Protección de datos de pacientes en Estados Unidos: guía HIPAA y HITECH para centros radiológicos dentales

Si tu centro radiológico dental opera en Estados Unidos o atiende pacientes estadounidenses, estas bajo la jurisdicción de la Health Insurance Portability and Accountability Act (HIPAA, Public Law 104-191) de 1996 y su refuerzo posterior, el Health Information Technology for Economic and Clinical Health Act (HITECH) de 2009. Una sola brecha de PHI mal gestionada puede costar hasta USD 1.5 millones anuales por categoría de violación, más el daño reputacional del HHS Wall of Shame.

Este artículo explica qué es PHI, que exige cada regla, por que necesitas un BAA con cualquier proveedor cloud y cómo CBCTHub cumple los controles técnicos, físicos y administrativos que exige la Security Rule.

HIPAA en pocas palabras

HIPAA es un conjunto de regulaciones federales que protege la información médica de los pacientes (Protected Health Information o PHI) y establece estándares para su almacenamiento, transmisión y divulgación. Se compone principalmente de cuatro reglas:

• Privacy Rule: 45 CFR Part 160 y 164 Subparts A y E. Define qué es PHI y cuando se puede usar.
• Security Rule: 45 CFR Part 164 Subpart C. Exige controles técnicos, físicos y administrativos para PHI electrónica (ePHI).
• Breach Notification Rule: 45 CFR Part 164 Subpart D. Obliga a notificar brechas.
• Enforcement Rule: 45 CFR Part 160 Subpart C, D, E. Define el régimen sancionatorio del OCR.

Que es PHI y los 18 identificadores

PHI es cualquier información de salud que pueda asociarse a un individuo. La regla define 18 identificadores que convierten un dato en PHI: nombre, dirección, fechas (excepto año), teléfono, email, SSN, MRN, número de cuenta, número de licencia, placa del vehículo, identificadores de dispositivo, URL, IP, biométricos, fotos faciales, identificadores genéricos y cualquier otro identificador único. Una tomografía CBCT con el nombre del paciente en los metadatos DICOM es PHI.

Privacy Rule: cuándo puedes usar y divulgar PHI

El uso y divulgación de PHI requiere autorización del paciente, salvo en supuestos específicos: tratamiento, pago, operaciones sanitarias (TPO), salud pública, investigación con IRB y otros. Para enviar una tomografía a un especialista derivador, está autorizado por TPO. Para usarla en marketing, necesitas autorización escrita específica.

Security Rule: los tres tipos de salvaguardas

Salvaguardas administrativas

• Designación de un Security Officer.
• Análisis de riesgos formal y documentado.
• Políticas de gestión de accesos.
• Capacitación del personal.
• Plan de contingencia y respuesta a incidentes.

Salvaguardas físicas

• Control de acceso a las instalaciones donde se almacena PHI.
• Política de uso de estaciones de trabajo.
• Controles de dispositivos y medios.

Salvaguardas técnicas

• Autenticación única por usuario.
• Cifrado de ePHI en tránsito y en reposo (addressable, pero esperado).
• Audit controls que registren acceso a ePHI.
• Mecanismos de integridad.
• Cierre automático de sesión.

Business Associate Agreement (BAA): obligatorio

Cualquier proveedor que cree, reciba, mantenga o transmita PHI en tu nombre es un Business Associate (BA). Debes firmar un BAA con cada uno antes de compartir PHI. Esto incluye cualquier proveedor cloud (AWS, Google Cloud, Cloudflare, Supabase) y cualquier servicio que toque PHI (email, almacenamiento, analítica). Sin BAA, cualquier uso es una violación HIPAA.

HITECH Act: refuerzo de 2009

HITECH endurece el régimen: extiende HIPAA directamente a los BA, sube las multas, introduce la notificación obligatoria de brechas, crea el HHS Wall of Shame (lista pública de brechas que afectan a más de 500 individuos) y promueve la adopción de electronic health records.

Notificación de brechas

Cualquier brecha de ePHI no segura (que no estuviera cifrada según los estándares del HHS) requiere notificación:

• A los individuos afectados: dentro de 60 días.
• Al HHS: dentro de 60 días (o anual si menos de 500 individuos).
• A medios de comunicación: si afecta a más de 500 residentes de un estado o jurisdicción.

Sanciones del OCR (Office for Civil Rights)

El OCR aplica multas en cuatro niveles según la culpabilidad:

• Tier 1 (desconocimiento): USD 100 a USD 50,000 por violación, USD 25,000 anual máximo por categoría.
• Tier 2 (causa razonable): USD 1,000 a USD 50,000, USD 100,000 anual.
• Tier 3 (negligencia voluntaria corregida): USD 10,000 a USD 50,000, USD 250,000 anual.
• Tier 4 (negligencia voluntaria no corregida): USD 50,000 por violación, USD 1.5 millones anual máximo.

