¿Qué es el cumplimiento de HITECH?
La Ley de Tecnología de la Información Sanitaria para la Salud Económica y Clínica (Ley HITECH) se promulgó como parte de la Ley de Recuperación y Reinversión Estadounidense (ARRA) en 2009.
La Ley HITECH fomenta el uso significativo de los registros médicos electrónicos (EHR) por parte de los proveedores de atención médica y sus socios comerciales.
Antes de la Ley HITECH, las organizaciones de atención médica en los Estados Unidos operaban bajo la Ley de Portabilidad y Responsabilidad de Seguros Médicos (HIPAA), que fue diseñada para proteger la información médica protegida (PHI), mejorar la asequibilidad del seguro médico y simplificar la administración hospitalaria.
Sin embargo, después de 13 años en funcionamiento, era obvio que HIPAA tenía algunos problemas. A saber, la falta de estímulo para usar EHR y la falta de un requisito real para que los socios comerciales de las entidades cubiertas protejan la información confidencial. Estos dos problemas son los que llevaron al Congreso a aprobar la Ley HITECH en 2009.
La Ley HITECH también trató de anticipar los riesgos asociados con el intercambio de información médica protegida electrónica (ePHI). Lo hizo mediante la introducción de medidas de aplicación más estrictas para el incumplimiento de la Regla de Seguridad de HIPAA y la Regla de Privacidad de HIPAA para las entidades cubiertas y sus socios comerciales al exigir auditorías de seguridad de los proveedores de atención médica.
Estas auditorías determinan si un proveedor cumple con los estándares mínimos especificados para cumplir con HIPAA.
Estas medidas más estrictas, junto con algunos otros cambios que puede leer a continuación, cerraron las lagunas que permitían a algunas entidades evitar cumplir con las reglas de HIPAA.
Hoy en día, todos los proveedores de atención médica y otras entidades cubiertas deben cumplir con los requisitos de cumplimiento de HITECH.
Cómo cumplir con HIPAA
Para cumplir con HITECH, debe comprender los requisitos de cumplimiento de HIPAA. El cumplimiento de HIPAA se define bajo un conjunto de reglas, a saber, la Regla de Privacidad de HIPAA y la Regla de Seguridad de HIPAA, Regla de Aplicación de HIPAA.
En nuestra opinión, la regla más importante que debe comprender es la regla de privacidad de HIPAA, que describe cómo se puede usar y divulgar la información de salud protegida (PHI). Las otras reglas están diseñadas para respaldar la Regla de privacidad.
Describiremos la regla a continuación, pero si necesita más información, lea nuestra publicación completa sobre la Regla de privacidad de HIPAA aquí.
La PHI incluye información, incluidos datos demográficos, que se relaciona con:
- La salud o condición física o mental pasada, presente o futura de una persona
- La prestación de atención médica a la persona
- El pago pasado, presente o futuro por la prestación de atención médica a la persona
En efecto, esto significa datos que se pueden utilizar para identificar a una persona o cuando hay pruebas razonables de que podrían utilizarse. Esto significa que cualquier identificador común, como el nombre, la dirección, la fecha de nacimiento y el número de seguro social, se incluye en la PHI.
La HIPAA también reconoce que las entidades cubiertas van desde pequeños proveedores hasta grandes organizaciones multinacionales de atención médica y, por lo tanto, tienen flexibilidad y escalabilidad incorporadas en la Regla de Privacidad para permitir que las entidades analicen sus necesidades e implementen soluciones adecuadas para su entorno, tamaño y recursos.
Todavía hay requisitos que todas las entidades cubiertas por HIPAA deben cumplir:
- Políticas y procedimientos de privacidad: Las entidades cubiertas deben desarrollar e implementar políticas y procedimientos de privacidad por escrito que sean coherentes con la Regla de privacidad
- Personal de privacidad: Las entidades cubiertas deben designar a un funcionario de privacidad responsable de desarrollar e implementar sus políticas y procedimientos de privacidad, y una persona de contacto u oficina de contacto responsable de recibir quejas y proporcionar información sobre las prácticas de privacidad.
- Capacitación y gestión de la fuerza laboral: Todos los miembros de la fuerza laboral deben recibir capacitación sobre las políticas y procedimientos de privacidad de la entidad cubierta, según sea necesario y apropiado para que puedan llevar a cabo sus funciones.
- Mitigación: Las entidades cubiertas deben intentar mitigar cualquier efecto perjudicial que descubran que fue causado por el uso o la divulgación de PHI por parte de su fuerza laboral o socios comerciales en violación de sus políticas y procedimientos de privacidad o de la Regla de Privacidad.
