Las violaciones de ley HIPAA más comunes en oficinas médicas no son causadas por hackers, sino por nunca haber escrito un documento específico que explicamos aquí.
En diciembre de 2024, la Oficina de Derechos Civiles del Departamento de Salud federal (“OCR”, por sus siglas en inglés) anunció un acuerdo de $250,000 con Inmediata Health Group, una “clearinghouse” (entidad intermediaria que convierte las facturas médicas al formato que exigen los planes médicos) con sede en Puerto Rico que procesa datos para médicos, dentistas, hospitales, laboratorios y planes médicos en la isla.
¿Qué pasó? Entre mayo de 2016 y enero de 2019, la información de salud de 1,565,338 personas que mantenía Inmediata quedó accesible públicamente en internet por un error de configuración de su página web. Esta información incluía nombres, fechas de nacimiento, direcciones, números de seguro social, diagnósticos médicos e información de tratamiento de pacientes, toda accesible por Google.
OCR identificó como la causa del fallo que Inmediata nunca había hecho un análisis de riesgo adecuado, y que no monitoreaba la actividad de sus sistemas de información.
El costo total de este error en su página web fue mucho mayor de $250,000. Entre el acuerdo con OCR, un acuerdo multi-estatal de $1.4 millones con 32 procuradores generales (“attorneys general”) estatales y Puerto Rico, y un pago de $1,125,000 para transar una demanda de clase, el incidente le costó a Inmediata al menos $2.7 millones.
$2.7 millones en sanciones por no tener un documento requerido desde el 2005.
¿Qué es el análisis de riesgo y por qué es obligatorio tenerlo?
La Regla de Seguridad (“Security Rule”) de HIPAA, en 45 C.F.R. § 164.308(a)(1)(ii)(A), exige que toda entidad cubierta y todo socio de negocios (“business associate”) realice “una evaluación precisa y minuciosa de los riesgos y vulnerabilidades potenciales a la confidencialidad, integridad y disponibilidad” de la información de salud electrónica que maneja.
Hay un detalle técnico aquí que mucha gente pasa por alto. El Security Rule divide sus requisitos en dos categorías: acciones requeridas (required) y acciones de implementación flexible (addressable). Las requeridas tiene que ser implementadas por toda entidad cubierta y asociada. No hay flexibilidad, no hay alternativa, y no hay excepción por tamaño de la práctica. Un consultorio de un solo médico tiene la misma obligación que un hospital.
Sin embargo, las flexibles permiten cierta flexibilidad: si tu oficina determina que una medida no es razonable para su tamaño, puedes documentar por qué y adoptar una alternativa.
El Security Rule fue diseñado para considerar el tamaño y complejidad de tu operación, tu infraestructura técnica, el costo de las medidas de seguridad, y la probabilidad y gravedad de tus riesgos. Un consultorio pequeño no necesita el mismo análisis que un sistema hospitalario. Pero necesita uno.
OCR está buscando estas evaluaciones
Esto no es algo teórico. En octubre de 2024, OCR lanzó una iniciativa de fiscalización dedicada exclusivamente a esta regla, llamada la Risk Analysis Initiative. Al 2026, ya ha anunciado alrededor de una docena de acciones de fiscalización bajo esta iniciativa.
La razón para enfocarse en esto es bastante lógica. Son casos bastante sencillos para OCR: la pregunta que van a hacerte es: ¿tienes este documento o no?
Si eres una entidad cubierta bajo HIPAA, tienes que tener claro que, si OCR te abre una investigación, el primer documento que te pedirán es el análisis de riesgo, el cual la mayoría de las oficinas no puede producir.
Ser un consultorio o negocio pequeño no te protege de ser sancionado. Bryan County Ambulance Authority (“BCAA”), una entidad que atendía a poco más de 14,000 personas en Oklahoma, firmó un acuerdo con HHS para pagar $90,000 luego de sufrir un ataque de ransomware. La investigación concluyó que BCAA nunca había realizado un análisis de riesgo adecuado. Del mismo modo, West Georgia Ambulance, una compañía de ambulancias en Carroll County, Georgia, pagó $65,000 a HHS en un acuerdo por no realizar un análisis de riesgo, no tener un programa de adiestramiento en seguridad a sus empleados, y no tener políticas o procedimientos internos para implementar el Security Rule. La violación ocurrió cuando una laptop de West Georgia que no tenía cifrada (encrypted) se cayó de una ambulancia. 500 personas se afectaron por este incidente.
¿Por Qué Debe Importarte Esto?
Aquí te damos 3 razones iniciales:
Primero: el desconocimiento no es defensa. El Security Rule lleva más de 20 años en vigor. OCR ha sido explícito en concluir que la falta de conocimiento de la Regla no exime a nadie. En el mejor de los casos, podría bajar la penalidad, pero no eliminarla.
Segundo: tienes riesgo de doble exposición legal. Desde la aprobación de la Ley federal HITECH, los Attorneys general estatales tienen autoridad independiente para presentar acciones civiles por violaciones a HIPAA. El caso de Inmediata lo demuestra claramente: OCR cobró $250,000 y el grupo multi-estatal cobró $1.4 millones por los mismos hechos. Son procesos separados.
