Tag: Puerto Rico

Can I Use AI to Review Résumés and Hire Employees?

You’re hiring for several positions. You get 105 résumés for a single role and you don’t have time to read them all. You mention your situation to a colleague and they say: “use ChatGPT” or “there’s an AI tool that screens résumés for you.” It sounds perfect. You save hours, cut down on administrative tasks, get to the candidates who actually fit the role faster, and you can return to your “real” work more quickly.

However, there is an important question almost nobody asks before uploading résumés to an AI tool for screening: who’s responsible if the AI discriminatorily screens out candidates, even if you never intended it to discriminate?

The short answer: you are. The employer. Not the company that sold you the software.

Why Isn’t This Just an AI Problem?

U.S. employment and discrimination laws — Title VII of the Civil Rights Act, the Age Discrimination in Employment Act (ADEA), the Americans with Disabilities Act (ADA) — weren’t written with algorithms in mind, but they don’t need to be updated to apply. What matters under these laws isn’t how a decision to screen out a candidate was made, but whether the outcome had a disparate impact on a protected category, which can include sex, race, age, national origin, or disability, among others.

AI tools known as “Automated Employment Decision Tools” (“AEDTs”) can filter résumés by keyword, score video interviews by analyzing speech patterns and facial expressions, and rank candidates, among other tasks. The problem is that these systems are built by “training” them on historical hiring data, and if that data reflects past biases — for example, fewer women hired into engineering roles — the tool can replicate that bias at scale, quietly, with no one noticing it until a complaint arrives.

New York City was one of the first jurisdictions to regulate this. Its AEDT law (Local Law 144) requires that, before using one of these tools, an employer must conduct an independent bias audit, publish the results, and notify candidates that AI is being used in the process — and giving them the option to request an alternative process. That audit must calculate selection rates and “impact ratios” by sex, race/ethnicity, and intersectional categories. The law applies even if the AI is only used at an early stage of the process, such as scheduling interviews, and not for the final hiring decision.

Illinois has its own law (the AI Video Interview Act), which requires notifying candidates when AI is used to analyze video interviews. Colorado, under its privacy law rules, requires risk assessments and an opt-out right when an “AEDT” is used with legal or significant effects on a person. California is moving in the same direction with its regulations under CCPA.

As of this publication, Puerto Rico does not have a specific law on bias audits for AI hiring tools. That doesn’t relieve you of responsibility, though. On one hand, federal law still applies, and the Equal Employment Opportunity Commission (EEOC) has made clear that employers are responsible for the discriminatory impact of the tools they use, regardless of who programmed them. On the other hand, our own Law No. 100 of June 30, 1959, which prohibits discrimination in employment, applies here too, even though it doesn’t contain the word “algorithm.” In our next article, we’ll discuss in detail how a violation of Law 100 could bring serious consequences.

Why Should You Care?

Because liability for discrimination generated by AI is yours, not the software vendor’s. If you buy or subscribe to an AI tool to filter résumés and that tool ends up disproportionately screening out candidates over 40, women, or people with names the system (incorrectly) associates with lower English proficiency, you’ll be the employer sued — not the software company.

Think about it from the practical standpoint of a small business or a clinic in Puerto Rico:

  • You don’t have a large legal department to review these software contracts.
  • You probably don’t know what data the tool was trained on.
  • It’s easy to assume that “if a big company sells it, it must be legal to use this way, no further questions asked.”

That last point is the most common mistake. No AI tool comes with a guarantee of legal compliance for your jurisdiction and your industry. The responsibility for making sure your hiring process doesn’t discriminate — whether AI is involved or not — is still yours.

There’s also an additional practical problem: if a rejected candidate asks why they weren’t selected, or files a complaint, can you explain how the process worked? If your only answer is “ChatGPT decided who we should select,” that’s not a legal defense. In fact, it’s evidence that there was no adequate human oversight.

How Can I Comply with the Law?

