HITECH no reemplaza a HIPAA: lo moderniza y lo refuerza. Mantiene las reglas de privacidad y seguridad de la información de salud, pero añade responsabilidad directa para los business associates, notificación obligatoria de brechas y una aplicación más firme por parte de la OCR. Aquí explicamos qué cambia en la práctica para su cumplimiento, incluida la destrucción de datos en equipos.
En resumen:
- Los proveedores que tratan información de salud protegida responden directamente ante la OCR y deben avisar a la entidad cubierta de cualquier brecha.
- La notificación debe hacerse antes de 60 días; si la brecha afecta a 500 personas o más, el aviso al Secretario es inmediato.
- La encriptación o destrucción conforme a las guías del Secretario puede evitar la notificación, pero solo si la organización conserva pruebas verificables de su aplicación.
- Antes de retirar equipos, registre cada dispositivo y su número de serie, conserve el certificado de destrucción y documente la cadena de custodia.
- Antes de transferir equipos a un tercero, firme o actualice el acuerdo con el asociado comercial y compruebe sus salvaguardas administrativas, físicas y técnicas.
Tabla de contenidos
- ¿Qué es HIPAA y a quién se aplica?
- ¿Qué es HITECH y qué añadió a HIPAA?
- Qué comparten HIPAA y HITECH
- Diferencias clave entre HIPAA y HITECH, dimensión por dimensión
- Implicaciones prácticas para entidades cubiertas y business associates
- Cómo afectan HIPAA y HITECH a la destrucción de datos y al reciclaje de dispositivos
- Guía operacional rápida: cómo alinear TI y reciclaje con HIPAA y HITECH
- Evidencia y mejores prácticas: cómo respaldar su programa ante la OCR
- Por qué la destrucción certificada debería estar en el centro del cumplimiento
- Destrucción y reciclaje certificados para cumplir HIPAA y HITECH
- Preguntas frecuentes
- Fuentes
¿Qué es HIPAA y a quién se aplica?
HIPAA, aprobada en 1996, estableció los estándares de privacidad y seguridad para la información de salud protegida, conocida como PHI. Su objetivo es que los datos clínicos y administrativos de una persona no circulen sin control. Dentro de la ley, las disposiciones de Administrative Simplification fijan estándares nacionales para las transacciones electrónicas y la seguridad. HHS publicó las reglas de Privacy y Security en 2000 y 2003, según su guía para profesionales.
Para operar con HIPAA conviene tener claras estas piezas:
- Privacy Rule: fija estándares nacionales sobre el uso y la divulgación de PHI y reconoce derechos a las personas sobre su información.
- Security Rule: protege la PHI en formato electrónico (ePHI) mediante salvaguardas administrativas, físicas y técnicas.
- Covered entities: proveedores de salud, planes de salud y centros de intercambio de información sanitaria que manejan PHI.
- Minimum necessary: cada acceso o divulgación debe limitarse al mínimo de datos que exige la finalidad concreta.
- Business associates: terceros que tratan PHI por encargo de una entidad cubierta, como un proveedor de TI o un servicio de destrucción de equipos.
Un ejemplo sencillo: un hospital que retira portátiles con historiales en el disco no puede entregarlos sin más a un tercero. Debe saber qué ePHI contienen, quién los gestiona y cómo se destruyen los datos. Esa lógica de control, que nace en HIPAA, es la que HITECH endureció años después.
¿Qué es HITECH y qué añadió a HIPAA?
HITECH se aprobó en 2009 dentro de la ARRA. Su impulso principal fue económico y tecnológico: promovió la adopción de tecnologías sanitarias y ofreció incentivos para implantar historiales clínicos electrónicos (EHR). Al digitalizarse los expedientes, también crecía el riesgo de pérdida, robo o exposición, y la norma original necesitaba herramientas más duras.
Lo que HITECH incorporó puede resumirse así:
- Modernización del ecosistema: incentivos para que hospitales y consultas pasaran del papel al registro electrónico.
- Mayor capacidad de aplicación: más facultades para el regulador y un régimen de sanciones más exigente.
