Qué significan «cumple con HIPAA» y «cifrado» para una familia

Las reglas de HIPAA se aplican a las entidades cubiertas: los planes de salud, las cámaras de compensación de atención médica y los proveedores de atención médica que transmiten información de salud por vía electrónica para facturar y otras transacciones similares, junto con los socios comerciales que manejan esa información por ellos.¹ Una hija que lleva la lista de medicamentos de su madre no es una entidad cubierta. Tampoco lo es el chat de grupo de una familia, una hoja de cálculo compartida ni la mayoría de las aplicaciones que una familia descarga por su cuenta.

Por eso la FTC les dice claramente a los consumidores que, a diferencia de su médico, una aplicación de salud puede no estar cubierta por leyes de privacidad de la salud como HIPAA, y que el aviso de privacidad de la aplicación es lo único que usted tiene para guiarse.⁵ Y por eso existe la Regla de Notificación de Filtraciones de Salud de la FTC: desde 2024 exige que las aplicaciones que manejan información de salud y no están cubiertas por HIPAA avisen a las personas cuando esa información se filtra o se divulga sin autorización.²

Ninguna agencia del gobierno certifica que una aplicación cumple con HIPAA. Cuando una empresa lo dice, está describiendo sus propias prácticas: que maneja la información como las reglas se lo exigirían a una entidad cubierta y, a menudo, que firmará un acuerdo de socio comercial si un proveedor la usa. Las dos cosas son buenas. Ninguna es una inspección. CareCoordinate dice «alineado con HIPAA» por esta razón: las prácticas son las que describen las reglas, y la palabra es honesta.

Así que tome la etiqueta como el inicio de una conversación. La pregunta útil que sigue es: ¿qué hacen ustedes, en concreto? La siguiente sección es la lista de verificación.

Las normas de seguridad de HIPAA para la información de salud electrónica nombran las protecciones en términos sencillos: control de acceso para que solo las personas autorizadas puedan ver la información, controles de auditoría que registran y examinan la actividad, autenticación para verificar que una persona es quien dice ser y seguridad en la transmisión para proteger la información que viaja por una red.³ El cifrado aparece dos veces en esa lista, para la información guardada y para la información en tránsito, y en los dos casos la norma no lo impone al pie de la letra: lo presenta como una medida que la organización debe evaluar, y luego aplicarla o dejar documentado por qué una medida equivalente es razonable.³

Para una familia, la traducción es esta. Pregunte si la información está cifrada donde se guarda, no solo en el camino al servidor. Pregunte si la aplicación lleva un registro de quién vio y cambió qué, para que una pregunta que surja meses después tenga respuesta. Pregunte cómo demuestra una persona quién es, y si se le puede quitar el acceso el mismo día en que un cuidador sale del círculo. Una empresa que hace estas cosas lo dirá en una frase.

¿La información de mi familia está cifrada cuando está guardada y cuando viaja? ¿Quién en su empresa puede leerla, y bajo qué reglas? ¿Se comparte o se vende algo a otras empresas, incluso para publicidad? ¿Hay un registro de auditoría de accesos y cambios? ¿Puedo quitarle el acceso a una persona de inmediato? ¿Puedo exportarlo todo y eliminar la cuenta, y cuánto tardan en desaparecer los datos? ¿Qué pasa, y a quién se le avisa, si hay una filtración? El aviso de privacidad debería responder la mayoría; el consejo de la FTC es leerlo para saber qué se recopila, cómo se usa y si se comparte, y revisar la configuración para ver qué controla usted.⁵

La regla que obliga a los médicos de su padre también lo ayuda a usted. Un proveedor puede compartir la información relacionada con la participación de un familiar en el cuidado del paciente cuando el paciente está de acuerdo, cuando tiene la oportunidad de oponerse y no lo hace o, cuando el paciente no puede decidir, cuando el proveedor considera que es lo mejor para él.⁴ Esa es la disposición que permite que un médico hable con una hija en el consultorio, y la que hay que señalar cuando una oficina dice que HIPAA lo prohíbe. Para el papeleo que lo vuelve rutina, vea nuestra guía sobre los documentos por los que todo cuidador familiar debería preguntar.