This doesn’t mean you should avoid AI in your hiring process. It means you need to use it with the same controls you’d apply to any important employment decision, with some of them being:

  1. Investigate the tool before using it. Ask the vendor whether an independent bias audit has been done, when the most recent one was, and whether they’re willing to share those results with your candidates if asked.
  2. Never let the AI have the final word. Use the tool to organize or prioritize, not to automatically reject candidates without human review. A human being should be able to explain and justify every decision.
  3. Notify candidates. Even though Puerto Rico doesn’t yet require it by law, it’s good practice — and a legal defense — to disclose in the job posting that AI technology will be used as part of the evaluation process.
  4. Document the process. Keep records of which tool you used, what criteria the system applied, and what human review took place before each rejection. If no one ever asks, you’ve lost nothing. If they do ask, that documentation is your defense.
  5. Have an alternative process. If a candidate doesn’t want their application evaluated by AI, set up a process where a person reviews their résumé directly.
  6. Review your vendor contract. Who’s responsible if the tool produces a discriminatory outcome? Do you have the right to audit how it works? These clauses are rarely negotiated, but you should try.

The Bottom Line

AI can genuinely save you time in the hiring process, and there’s nothing wrong with using it. The problem isn’t the technology — it’s treating it as if it were neutral, infallible, or someone else’s responsibility. If an AI tool screens out candidates in discriminatory ways, the law holds you, the employer, responsible. Use it as a support tool, keep human oversight on every decision, document your process, and verify — before you buy, not after a complaint — what controls the tool you’re using actually has.

Are you using or considering using AI in your hiring process and aren’t sure whether your current process exposes you to legal risk? Let’s talk. Schedule a consultation here.

Tu Vendedor de Cámaras de Seguridad Quiere Añadir Una a Tu Baño – ¿Vale la Pena Arriesgar 3 Años de Cárcel por Esto?

Un vendedor de sistemas de seguridad te ofrece un buen negocio: un paquete completo de cámaras para tu oficina o clínica, incluyendo unidades para “cada cuarto” — baños incluidos. ¿Lo debes aceptar esta oferta? La respuesta sencilla es “No“.

Instalar una cámara en un baño no está en una zona gris. En la mayoría de los estados, es un delito específico, una acción civil, o ambos — sin importar si eres dueño del local, si los empleados consintieron a un “monitoreo general” en el trabajo, o si tu intención era puramente prevenir robos.

Todo Tipo de Leyes y Reglamentos Están en Contra de la Oferta de Tu Vendedor

Las leyes de vigilancia por video en Estados Unidos son en práctica un mosaico de estatutos, pero entre ellas hay un principio casi universal: las personas tienen una expectativa razonable de intimidad en espacios donde pueden estar desnudas o parcialmente desvestidas — baños, vestidores y áreas de cambio encabezan esa lista en casi toda jurisdicción.

Las siguientes capas de ley aplican aquí:

1. El vacío de la Ley Federal de Interceptación de Comunicaciones (Wiretap Act) y ECPA no te ayuda aquí. La mayoría de las cámaras de seguridad no graban audio, por lo que generalmente quedan fuera del alcance del Wiretap Act y el Electronic Communications Privacy Act (“ECPA”), ya que esas leyes regulan comunicaciones, no videos silenciosos. Algunos dueños de negocios piensan que “si no hay audio, no hay problema con ECPA” y asumen que eso significa que el video no está regulado. No es así. El silencio en ECPA sobre el video sin audio solo significa que tienes que buscar en otras leyes – y las leyes estatales llenan ese vacío rápidamente, especialmente para los baños.

2. Las leyes estatales prohíben específicamente grabar en baños y áreas de cambio. California, por ejemplo, prohíbe expresamente grabar video en baños, vestidores y lugares donde las personas se cambian de ropa. Muchos estados tienen estatutos similares de “video voyerismo” o “vigilancia ilegal” que criminalizan grabar — o incluso sólo instalar equipo de grabación — en un lugar donde alguien tiene una expectativa razonable de intimidad, sin importar si el material se ve o se usa alguna vez. Estos son frecuentemente delitos graves, y el consentimiento tuyo como dueño del negocio es irrelevante; lo que importa es el consentimiento (o conocimiento) de la persona grabada.

3. Los entornos de salud y otros sectores regulados añaden otra capa. Si diriges una oficina médica, una cámara en el baño también genera problemas colaterales inmediatos: pacientes o empleados visibles en cámara dentro de un baño implica violaciones de dignidad e intimidad que van mucho más allá de las salvaguardas técnicas de HIPAA — es el tipo de situación que termina en una querella ante una junta licenciadora, una noticia en los medios, o ambas.