- Notificación de brechas: obligación formal de avisar a las personas afectadas cuando se compromete PHI no segura.
- Obligaciones para terceros: los proveedores que tratan PHI dejaron de depender solo de lo pactado por contrato.
- Ampliación de obligaciones de privacidad y seguridad: el marco de 1996 se extendió para cubrir la realidad de los datos digitales.
El efecto práctico es que una organización que antes confiaba en un contrato bien redactado ahora debe asumir que su proveedor responde ante el regulador por sí mismo. Esa diferencia condiciona cómo elegimos y documentamos cada relación con terceros.
Qué comparten HIPAA y HITECH
Aunque a menudo se estudian por separado, funcionan como un marco unificado: HITECH cerró lagunas de HIPAA en lugar de crear un régimen paralelo. Ambas normas protegen la PHI y la ePHI, y sus reglas se leen en conjunto.
Estas son las continuidades que debe tener presentes un programa de cumplimiento:
- Un mismo objeto de protección. Tanto HIPAA como HITECH giran en torno a la PHI y a su versión electrónica; no hay un grupo de datos «solo HITECH».
- Reglas que se solapan. Las reglas de Privacy, Security y Breach Notification se aplican de forma complementaria, de modo que una decisión sobre acceso o custodia suele tocar las tres.
- Refuerzo, no sustitución. HITECH incorpora y endurece lo anterior; no deroga ninguna de las obligaciones fundacionales de HIPAA.
- Un programa único. Lo razonable es construir una sola política de cumplimiento que cubra ambos conjuntos de exigencias, con responsables, documentación y revisiones periódicas comunes.
Separar «el programa HIPAA» y «el programa HITECH» genera duplicidades y huecos. Una evaluación de riesgos, por ejemplo, sirve a la vez para la Security Rule y para demostrar diligencia ante un incidente de notificación.
Diferencias clave entre HIPAA y HITECH, dimensión por dimensión
La confusión desaparece al comparar qué aporta cada norma en los puntos que más pesan en la gestión del riesgo.
- Alcance: HIPAA es el estándar base de privacidad y seguridad de la PHI. HITECH se centra en la tecnología sanitaria, en la modernización de los registros y en reforzar el cumplimiento de lo ya establecido.
- Business associates: HITECH amplió el alcance de HIPAA al hacerlos directamente responsables, cuando antes estaban ligados sobre todo por el acuerdo contractual (BAA). Hoy responden por salvaguardas administrativas, físicas y técnicas, y no pueden alegar desconocimiento.
- Aplicación y sanciones: la OCR aplica un esquema por niveles según la negligencia, desde «sin conocimiento» hasta «desprecio intencional», con topes anuales ajustados por inflación que, en casos graves sin corregir, pueden alcanzar millones de dólares.
- Notificación de brechas: HITECH exige informar a los afectados sin demora indebida y, en ningún caso, más tarde de 60 días desde el descubrimiento. Los business associates deben avisar a la entidad cubierta dentro del mismo plazo.
- Excepciones: la obligación aplica a PHI no segura. Si los datos se han encriptado o destruido conforme a las guías del Secretario, la notificación puede no ser necesaria.
Un business associate ya no puede escudarse en el contrato: la OCR puede sancionar directamente a quien no implemente las salvaguardas exigidas, y no avisar a la entidad cubierta también puede desencadenar acción federal.
Un detalle que suele pasar desapercibido: cuando la brecha afecta a 500 o más personas, la notificación al Secretario debe ser inmediata; para brechas menores basta un registro anual enviado al Secretario. Conviene que su procedimiento interno distinga ambos umbrales desde el primer día.
Implicaciones prácticas para entidades cubiertas y business associates
Entender la ley sirve poco si no se traduce en acciones. Para reducir riesgo y poder demostrar cumplimiento, estos son los pasos que recomendamos, en orden de prioridad:
- Celebrar y mantener BAAs claros. Cada proveedor que toque PHI necesita un acuerdo vigente que defina qué datos trata, qué salvaguardas aplica y cómo notifica incidentes. HHS ofrece orientación práctica sobre cuándo un tercero es business associate y qué debe cubrir el BAA.