Tercero: en Puerto Rico hay una obligación adicional. La Ley 111 de 2005, según enmendada, te aplica aún si estas sujeto a la ley HIPAA. Su articulo 2 define “archivo de información personal” para incluir expresamente la “información medica protegida por la Ley HIPAA”. Por tanto, cumplir con la notificación federal no te releva de la obligación criolla. La Ley 111 te obliga a informar la votación de seguridad al DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de un plazo improrrogable de 10 días de haber detectado la violación de seguridad, y el DACO hace un anuncio público del incidente dentro de las 24 horas siguientes. Compara esto con HIPAA, que te da hasta 60 días para notificar a los individuos afectados. El reloj de Puerto Rico corre mas rápido y no acepta prórroga. Sus multas van de $500 a $5,000 por violación, y no impiden que los afectados te demanden en danos por separado. Esta ley la explicamos previamente aquí. Por otro lado, la Sección 5 de la Ley de la Comisión Federal de Comercio (“FTC”) cubre las representaciones de privacidad y seguridad hechas al público, incluyendo lo que dice tu propia página web. Entre OCR, los procuradores generales, el DACO y la FTC, un solo incidente puede abrirte 4 expedientes legales a la vez.
Por otro lado, hay un cuarto factor que no aparece en estos acuerdos: seguramente la primera cosa que tu aseguradora de ciber-responsabilidad te va a pedir si algún día tienes que presentar una reclamación por sufrir una brecha de documentos va a ser tu análisis de riesgo. Si no lo tienes, la denegación de la póliza te podría costar mucho más que la multa.
¿Cómo Puedo Cumplir con la Ley?
El análisis de riesgo no es un formulario que se llena en una tarde, pero tampoco requiere contratar a una firma de consultoría internacional. La guía de OCR identifica los elementos que debe contener:
- Alcance — todos los sistemas que crean, reciben, mantienen o transmiten información de salud electrónica. Incluye el celular personal donde la secretaria coordina citas, la computadora de la casa, y tu página web.
- Recopilación de datos — dónde vive esa información, quién la toca, por dónde viaja.
- Amenazas y vulnerabilidades — desde ransomware hasta una laptop olvidada en un carro.
- Controles actuales — qué tienes vigente hoy para mitigar cada riesgo.
- Probabilidad de que cada amenaza se materialice.
- Impacto si se materializa.
- Nivel de riesgo resultante de combinar los dos anteriores.
- Documenta — por escrito, con fechas.
- Revisión periódica — no es un evento único.
A continuación te damos 4 recomendaciones prácticas que puedes implementar:
- Usa la herramienta gratuita del gobierno federal. HHS publica el Security Risk Assessment Tool, diseñado específicamente para prácticas pequeñas y medianas. Te guía por los elementos en preguntas en lenguaje sencillo, y es gratis.
- No olvides revisar tu página web. En los análisis de riesgo, muchos consultorios médicos olvidan revisar su página web, para ver la seguridad en los formularios de contacto, píxeles de rastreo, plugins, y el hosting. La herramienta de HHS no te va a preguntar por esto; tienes que añadirlo tú.
- Documenta las acciones correctivas que has hecho, no sólo los hallazgos. Con el giro de OCR hacia risk management, un registro fechado de qué encontraste, qué hiciste al respecto y cuándo, es tan importante como el análisis mismo.
- Cifra los equipos, aunque HIPAA no te obligue. El cifrado es una medida “addressable” bajo el Security Rule. Sin embargo, bajo la Ley 111 de Puerto Rico, el deber de notificar sólo se activa si la información no estaba protegida con claves criptográficas más allá de una contraseña. Traducción: perder una laptop con cifrado robusto y cuyas claves no fueron comprometidas no te activa el reloj de 10 días ni el anuncio público del DACO. Esta es una de las pocas medidas que te compran protección bajo 2 leyes a la vez.
En Resumen
El caso de Inmediata no es una historia de un hackeo sofisticado. Fue una sanción multimillonaria por una configuración mal hecha en una página web que nadie detectó porque nadie la estaba revisando. Eso es precisamente lo que un análisis de riesgo busca prevenir.
Si tu oficina maneja información de salud electrónica —y si usas facturación electrónica, correo electrónico, o un sistema de expedientes, la manejas— tienes esta obligación desde el día uno. No importa si tienes 2 empleados o 200.
La pregunta que vale la pena hacerse hoy no es si eventualmente te van a investigar, sino: si OCR te pidiera tu análisis de riesgo mañana por la mañana, ¿podrías producirlo?
Si tu respuesta es “no”, o “hicimos uno hace años y no sé dónde está”, te conviene atender esto ahora antes de que te cueste cientos de miles de dólares en sanciones y que tu nombre salga en los diarios y blogs en Puerto Rico y Estados Unidos por no proteger la información de tus pacientes.
¿Tienes dudas sobre si tu consultorio médico cumple con esta regla de HIPAA? Puedes agendar una consulta con nosotros hoy. Estamos disponibles para ayudarte.
Sobre el Autor
Jaime Farrant es un abogado admitido para ejercer derecho en Puerto Rico, Nueva York, Maryland y el Distrito de Columbia con LL.M. en Derecho Internacional, enfocado en temas de privacidad, ciberseguridad y regulación de inteligencia artificial para negocios y proveedores de salud.
MATERIAL PUBLICITARIO. Este artículo constituye publicidad tal como se define en las reglas de conducta profesional en vigor en Nueva York (22 NYCRR 1200.7.1 y 1200.7.3), Maryland (Rule 19-307.1 y 19-307.2) y el Distrito de Columbia (D.C. Rules of Professional Conduct 7.1), así como en las Reglas de Conducta Profesional de Puerto Rico (Reglas 7.1-7.3). No constituye inducción a clientes potenciales conocidos que necesiten servicios legales en un asunto particular. Por el contrario, se trata de información general dirigida al público sobre el ejercicio del derecho y los servicios legales disponibles. Ninguna relación abogado-cliente se crea por la lectura de este articulo o por contactar al autor.