4. Incluso sin un estatuto específico, el derecho civil común (common law) te alcanzará. Toda jurisdicción en Estados Unidos reconoce alguna versión de la acción de intrusión a la soledad (intrusion upon seclusion): intrusión intencional en los asuntos privados de alguien de una manera que resultaría “sumamente ofensiva para una persona razonable.” Una cámara en el baño es el ejemplo clásico que los tribunales usan para ilustrar este daño. Eso significa que incluso en un estado sin un estatuto criminal específico, un empleado, paciente o cliente que descubra la cámara puede demandarte civilmente — y los jurados tienden a tener poca tolerancia con este tipo de situación.

¿Qué Dicen la Constitución y el Código Penal de Puerto Rico?

Si operas en Puerto Rico, tu exposición es posiblemente mayor que en los 50 estados, ya que el derecho a la intimidad aquí no depende de un mosaico de estatutos estatales y agravios de derecho común. Está escrito directamente en la Constitución.

El Artículo II, Sección 8 de la Constitución de Puerto Rico dispone: “Toda persona tiene derecho a protección de ley contra ataques abusivos a su honra, a su reputación y a su vida privada o familiar.” Más aún, contrario a Estados Unidos, el Tribunal Supremo de Puerto Rico ha resuelto que este derecho constitucgional aplica directamente entre partes privadas, no solo contra la acción gubernamental. En Arroyo v. Rattan Specialties, Inc., 117 D.P.R. 35 (1986), el Tribunal resolvió que el derecho a la intimidad opera ex propio vigore — por su propia fuerza — y puede ser invocado por un ciudadano privado contra otro, incluyendo un patrono contra un empleado. Eso significa que una disputa por una cámara en el baño en Puerto Rico no necesita un estatuto separado para convertirse en una violación constitucional; la propia Constitución resuelve la controversia.

El Código Penal de Puerto Rico respalda esto con una disposición criminal específica. El Artículo 168 del Código Penal de Puerto Rico, titulado “Grabación ilegal de imágenes”, tipifica como delito que cualquier persona, sin justificación legal o sin un propósito investigativo legítimo, utilice equipo electrónico o digital de video — con o sin audio — para realizar vigilancia secreta en lugares privados, o en cualquier otro lugar donde se reconozca una expectativa razonable de intimidad. Un baño es un ejemplo tan claro de esto como puede existir. La convicción por este delito conlleva una pena de reclusión de 3 años, y si la parte convicta es una corporación (o cualquier persona jurídica), enfrenta una multa criminal de hasta $10,000, además de responsabilidad civil.

En conjunto, son 3 problemas legales independientes que se acumulan por aceptar la oferta del vendedor: una violación constitucional a la intimidad que no necesita un estatuto adicional para existir, un estatuto criminal específico que nombra la conducta, y responsabilidad civil por daños. No existe una versión de “no pensamos que esto aplicara” que sobreviva esta situación.

¿Cuánto Te Costará “Hacerlo Mal”?

Si estás comprometido con “proteger” todas las áreas de tu negocio, incluyendo los baños, enfrentas múltiples riesgos y costos reales, particularmente:

  • Responsabilidad criminal: Muchas leyes estatales de video voyerismo o vigilancia ilegal son delitos graves, conllevan multas y posible cárcel para la persona que instala u opera el equipo — que podrías ser tú, personalmente, no sólo “el negocio.”
  • Daños civiles: Las reclamaciones de intrusión a la soledad, entre otras reclamaciones de daños y perjuicios, pueden resultar en daños compensatorios, y los tribunales en Estados Unidos han permitido daños punitivos cuando la conducta se considera grave — una cámara en el baño está cerca de ser el caso paradigmático.
  • Reclamaciones laborales: Si la persona grabada es un empleado, esto podría surgir como una acción legal o administrativa por ambiente hostil de trabajo o despido injustificado si sigue alguna acción disciplinaria tras el descubrimiento.
  • Costo reputacional: A diferencia de una notificación de brecha de datos, este es el tipo de historia que sale en las noticias locales con el nombre de tu negocio en el titular. No hay multa regulatoria que cueste más que la confianza de clientes y pacientes que esto destruye.

¿Por Qué Debe Importarte Esto?