- Implantar salvaguardas administrativas, físicas y técnicas. Evaluaciones de riesgo periódicas, control de acceso por roles y encriptación de los dispositivos que contienen ePHI.
- Definir un protocolo de respuesta a brechas. Detección, evaluación de la probabilidad de compromiso, notificación a las personas afectadas, al HHS y, cuando proceda, a los medios, según la Breach Notification Rule.
- Documentar cada decisión. Evaluaciones de riesgo, inventario de dispositivos, BAAs firmados, certificados de destrucción y registros de notificación forman el expediente que le defenderá ante una auditoría.
- Revisar a los terceros antes de transferirles equipos. Verifique que el proveedor entiende sus obligaciones directas y que puede acreditar cómo destruye o borra los datos.
Consejo profesional: Trate el inventario de dispositivos como el documento central de su programa: si sabe qué equipo contenía ePHI, quién lo recibió y qué certificado lo respalda, la mayoría de las preguntas de un auditor ya están contestadas.
Un caso habitual ilustra el valor del orden documental: una clínica sustituye servidores y lo hace sin registro de números de serie. Meses después aparece un equipo en un mercado de segunda mano. Sin lista serializada ni certificado, la clínica no puede probar que el disco estaba destruido y debe tratar el hallazgo como posible brecha.
Cómo afectan HIPAA y HITECH a la destrucción de datos y al reciclaje de dispositivos
Aquí es donde la norma toca de lleno la operación de TI. La obligación de notificar surge ante PHI «no segura». Según la guía del Secretario, la encriptación y la destrucción son métodos que convierten la PHI en segura y, aplicados correctamente, eximen de notificar. Por eso la forma en que se retira un equipo tiene consecuencias legales directas.
Qué conviene conservar y por qué:
- Certificados de destrucción: son la prueba de que los datos quedaron inutilizables y sostienen la exención de notificación.
- Listas de números de serie: vinculan cada certificado con un dispositivo concreto, de modo que ningún equipo queda sin explicar.
- Cadena de custodia: acredita quién tuvo el equipo en cada momento desde que sale de sus instalaciones.
- Destrucción in situ: al realizarse en sus instalaciones, reduce el tramo en el que la ePHI podría quedar expuesta durante el transporte.
- Proveedores con trazabilidad: simplifican las auditorías porque la documentación ya llega ordenada y verificable.
Contratar un servicio sin esa trazabilidad traslada el riesgo a usted: si el proveedor pierde un lote, será usted quien deba demostrar que no hubo exposición. Para profundizar en los requisitos de reciclaje, puede consultar nuestra guía sobre reciclaje compatible con HIPAA y el artículo donde explicamos por qué cada lote necesita prueba de destrucción.
Guía operacional rápida: cómo alinear TI y reciclaje con HIPAA y HITECH
Este es el flujo que seguimos con los responsables de TI y cumplimiento que preparan equipos con ePHI para su retirada:
- Inventarie los activos y localice la ePHI. Identifique qué servidores, portátiles, discos y dispositivos móviles almacenan datos de pacientes, y quién es su responsable.
- Firme o actualice los BAAs con los proveedores de TI y de reciclaje antes de transferirles cualquier dispositivo.
- Aplique encriptación en reposo y en tránsito. Cuando no sea viable, por antigüedad o fallo del equipo, planifique la destrucción certificada.
- Ejecute la destrucción y registre cada equipo, con número de serie y fecha, vinculándolo al certificado emitido.
- Archive la documentación durante el plazo que fije su política, para justificar ante la OCR por qué no hizo falta notificar.
Consejo profesional: Solicite que el certificado de destrucción incluya la lista serializada de los dispositivos del lote: un certificado genérico sin números de serie vale mucho menos ante un auditor.
Si necesita apoyo para preparar los equipos, nuestra página sobre cómo preparar equipos electrónicos para reciclaje seguro detalla cada fase.