Además, brechas que afecten a más de 500 individuos aparecen en el HHS Wall of Shame, lista pública permanente que destruye la confianza del paciente.

Riesgos concretos para una clínica de imagen dental en EEUU

El laptop con copia de DICOM sin cifrar robado de un auto, el correo enviado a la dirección equivocada con un CBCT adjunto, el portal web mal configurado que expone exams por URL secuencial, el ex-empleado que descarga PHI antes de irse. Todos generan brechas reportables. Anthem pago USD 16 millones en 2018 por una brecha; UCLA Health, USD 7.5 millones; Memorial Healthcare, USD 5.5 millones.

Cómo CBCTHub te ayuda a cumplir HIPAA y HITECH

Cifrado de ePHI en tránsito y en reposo

TLS 1.3 en todas las conexiones y AES-256 en reposo en Cloudflare R2. Cumple el estándar safe harbor del HHS Guidance on Encryption: si los datos cifrados se exponen, no constituyen una brecha reportable.

Business Associate Agreement firmable

CBCTHub ofrece BAA listo para firma electrónica para clientes con planes Pro, Max y Ultra. La plantilla cubre la totalidad de los requisitos del 45 CFR 164.504(e).

Audit controls integrales

Cada acceso a un examen, cada descarga, cada modificación queda registrada con timestamp, IP y user_id. Cumple el requisito de Audit Controls del 164.312(b). El log es exportable en CSV para entregar a auditores OCR.

Autenticación única y control de accesos

Cada usuario tiene cuenta individual con autenticación. Soportamos SSO con Google y Apple, y MFA en planes superiores. Cumple el requisito de Unique User Identification del 164.312(a)(2)(i).

Cierre automático de sesión

Las sesiones expiran tras inactividad configurable. Cumple Automatic Logoff del 164.312(a)(2)(iii).

Control de acceso a nivel de fila (RLS) en Supabase

Aislamiento estricto entre clínicas. Ni el personal de CBCTHub puede ver PHI sin acceso explícito y registrado.

PIN y links únicos

Cada examen tiene URL única con identificador opaco y PIN opcional. El paciente o el dentista derivador solo accede con el link específico y, si está activado, el PIN. Cumple Access Control del 164.312(a).

Expiración automática de links

Los links compartidos expiran según la política configurada. Cumple el principio de mininum necessary del 164.502(b).

Borrado seguro

DELETE /api/v1/exams/{id} elimina ePHI de forma irreversible. Cumple Media Re-use del 164.310(d)(2)(ii).

Procedimiento de notificación de brechas

Tenemos plan documentado que cumple los plazos de 60 días para notificación al cliente. Si la brecha afecta a un cliente, lo notificamos para que pueda escalar al HHS dentro del plazo.

Localización en EEUU

Los datos de clínicas estadounidenses se alojan en regiones de EEUU. Cloudflare R2 y Supabase ofrecen regiones US-East y US-West.

Checklist de cumplimiento HIPAA para tu centro

• Designar Security Officer y Privacy Officer.
• Completar Risk Analysis documentado y actualizarlo anualmente.
• Firmar BAA con CBCTHub y con cada BA.
• Políticas escritas de uso y divulgación de PHI.
• Capacitación HIPAA del personal al ingreso y anual.
• Plan de respuesta a brechas con plazo de 60 días.
• Política de retención de PHI según estado (mínimo 6 años de documentación HIPAA).
• Auditoría anual de accesos a ePHI.
• Cifrado de todos los dispositivos que almacenen ePHI.

FAQ

¿Puedo enviar un CBCT por Gmail estándar?

No. Gmail estándar no es HIPAA-compliant porque Google no ofrece BAA. Google Workspace con BAA es HIPAA-compliant pero solo si tienes el contrato firmado y configurado. Lo más seguro es enviar un link CBCTHub.

¿Cuánto tiempo debo conservar la PHI?

HIPAA exige 6 años para la documentación administrativa. La retención de PHI clínica depende del estado: Florida exige 4 años después del último contacto, Texas 7, California permanente para menores.

¿Qué pasa si pierdo un laptop con PHI?

Si el laptop estaba cifrado según estándar HHS, no es una brecha reportable. Si no lo estaba, tienes 60 días para notificar al paciente y al HHS. Una clínica de Massachusetts pago USD 1.55M en 2016 por un laptop robado sin cifrar.

¿Necesito firmar algo con CBCTHub?

Si, un BAA. Está disponible para planes Pro, Max y Ultra. Solicitalo desde el panel de la cuenta.

Recursos oficiales

• HHS HIPAA Home
• Office for Civil Rights (OCR)
• HHS Breach Report (Wall of Shame)
• 45 CFR Subchapter C

Solícita el BAA de CBCTHub | Solución para centros radiológicos en EEUU | Planes y precios

Este artículo es informativo y no constituye asesoría legal. Consulta con un abogado especializado en HIPAA para tu caso específico.