Porque aunque pienses que la oferta que te están haciendo suena razonable, podrías terminar en un gran problema. “Negocio completamente cubierto y protegido” suena como buena práctica de seguridad, y la mayoría de los dueños de negocios que instalan estos sistemas no están tratando de hacer nada invasivo — simplemente están pensando en problemas con entregas, robos, hurto en tiendas y responsabilidad por caídas. Sin embargo, tu buena intención no importa para la mayoría de estos estatutos, y tampoco le importará a un jurado. La ley no pregunta si tuviste buenas intenciones; pregunta si una persona razonable consideraría sumamente ofensivo ser grabada en ese espacio. En un baño, la respuesta ya está decidida.

Este es también un buen momento para auditar todo tu plan de cámaras y seguridad, más allá del baño — porque esa misma conversación con el vendedor es una buena oportunidad para pensar en dónde las cámaras son legalmente correctas (entradas, área de ventas, pasillos, estacionamientos) versus dónde cruzan la línea (baños, áreas de descanso usadas por madres lactantes, oficinas privadas con expectativa de confidencialidad).

¿Qué Puedes Hacer para Cumplir?

  1. Rechaza rotundamente cualquier cámara para baño, vestidor o área de lactancia. No existe aviso, formulario de consentimiento, o rótulo que arregle esto. No la instales, y no dejes que un vendedor la incluya en un paquete “por si acaso cambias de opinión.”
  2. Mapea la ubicación de tus cámaras contra las zonas de expectativa de intimidad. Entradas, cajas registradoras, almacenes, estacionamientos y áreas comunes de trabajo generalmente están bien. Baños, vestidores y oficinas privadas no lo están.
  3. Pon tu política de monitoreo por escrito. Para las cámaras que sí instales, prepara una política escrita — revisada por un abogado — que divulgue ubicaciones, propósito y retención ayuda a establecer aviso y reduce el riesgo de una reclamación relacionada con monitoreo por parte del personal.
  4. Verifica el estatuto específico de tu estado. Las leyes de video voyerismo y vigilancia ilegal varían — algunas cubren sólo propósitos “de gratificación sexual,” otras cubren cualquier grabación en un espacio privado sin importar el propósito. Si operas en Puerto Rico, la disposición aplicable es el Artículo 168 del Código Penal, la cual es más amplia que muchos estatutos estatales ya que no está limitado a un requisito de propósito sexual.
  5. Entrena a quien maneje el material grabado. Los controles de acceso y los límites de retención para material de cámaras legítimo también importan — quién puede verlo, cuánto tiempo se guarda, y cómo se protege.

En Resumen

Dile que sí a las cámaras. Dile que no a las unidades para el baño — siempre, sin excepciones, sin importar cómo se empaquete la oferta o qué tan buen descuento incluya. Esta es una de las pocas áreas del derecho a la intimidad donde no existe una manera de cumplir con la ley; la única respuesta correcta es no instalarla.

Si estás armando un plan de cámaras de seguridad para tu oficina, clínica o negocio de venta al detal y quieres una revisión de cumplimiento antes de firmar nada, reserva una consulta — mejor preguntar antes de instalar las cámaras que después.

Esta publicación es para propósitos informativos generales y no constituye asesoramiento legal. Las leyes sobre cámaras y vigilancia varían según el estado; consulta con un abogado sobre las reglas que aplican a tu ubicación e industria específica.

¿Podría un Correo Electrónico Enviado a tu Paciente por Gmail Costarte $73,000 en Multas?

¿Podría un solo correo electrónico — enviado desde tu cuenta personal de Gmail a un paciente, sin ninguna filtración, sin hacker, y sin datos expuestos en ningún lugar — costarle a tu consultorio decenas de miles de dólares en multas? Bajo HIPAA, la respuesta es sí. La Oficina de Derechos Civiles (OCR, por sus siglas en inglés) del Departamento de Salud y Servicios Humanos de los Estados Unidos de hecho ha multado en el pasado a una entidad cubierta específicamente por no tener un Acuerdo de Asociado de Negocio (BAA) vigente antes de permitir que los datos de un paciente fluyeran a través de un proveedor — sin que se requiriera ninguna filtración. Ese tipo de violación puede costar entre $1,461 y $73,011, y en casos de negligencia intencional, hasta $2,190,294 por incidente. Si tu consultorio está en Puerto Rico, hay una consideración adicional: el mismo mensaje enviado por correo electrónico puede activar un segundo y separado reloj de notificación bajo la ley de Puerto Rico — uno que se mueve más rápido que los plazos de HIPAA. Si tu consultorio le envía correos electrónicos a pacientes desde una cuenta de correo personal y gratuita, este es un riesgo que estás asumiendo cada vez que presionas “enviar.”

