicas: controles de acceso a las instalaciones, seguridad de los puestos de trabajo, eliminación de dispositivos
• Técnicas: controles de acceso, registros de auditoría, controles de integridad, cifrado de las transmisiones

La distinción actual entre especificaciones «requeridas» y «abordables» va camino de desaparecer con la actualización propuesta en 2025. Los fallos en el análisis de riesgos dominan las sanciones. Aparecieron en 13 de las 22 resoluciones de la OCR cerradas en 2024.

Regla de Notificación de Brechas (2009, mediante HITECH)

Si se produce una brecha de PHI no protegida, las entidades cubiertas deben notificarlo a tres destinatarios:

• A las personas afectadas, en un plazo de 60 días
• Al HHS (de inmediato si la brecha afecta a 500 personas o más; en el plazo de 60 días desde el cierre del año si es menor)
• A los medios de comunicación destacados, si resultan afectados 500 o más residentes de un mismo estado

El cifrado crea un puerto seguro. Los datos correctamente cifrados que se pierden o son robados no activan la notificación. El acuerdo de 1,5 millones de dólares de Warby Parker en 2025 combinó fallos de la Regla de Seguridad y de la Regla de Notificación de Brechas tras un ataque de relleno de credenciales que expuso datos de recetas de gafas de clientes.

Existen tres excepciones de brecha: el acceso involuntario por parte de un empleado autorizado, la divulgación inadvertida entre dos personas autorizadas y la divulgación a una parte que razonablemente no pudo retener la información.

Regla Ómnibus (2013)

La Regla Ómnibus hizo a los socios comerciales y a sus subcontratistas directamente responsables ante HIPAA. Antes de 2013, solo las entidades cubiertas se enfrentaban a sanciones.

Ómnibus también invirtió la carga de la prueba en las brechas. Un uso o divulgación no permitido por la Regla de Privacidad se presume ahora una brecha, a menos que la entidad cubierta pueda demostrar una baja probabilidad de que la PHI se haya visto comprometida, mediante una evaluación de riesgos de cuatro factores.

¿Qué es la PHI? Los 18 identificadores que activan HIPAA

La PHI es cualquiera de 18 identificadores específicos combinado con un vínculo con la salud de una persona, la atención médica o el pago de dicha atención. Si se eliminan correctamente los 18 identificadores, los datos quedan desidentificados, lo que significa que dejan de ser PHI.

Los 18 identificadores de HIPAA

1. Nombres
2. Datos geográficos de menor tamaño que un estado
3. Todas las fechas, excepto el año, relacionadas con una persona
4. Números de teléfono
5. Números de fax
6. Direcciones de correo electrónico
7. Números de la Seguridad Social
8. Números de historia clínica
9. Números de beneficiario de planes de salud
10. Números de cuenta
11. Números de certificado o licencia
12. Identificadores de vehículos, incluidas las matrículas
13. Identificadores y números de serie de dispositivos
14. URL web
15. Direcciones IP
16. Identificadores biométricos, incluidas las huellas dactilares y las huellas de voz
17. Fotografías del rostro completo e imágenes comparables
18. Cualquier otro número, característica o código de identificación único

Cuando los mismos datos NO son PHI

Los identificadores sin un contexto de salud no son PHI. El nombre de un cliente en la lista de correo de un minorista es solo un nombre. Un contexto de salud sin identificadores tampoco es PHI. Las estadísticas hospitalarias agregadas y correctamente desidentificadas quedan fuera de HIPAA. Ambos elementos deben estar presentes al mismo tiempo para que se aplique la ley. El nombre de un paciente junto con un diagnóstico es PHI. Un diagnóstico sin ningún identificador no lo es.

Quién debe cumplir con HIPAA (y quién no)

Los datos de su Fitbit no están protegidos por HIPAA. Es probable que el programa de bienestar de su empleador tampoco lo esté. HIPAA abarca una lista específica de organizaciones, y esa lista es más reducida de lo que la mayoría de las personas supone.

Entidades cubiertas (CE)

Una entidad cubierta por HIPAA pertenece a una de estas tres categorías:

1. Planes de salud: aseguradoras, HMO, Medicare, Medicaid y planes de salud colectivos de empleadores. La mayoría de los planes de salud colectivos de empleadores están cubiertos independientemente de su tamaño. La excepción limitada es un plan de salud colectivo autoadministrado con menos de 50 participantes: esos planes quedan fuera de HIPAA. Si una aseguradora o un administrador externo gestiona el plan, este está cubierto.
2. Cámaras de compensación de servicios de salud: entidades que convierten datos no estandarizados en transacciones electrónicas estándar.
3. Proveedores de atención médica que transmiten cualquier información de salud por vía electrónica en relación con una transacción cubierta (reclamaciones, verificaciones de elegibilidad, derivaciones).

El criterio de la transacción electrónica es la razón por la que casi todos los proveedores modernos están cubiertos. En cuanto factura a una aseguradora por vía electrónica o envía una derivación electrónica, queda incluido.