Evidencia y mejores prácticas: cómo respaldar su programa ante la OCR
Una buena práctica solo cuenta si puede acreditarla. Estas son las referencias y los documentos que sostienen su postura:
- Breach Notification Rule (45 CFR §§ 164.400-414): obliga a notificar a las personas, al Secretario y, en ciertos casos, a los medios; el HHS y la OCR supervisan su aplicación.
- Excepción por PHI inutilizable: si la información queda «rendered unusable» por encriptación o destrucción según las guías del Secretario, no se considera PHI no segura.
- Responsabilidad directa de los business associates: establecida por HITECH, responden ante la OCR sin necesidad de que exista un incumplimiento contractual previo.
- Expediente de respaldo: evaluaciones de riesgo, BAAs vigentes, certificados de destrucción y registros de notificación, ordenados cronológicamente.
El plazo es una línea roja: la notificación debe producirse sin demora indebida y nunca más tarde de 60 días desde el descubrimiento de la brecha.
Cuando la OCR evalúa un caso, valora qué sabía la organización y qué hizo para prevenirlo. Un expediente completo no evita todos los problemas, pero cambia la conversación del «no sabíamos» al «teníamos un control y lo documentamos».
Por qué la destrucción certificada debería estar en el centro del cumplimiento
Mi opinión, tras ver cómo se gestionan estos programas, es que muchas organizaciones tratan la retirada de equipos como una tarea logística y no como un riesgo regulatorio. Es un error. Un disco olvidado en un almacén puede convertirse en el incidente que más cueste, en dinero y en reputación, precisamente porque nadie lo tenía en el radar. La tendencia es hacia una aplicación más estricta y hacia una expectativa de documentación clara por parte del regulador. Mi recomendación es priorizar proveedores con certificados serializados y procesos visibles, y pedir esa evidencia antes de firmar, no después de un incidente.
— Keith
Destrucción y reciclaje certificados para cumplir HIPAA y HITECH
Cuando el cumplimiento depende de poder demostrar qué pasó con cada equipo, el proveedor importa tanto como la política. Nosotros ofrecemos recogida gratuita para empresas, destrucción de discos duros con certificación y destrucción in situ sin coste para volúmenes grandes, además de pago inmediato por los activos informáticos recuperables. Nuestros servicios pueden ayudarle a respaldar su defensa ante una auditoría. Si quiere valorar cómo encajaría en su programa, consulte nuestra página de destrucción de datos y solicite un presupuesto.
Este artículo es información general y no sustituye el consejo de un abogado cualificado. Consulte a un profesional del derecho cualificado sobre su caso particular antes de actuar según este contenido.
Preguntas frecuentes
¿HITECH sigue vigente hoy?
Sí. HITECH no fue derogada y sus disposiciones siguen formando parte del marco que se aplica junto con HIPAA. Sus exigencias sobre notificación de brechas y responsabilidad directa de los business associates continúan siendo la base de la aplicación actual.
¿HITECH es una ley federal?
Sí, es una ley federal de Estados Unidos aprobada en 2009 como parte de la ARRA. Su finalidad fue promover la adopción de tecnologías sanitarias y ampliar las obligaciones de privacidad, seguridad y notificación.
¿Cuál es la diferencia principal entre HIPAA y HITECH?
HIPAA establece las normas base de privacidad y seguridad de la PHI, y HITECH las refuerza para la era digital. La diferencia más práctica es que HITECH hizo directamente responsables a los business associates y formalizó la notificación de brechas.
¿En cuánto tiempo hay que notificar una brecha?
Debe hacerse sin demora indebida y, en ningún caso, más tarde de 60 días desde su descubrimiento, según la regulación de notificación de brechas. Los business associates deben avisar a la entidad cubierta dentro del mismo periodo.
¿Hace falta notificar si los datos estaban encriptados o destruidos?
Normalmente no, siempre que la encriptación o la destrucción se aplicaran conforme a las guías del Secretario, porque la información deja de considerarse PHI no segura. Conviene conservar la documentación que lo acredite.