No es la Cuenta. Es el Uso.

HIPAA (la Ley de Portabilidad y Responsabilidad del Seguro Médico, por sus siglas en inglés) no dice en ningún lugar que “no tendrás una cuenta de correo gratuita.” Muchas entidades cubiertas y asociados de negocio usan Gmail, Yahoo u Outlook para programar citas, enviar ofertas de mercadeo, o correspondencia general que no incluye información de salud protegida (“PHI,” por sus siglas en inglés), sin infringir jamás la ley. El riesgo de violación aparece en el momento en que el PHI — nombres de pacientes vinculados a diagnósticos, detalles de tratamiento, información de facturación, o cualquier otro dato que pudiera identificar el estado de salud de alguien — viaja a través de esa cuenta sin las protecciones adecuadas.

Así que, aunque es incorrecto decir que “el correo gratuito viola HIPAA,” sí es correcto decir que usar correo electrónico gratuito de nivel consumidor para transmitir o almacenar PHI sin las salvaguardas y los acuerdos correctos es lo que genera exposición ante HIPAA.

La Penalidad — Hasta $2.19 Millones, Pero la Mayoría de los Casos Son Mucho Menores

Las multas civiles de HIPAA se evalúan en cuatro niveles, según el grado de responsabilidad de la entidad cubierta — no es una tarifa fija por “usar el proveedor de correo equivocado”:

  • Nivel 1 (Falta de conocimiento): de $145 a aproximadamente $36,505 por violación, por año — para consultorios que genuinamente no tenían manera razonable de saber que la configuración no cumplía.
  • Nivel 2 (Causa razonable): de $1,461 hasta $73,011 por violación, por año — aquí es donde suelen ubicarse la mayoría de las situaciones de “correo gratuito, sin BAA,” ya que un análisis de riesgo básico normalmente habría señalado el problema.
  • Nivel 3 (Negligencia intencional, corregida): de $14,602 hasta $73,011 por violación, por año — para consultorios que conocían el riesgo y no actuaron, pero lo corrigieron una vez señalado.
  • Nivel 4 (Negligencia intencional, no corregida en 30 días): de $73,011 hasta $2,190,294 por violación, por año — el nivel más severo, para consultorios que sabían y simplemente continuaron.

Y la OCR no es la única fuente de exposición: los gobiernos estatales tienen autoridad independiente para imponer sus propias sanciones relacionadas con HIPAA (hasta $25,000 por categoría de violación, por año), y una filtración que afecte a pacientes en varios estados puede desencadenar acciones simultáneas en múltiples estados, además de lo que imponga la OCR.

Por Qué las Cuentas de Correo Gratuitas Son Riesgosas para el PHI

Existen varias realidades estructurales que hacen que los servicios de correo para consumidores sean poco adecuados para manejar PHI:

1. No hay Acuerdo de Asociado de Negocio (BAA). Bajo las Reglas de Privacidad y Seguridad de HIPAA, cualquier proveedor que cree, reciba, mantenga o transmita PHI en nombre de una entidad cubierta es un “asociado de negocio” y debe firmar un BAA — un contrato que detalla cómo protegerá esos datos. Google y Microsoft sí ofrecen BAAs para sus servicios empresariales de pago (Proton Workspace, Google Workspace, Microsoft 365 con el plan adecuado), pero las cuentas estándar y gratuitas de Gmail, Yahoo y Outlook para consumidores están explícitamente excluidas de esos términos de BAA. Si el PHI se transmite a través de una cuenta gratuita, no existe un contrato conforme a la ley HIPAA que lo respalde.

2. Falta de garantías de cifrado. La Regla de Seguridad de HIPAA exige especificaciones de implementación “abordables” en torno al cifrado del PHI electrónico (ePHI), tanto en reposo como en tránsito. Las cuentas de correo gratuitas generalmente cifran los datos en tránsito entre los principales proveedores (mediante TLS), pero no hay garantía de cifrado de extremo a extremo (“end to end”), ni requisitos de registro de auditoría, ni certeza sobre cuánto tiempo permanecen los mensajes sin cifrar en un servidor o en la bandeja de entrada, enviados o papelera de alguien.