Socios comerciales (BA)

Un socio comercial es cualquier persona u organización que realiza, en nombre de una entidad cubierta, una función que implica PHI. Ejemplos habituales: empresas de facturación, proveedores de TI, proveedores de almacenamiento en la cloud, servicios de destrucción de documentos, bufetes de abogados con acceso a PHI, servicios de transcripción y proveedores de fax que cumplen con HIPAA.

Desde la Regla Ómnibus de 2013, los socios comerciales responden directamente ante la OCR. Firme un Business Associate Agreement (BAA) antes de que se intercambie cualquier PHI. Gulf Coast Pain Consultants pagó 1,19 millones de dólares después de que un contratista conservara el acceso al sistema tras su baja y presentara reclamaciones fraudulentas a Medicare, lo que demuestra lo que ocurre cuando fallan los controles de acceso de los socios comerciales.

Quién NO está cubierto por HIPAA

• Empleadores que manejan información de salud de sus empleados fuera de un plan de salud colectivo (en ese caso rigen la ADA y la FMLA)
• Aplicaciones de bienestar para consumidores que no venden a proveedores, como Fitbit, Apple Health y MyFitnessPal (en ese caso rige la Regla de Notificación de Brechas de Salud de la FTC)
• Escuelas y universidades (los expedientes de estudiantes se rigen por FERPA)
• Aseguradoras de vida, aseguradoras de compensación laboral y la mayoría de las aseguradoras de discapacidad
• Organismos encargados de hacer cumplir la ley
• Empresas de análisis de marketing sin acceso a PHI

HIPAA y los canales de comunicación: fax, correo electrónico, SMS, Slack, videollamadas

Una clínica dental de Texas pagó 10.000 dólares porque un empleado respondió a una reseña de una estrella en Yelp con datos de un paciente. HIPAA viaja con el mensaje, no con el medio. Cada canal que su personal utilice para transmitir PHI necesita su propia respuesta.

La matriz de cumplimiento

‍

Fax: todavía el caballo de batalla del sector sanitario

Según la excepción de mero transmisor, el operador telefónico no es un socio comercial cuando transmite un fax, porque nunca inspecciona ni almacena el contenido. Esto mantiene el fax tradicional dentro de los canales permitidos por HIPAA.

El fax analógico presenta dos problemas prácticos. No existe un registro de auditoría y un solo dígito equivocado puede exponer PHI (el incidente del estado de VIH enviado al empleador). Un servicio de fax en la cloud que cumple con HIPAA, como Fax.Plus, firma un BAA en su plan Enterprise, cifra el tráfico en tránsito y en reposo, registra cada envío y recepción, y permite al personal enviar desde el correo electrónico o desde un navegador web. El personal puede enviar faxes directamente desde el correo electrónico sin salir del flujo de trabajo que ya utiliza.

Correo electrónico y mensajería

El correo electrónico gratuito para consumidores es la infracción silenciosa de HIPAA más común. Gmail, Outlook.com, Yahoo e iCloud no firman un BAA en sus niveles gratuitos. Las versiones de pago de Google Workspace y Microsoft 365 pueden cumplir con HIPAA, pero solo después de que usted formalice el BAA y refuerce la configuración (desactivar el acceso de aplicaciones de terceros, activar el registro de auditoría y exigir MFA).

El SMS estándar no cumple con la normativa. Los operadores no firman BAA y los mensajes se almacenan sin cifrar en los dispositivos y en los sistemas de los operadores. Utilice en su lugar una aplicación de mensajería segura conforme a HIPAA.

Vídeo y colaboración

FaceTime y las cuentas personales de Zoom quedan descartados. Zoom for Healthcare, Doxy.me y Microsoft Teams (con BAA) son opciones válidas. Slack exige Enterprise Grid para firmar un BAA. Los espacios de trabajo estándar de Slack, por bien configurados que estén, no cumplen con HIPAA.

Infracciones y sanciones de HIPAA: lo que cuesta el incumplimiento

En 2024, la Oficina de Derechos Civiles del HHS cerró 22 acciones de cumplimiento por un valor de 9,9 millones de dólares. La misma causa raíz, «no realizar un análisis de riesgos adecuado», apareció en 13 de ellas.

Niveles de sanciones civiles (2026)

• Nivel 1 (desconocimiento): de 145 a 73.011 dólares por infracción, hasta 2.190.294 dólares al año
• Nivel 2 (causa razonable): de 1.461 $ a 73.011 $ por infracción
• Nivel 3 (negligencia deliberada, corregida en un plazo de 30 días): de 14.618 $ a 73.011 $ por infracción
• Nivel 4 (negligencia deliberada, no corregida): de 73.011 $ a 2.190.294 $ por infracción

Sanciones penales

La OCR remite los casos penales al Departamento de Justicia, que los procesa. Obtener o divulgar PHI a sabiendas: hasta 50.000 $ y 1 año de prisión. Bajo falsos pretextos: hasta 100.000 $ y 5 años. Con la intención de vender, transferir o usar la información para obtener una ventaja comercial o causar un daño malicioso: hasta 250.000 $ y 10 años.

