¿Sabes cuáles de tus suplidores pueden ver la información de tus pacientes, y si tienes contratos firmados con ellos?
En abril de 2016, una clínica ortopédica llamada Raleigh Orthopaedic pagó $750,000.00 a la Oficina de Derechos Civiles (“OCR”) del Departamento de Salud y Servicios Humanos (“HHS”) porque la clínica había divulgado información médica protegida (“PHI”) a un proveedor de servicios sin antes haber firmado un acuerdo de asociado de negocio (“BAA”, por sus siglas en inglés). La clínica había contratado al proveeedor para que digitalizara sus rayos X y le permitió al suplidor sacar (“harvest”) la plata de los rayos X.
Esa fue toda la violación: que el suplidor tuvo acceso a los rayos X sin que se firmara un documento específico.
Si tu práctica médica usa una compañía de facturación, una compañía de récords médicos, un servicio de backup de archivos en la nube, un consultor de IT, o una herramienta para agendar citas, esto te aplica. En este artículo, te explicamos qur es un BAA, quién necesita uno, por qué firmarlo no te libera de responsabilidad, y como una ley de Puerto Rico te puede afectar.
¿Qué es un Asociado de Negocio y por qué la ley requiere firmar un contrato con uno?
Un asociado de negocio es una persona o compañía que realiza una función o servicio para una entidad cubierta por HIPAA (como una práctica médica) que tiene contacto con PHI. Las reglas de HHS establecen que funciones como procesamiento de reclamaciones, facturación, análisis de data y gerencia de una práctica, así como firmas legales, de contabilidad, consultoría o administrativa, pueden ser asociados de negocio.
La regla aplicable es sencilla. Bajo el 45 C.F.R. 164.502(e) y 45 C.F.R. 164.504(e), una entidad cubierta puede compartir PHI con un asociado de negocio, solamente luego de haber obtenido suficientes garantías escritas de que el suplidor protegerá la información. Estas garantías se escriben en el BAA. Este contrato, como mínimo, establecerá:
- Una descripción de lo que el proveedor podrá hacer con la información y cláusulas que le prohibirán cualquier otro uso o divulgación.
- Requisitos de salvaguardas apropiadas.
- Requerimientos al suplidor de reportar incidentes y brechas.
- Requerirle a sus subcontratistas que acepten las mismas restricciones.
- Que está obligado a mostrar récords al HHS, y que apoyará los derechos de los pacientes de acceso a récords médicos, enmendar récords médicos y recibir un recuento de todas las divulgaciones.
- Qué ocurrirá con la información una vez concluye el contrato.
No todo suplidor requiere un BAA. HHS establece excepciones, como cuando se divulga PHI a otro proveedor para que atienda a la persona, una reclamación enviada a un seguro médico para que la pague, un servicio postal que sólo está entregando el mensaje, o un servicio de limpieza cuyo acceso a la PHI es meramente incidental.
Las obligaciones no terminan al firmar el contrato, Si un consultorio médico se entera de que un suplidor sufrió una brecha significativa, está obligado a tomar pasos razonables para remediarla o cancelar el contrato. Y, si no es práctico cancelar el contrato, se notificará la situación a HHS.
La Responsabilidad del Suplidor No Te Libera de Responsabilidad
Desde que el Congreso aprobó el HITECH – The Health Information Technology for Economic and Clinical Health Act of 2009 en el 2009 y la OCR Final Rule de 2013, los asociados de negocio son directamente responsables de algunos requisitos de la ley HIPAA. Entre estos se encuentran el cumplir con la Regla de Seguridad de HIPAA, notificar a la entidad cubierta de cualquier brecha, solamente divulgar información autorizada y firmar sus propios BAAs con sus subcontratistas.