3. No tienen controles de acceso ni registros de auditoría. HIPAA exige que las entidades cubiertas implementen controles de acceso, controles de auditoría y controles de integridad sobre el ePHI. Una bandeja de entrada personal gratuita no ofrece permisos de usuario granulares, registro de actividad, ni la capacidad de demostrar — durante una investigación de la OCR — exactamente quién accedió a un mensaje y cuándo.

4. La seguridad del dispositivo y de la cuenta depende únicamente de ti. Las cuentas gratuitas a menudo se acceden desde teléfonos personales, computadoras compartidas o dispositivos sin gestión. Si ese dispositivo se pierde, es robado o se ve comprometido, no existe una política empresarial de gestión de dispositivos móviles (MDM), capacidad de borrado remoto, ni supervisión centralizada de TI para contener las consecuencias.

Qué Realmente Activa la Aplicación de la Ley

La OCR no busca activamente consultorios que simplemente tengan una cuenta de Gmail. Las acciones de cumplimiento suelen seguir un patrón: ocurre una filtración, el consultorio la reporta o un paciente presenta una queja, y la investigación de la OCR revela que el PHI se enviaba habitualmente por correo electrónico de consumo sin seguridad, sin BAA, sin cifrado y sin un análisis de riesgo documentado. La cuenta de correo suele ser solo el vehículo; la violación subyacente suele ser una falla más amplia en realizar un análisis de riesgo requerido o implementar salvaguardas razonables bajo la Regla de Seguridad.

Puerto Rico Añade un Segundo Reloj — Mucho Más Rápido

Si tu consultorio opera en Puerto Rico, HIPAA no es el único marco legal que le aplica. Dos estatutos de Puerto Rico que hemos cubierto en publicaciones anteriores se superponen directamente sobre un error de correo electrónico bajo HIPAA:

La Ley de Notificación de Violaciones de Seguridad de Puerto Rico (Ley 111 de 2005) enumera explícitamente “información médica protegida por HIPAA” como una de las categorías de información personal protegida bajo su propia definición. Esto significa que una exposición de PHI a través de correo electrónico sin seguridad no es solo un problema de HIPAA — también es una posible violación bajo la propia ley de violaciones de seguridad de Puerto Rico. Y el plazo de cumplimiento bajo esta ley es más corto que el de HIPAA: mientras HIPAA exige notificar a las personas afectadas “sin demora injustificada” y a más tardar en 60 días, la Ley 111 exige por separado informar al DACO (el Departamento de Asuntos del Consumidor de Puerto Rico) dentro de un plazo improrrogable de 10 días de haber detectado la violación de seguridad — un reloj mucho más corto que corre paralelamente a tus obligaciones federales. Un consultorio que sólo esté rastreando el plazo de 60 días de HIPAA podría fácilmente incumplir el plazo de 10 días de Puerto Rico sin darse cuenta de que una segunda ley estaba en juego.

La Ley de Notificación de Política de Privacidad de Puerto Rico (Ley 39 de 2012) y su Reglamento 8568 del DACO exigen que todo negocio que recopile información personal de residentes de Puerto Rico — incluyendo consultorios médicos — publique una política de privacidad clara y precisa. La buena noticia aquí: el Artículo 4 de la Ley 39 específicamente dispone que, cuando una ley federal como HIPAA ya rige las prácticas de privacidad de una industria, la ley de Puerto Rico se interpreta de manera consistente con ese marco federal, en lugar de imponer un estándar contradictorio adicional. En la práctica, esto significa que tu Aviso de Prácticas de Privacidad de HIPAA hace gran parte del trabajo necesario — pero la política de privacidad del sitio web de tu consultorio aún necesita satisfacer de forma independiente los elementos de divulgación específicos del Reglamento 8568 (como la manera en que tu sitio responde a las señales de “Do Not Track” y cómo notificas a los pacientes sobre cambios en tus políticas), cosas que un Aviso de Prácticas de Privacidad de HIPAA no está diseñado para cubrir.

¿Por Qué Debería Importarte Esto?