Casos reales de aplicación de la normativa en 2024–2025

• Warby Parker, 1,5 millones de dólares (2025): ataque de relleno de credenciales; el minorista de gafas era una entidad cubierta
• Montefiore Medical Center, 4,75 millones de dólares: un empleado sustrajo más de 12.000 registros; controles de auditoría deficientes
• Enzo Biochem, 4,5 millones de dólares: exposición a ransomware atribuida a credenciales compartidas y a una contraseña con diez años de antigüedad
• Gulf Coast Pain Consultants, 1,19 millones de dólares: un contratista despedido conservó el acceso al sistema y presentó reclamaciones fraudulentas a Medicare
• Clínica dental de Texas, 10.000 $: el propietario respondió a una reseña de Yelp con datos de un paciente

La Iniciativa de Derecho de Acceso de la OCR ha dado lugar a 54 acciones de cumplimiento desde 2019, con multas de entre 3.500 $ y 160.000 $ para los proveedores que no entregaron los registros a tiempo.

Quién hace cumplir HIPAA

La Oficina de Derechos Civiles del HHS se encarga de la aplicación civil de la normativa. Los fiscales generales de los estados también pueden emprender acciones por HIPAA (la ley HITECH les otorgó esa facultad en 2009). El Departamento de Justicia procesa los casos penales. La FTC aplica la Regla de Notificación de Brechas de Salud a las aplicaciones de salud no sujetas a HIPAA, como los monitores de actividad física.

Leyes estatales que van más allá de HIPAA

HIPAA es el mínimo federal. Unos pocos estados han levantado edificios más altos sobre esa base, y la ley estatal prevalece cuando es más estricta.

• CMIA de California: definición más amplia de información médica, se aplica a más tipos de entidades, otorga a los pacientes un derecho de acción privado para demandar directamente y exige el acceso a los registros en 5 días frente a los 30 de HIPAA.
• HB 300 de Texas: amplía el concepto de «entidad cubierta» a prácticamente cualquier persona que maneje PHI en Texas, exige formación bienal del personal en los 90 días siguientes a la contratación y autoriza multas del fiscal general de hasta 1,5 millones de dólares al año.
• MHMDA de Washington: la ley de privacidad de la salud del consumidor más amplia de EE. UU. Abarca datos de monitores de actividad física, aplicaciones de seguimiento del periodo e información de aplicaciones de bienestar que HIPAA excluye, y concede un derecho de acción privado.

La ley SHIELD de Nueva York y la Ley de Privacidad de la Información Genética de Illinois añaden capas adicionales en sus respectivos estados.

Cuando la ley estatal sea más estricta que HIPAA, siga la ley estatal. Cuando HIPAA sea más estricta, prevalece HIPAA. Analice ambas en cada estado en el que maneje PHI.

Cómo empezar con el cumplimiento de HIPAA: una lista de verificación práctica

No es posible «terminar» el cumplimiento de HIPAA. Es un programa continuo. Pero se puede poner en marcha uno sólido en ocho pasos.

La lista de verificación inicial de HIPAA en 8 pasos

1. Determine su situación. ¿Es usted una entidad cubierta, un socio comercial o ninguna de las dos? La respuesta condiciona todos los demás pasos.
2. Realice un análisis de riesgos de seguridad (SRA). Es la deficiencia más citada por la OCR (13 de 22 en 2024). Inventaríe todos los lugares donde reside la PHI, todos los sistemas que la tocan y todas las amenazas.
3. Nombre a un responsable de privacidad y a un responsable de seguridad. En las organizaciones pequeñas, puede ser la misma persona. Formalice el cargo por escrito.
4. Redacte las políticas requeridas. Políticas de privacidad, políticas de seguridad, un plan de respuesta ante brechas, una política de sanciones y una política de dispositivos. Las plantillas genéricas son un punto de partida, no la meta.
5. Firme BAA con todos los proveedores que manejen PHI. Proveedor de correo electrónico, almacenamiento en la cloud, servicio de fax (Fax.Plus Enterprise incluye un BAA), empresa de facturación, soporte de TI, servicio de transcripción. Sin BAA, no hay PHI.
6. Forme a su personal. Formación inicial en el momento de la contratación, actualizaciones periódicas y formación específica por puesto para el personal clínico y de TI. Documente la asistencia.
7. Implemente salvaguardas técnicas. Controles de acceso basados en roles, registros de auditoría, cifrado en tránsito y en reposo, y MFA en todas las cuentas que accedan a PHI.
8. Elabore un manual de respuesta ante brechas. Proceso de evaluación de riesgos de cuatro factores, plazo de notificación de 60 días, lista de contactos de la OCR y de los fiscales generales estatales, y un simulacro de escritorio al menos una vez al año.

‍