Ahora veamos como el OCR ha tratado estas relaciones cuando surgen incidentes:
- En el 2016, Catholic Health Care Services de la Arquidiócesis de Filadelfia, que pertaba servicios de IT a 6 hogares de cuidado de ancianos, se convirtió en el primer asociado que transó un caso con OCR, cuando acordó pagar $650,000 luego que les robaron un iPhone sin cifrar y sin contraseña con información de 412 residentes. OCR encontró que no se había hecho en este caso un análisis de riesgo adecuado.
- En el 2018, Pagosa Springs Medical Center de Colorado pagó $111,400 a OCR luego que se demostró que un exempleado de la compañía mantuvo acceso a información electrónica de salud protegida (ePHI) luego que concluyó su empleo.
- En 2025, Comstar LLC, una compañía de facturación de ambulancias, llegó a un acuerdo con OCR para pagar $75,000 por haber violado la Regla de Seguridad de la Ley HIPAA, luego de haber sufrido un ataque de “ransomware” que afectó a 585,621 personas.
¿Por Qué Te Debe Importar Esto?
Primero: Porque el no tener un BAA firmado ya te hace violar la ley. No necesitas sufrir una brecha para que OCR intervenga.
Segundo: Porque las brechas de tus suplidores se convierten en tu problema de notificación. Cuando un asociado sufre una brecha o ataque, los requisitos de notificación aplican a las entidades cubiertas que tienen pacientes afectados por la brecha.
Tercero: Porque, al operar en Puerto Rico, hay una ley criolla que te aplica. La ley 111-2005, la cual hemos discutido previamente, trata la información protegida por la ley HIPAA como información personal protegida. Esta ley requiere que se reporte toda brecha de seguridad al DACO en 10 días luego de detectarse la brecha, y DACO debe hacer un anuncio público en 24 horas de la notificación. Esta ley aplica cuando la data está únicamente protegida por una contraseña, y no está encriptada.
Así que, si tu suplidor se tarda 2 semanas en contarte un incidente que sufrió, podrías potencialmente ya estar en problemas con la Ley 111, aunque aún te quede tiempo para reportar el incidente bajo la ley HIPAA.
Cuarto: Porque necesitas incluir a tus suplidores en tu análisis de riesgo. Si no sabes qué información tienes de tus suplidores, no podrás evaluar correctamente los riesgos que tienes, los cuales la ley HIPAA te requiere documentar, como destacamos en este artículo.
¿Cómo Cumplo Con La Ley?
Aunque esto es un proyecto que tomará tiempo, puedes comenzarlo con los siguientes pasos:
- Crea un inventario de suplidores. Anota todas las personas y entidades que “tocan” la información de tus pacientes de alguna manera.
- Divide todos tus suplidores entre aquellos que requieren un BAA y aquellos que no.
- Lee los contratos que has firmado con ellos para saber is ya firmaste un BAA.
- Revisa el contenido de los contratos, para ver si incluyen cosas como qué hacer en caso de sufrir una brecha y qué ocurre al concluir el contrato.
- Negocia un término para que te notifiquen todo incidente.
- Pregúntale a tus subcontratistas dónde guardan su información y quienes son sus subcontratistas.
- Programa revisar anualmente toda esta información.
En Conclusión
Aunque un BAA parezca un contrato sencillo, OCR no los ve así. En realidad, los ve como la puerta por donde sale toda la información de tus pacientes de tu oficina, y las penalidades comienzan cuando esa puerta se abre y nadie firmó un documento que le autorizara llevarse esa información.
Si tienes una práctica médica, hazte esta pregunta: si OCR llega a tu oficina hoy y te pide la lista de cada vendedor que “toca” la información de tus pacientes, y te pide el contrato que has firmado con cada uno, ¿podrías presentarlos en 24 horas?
Si la respuesta a esta pregunta es “no”, o “no sé”, es hora de que comiences este trabajo pronto.
¿Te interesa saber si los contratos con tus suplidores cumplen con HIPAA o la ley de Puerto Rico? Puedes agendar una consulta con nosotros hoy. Estamos para ayudarte.