  • Un consultorio que cumple con HIPAA en papel aún puede estar expuesto específicamente en Puerto Rico. Si sólo has evaluado tu cumplimiento contra los requisitos federales de HIPAA, el reloj separado de 10 días del DACO bajo la Ley 111 es una brecha fácil e invisible — no aparece en una evaluación de riesgo de HIPAA, porque no es un requisito de HIPAA en absoluto.
  • Los hábitos del área de recepción suelen ser la verdadera exposición, no la infraestructura de TI. La mayoría de los consultorios que terminan en esta situación no tienen una filtración de datos sofisticada — tienen a un recepcionista o proveedor que, durante años, ha estado enviando resultados de laboratorio o detalles de citas desde una cuenta personal de Gmail porque es conveniente.
  • La solución cuesta mucho menos que la multa. Un plan de correo electrónico empresarial correctamente configurado y respaldado por un BAA (ProtonMail Workspace, Google Workspace o Microsoft 365 Business) cuesta unos pocos dólares por usuario al mes — una cifra insignificante comparada con incluso una sola multa de Nivel 2 de HIPAA.
  • “No lo sabíamos” es cada vez más difícil de argumentar. A medida que la orientación sobre correo electrónico y HIPAA se hace más pública (incluso a través de publicaciones como ésta), la OCR tiene más base para tratar el incumplimiento de un consultorio como Nivel 2 “causa razonable” en lugar de Nivel 1 “falta de conocimiento” — lo cual, por sí solo, puede elevar sustancialmente el rango de la penalidad.

¿Está Tu Consultorio Manejando el Correo Electrónico de los Pacientes de la Forma Correcta? Esto es lo Que Puedes Hacer Hoy.

Si tu consultorio necesita enviar PHI por correo electrónico, esto es lo que realmente te mantiene del lado correcto tanto de HIPAA como de la ley de Puerto Rico:

  • Usa correo electrónico de nivel empresarial con un BAA firmado (por ejemplo, ProtonMail Workspace, Google Workspace o los planes de Microsoft 365 Business/Enterprise, todos ofrecen BAAs).
  • Habilita el cifrado para los mensajes que contengan PHI.
  • Implementa controles de acceso para que solo el personal autorizado pueda ver los mensajes que contienen PHI.
  • Capacita al personal sobre qué se puede y qué no se puede enviar por correo electrónico, y cuándo usar en su lugar un portal seguro para pacientes.
  • Realiza un análisis de riesgo de HIPAA que aborde específicamente cómo se usa el correo electrónico en tu flujo de trabajo.
  • Conoce tus plazos específicos de Puerto Rico por separado de tus plazos de HIPAA — construye un plan de notificación que tome en cuenta el reloj de 10 días del DACO bajo la Ley 111, no solo el límite de 60 días de HIPAA.
  • Asegúrate de que la política de privacidad de tu sitio web satisfaga los requisitos específicos del Reglamento 8568(divulgación de “Do Not Track,” notificación de enmiendas a la política) de forma independiente de tu Aviso de Prácticas de Privacidad de HIPAA.
  • Considera una solución dedicada de mensajería segura o portal para pacientes en lugar del correo electrónico para cualquier información sensible.

En Resumen

No dejes que el titular te asuste pensando que tu cuenta personal de Gmail es automáticamente una violación de cumplimiento — así no funciona HIPAA. Sin embargo, tampoco dejes que la ausencia de una señal de alerta obvia te lleve a la complacencia. En el momento en que el PHI entra a esa bandeja de entrada sin un BAA, cifrado o controles de acceso adecuados, has creado un riesgo regulatorio, financiero y de confianza real — uno sobre el cual la OCR puede actuar incluso sin que ocurra jamás una filtración, y uno que, en Puerto Rico, puede activar un segundo reloj de notificación más rápido que la mayoría de los consultorios no conocen o saben que les aplica. La solución no es complicada: mantén el PHI fuera del correo electrónico de nivel consumidor por completo, o invierte en una plataforma empresarial correctamente configurada y respaldada por un BAA, diseñada para ello.

Si quieres asegurarte de que los hábitos de correo electrónico, la política de privacidad, y el plan de notificación de violaciones de seguridad de tu consultorio realmente cumplan con HIPAA y la ley de Puerto Rico, puedes reservar una consulta con nosotros hoy. Te ayudaremos a cerrar la brecha antes de que una queja de un paciente, una auditoría de la OCR, o un plazo de 10 días incumplido te obligue a actuar bajo mucha presión.