- Salvaguardas de datos: Las entidades cubiertas deben mantener salvaguardas administrativas, técnicas y físicas razonables y apropiadas para evitar el uso o la divulgación intencional o no intencional de PHI.
- Seguridad de los datos: Los pacientes tienen derecho a que su PHI esté protegida y asegurada. Sus registros médicos, historial médico y otra información relevante no se pueden compartir, alterar o destruir a menos que esté de acuerdo con las pautas de HIPAA.
- Quejas: Las entidades cubiertas deben contar con procedimientos para que las personas se quejen sobre el cumplimiento de sus políticas y procedimientos de privacidad y la Regla de Privacidad. Entre otras cosas, las entidades deben identificar dónde las personas pueden presentar quejas y asesorar a los denunciantes que pueden presentar sus quejas ante el Secretario del HHS.
- Represalias y renuncias: Las entidades cubiertas no pueden tomar represalias contra una persona por ejercer los derechos previstos por la Regla de Privacidad, por ayudar a una investigación del HHS u otra autoridad apropiada, o por oponerse a un acto o práctica que la persona cree que viola la Regla de Privacidad.
- Retención de documentación y registros: Las entidades cubiertas deben mantener, hasta seis años después de la fecha de creación o la última fecha de vigencia, lo que ocurra más tarde, sus políticas y procedimientos de privacidad, sus avisos de prácticas de privacidad, disposición de quejas y otras acciones, actividades y designaciones que la Regla de Privacidad requiere que se documenten.
- Análisis y gestión de riesgos: Las entidades cubiertas por HIPAA deben realizar un análisis de riesgos de forma periódica como parte de su estrategia de gestión de riesgos de ciberseguridad.
Aprenda a cumplir con los requisitos de riesgo de terceros de HIPAA.
¿Qué problemas tenía la HIPAA?
Si bien la regulación de la HIPAA sentó las bases para la protección de la PHI y las mejoras en la atención médica, no fue lo suficientemente exhaustiva y no tuvo en cuenta el impacto que la tecnología tendría en el sistema de atención médica:
- Avance tecnológico: HIPAA se creó en 1996 antes de que hubiera un uso significativo de los sistemas EHR en la industria de la salud. El riesgo y el impacto de las violaciones de datos eran menores, lo que significaba que en 2009 era insuficiente para regular la privacidad electrónica y las medidas de seguridad.
- Lagunas técnicas: Los socios comerciales de las entidades cubiertas por la HIPAA pudieron evitar muchos de los requisitos de seguridad previstos debido a una laguna técnica. Esto significaba que los estándares de seguridad de los proveedores externos con acceso a la información de salud personal a menudo eran más bajos de lo que pretendía la HIPAA.
- Sanciones indulgentes: Las sanciones por violaciones de HIPAA no fueron lo suficientemente fuertes como para alterar los estándares de seguridad de la información de muchas organizaciones que prefirieron pagar la multa.
¿Cuáles son los objetivos de la Ley HITECH?
La Ley HITECH tenía cuatro objetivos principales que se describen en sus cuatro subtítulos:
- Subtítulo A - Promoción de la Tecnología de la Información de la Salud: El Subtítulo A trata de la creación de una nueva infraestructura de atención médica electrónica, incluida la adopción de la información de la atención médica en formato electrónico. La idea es crear un estándar nacional para la calidad, seguridad y eficiencia de la atención médica. Además, se ocupa de cómo se adoptarán estos estándares y cómo se coordinarán el gobierno federal y las entidades privadas.
- Subtítulo B: Pruebas de tecnología de la información de la salud: El subtítulo B trata sobre quién puede solicitar subvenciones y fondos para formar parte de la investigación y las pruebas de la tecnología de la información de la salud. En resumen, instituciones de educación superior, entidades sin fines de lucro y laboratorios federales.
- Subtítulo C: Financiamiento de subvenciones y préstamos: El subtítulo C describe cómo se utilizan los fondos de subvenciones y préstamos, quién garantiza que los fondos se utilicen correctamente y cómo se cumplen los estándares para las tecnologías de la información de salud.
- Subtítulo D: Privacidad: El subtítulo D describe las disposiciones mejoradas de seguridad y privacidad, la relación entre estas y otras leyes, y trata sobre los socios comerciales de las entidades cubiertas que ahora deben estar sujetos a las mismas regulaciones y estándares que las entidades cubiertas por HIPAA.
En 2006, casi 9 de cada 10 médicos utilizaron documentos en papel para registrar el historial médico del paciente, tratamientos anteriores y otra información de atención médica.
A partir de 2017, esta tendencia se ha revertido con casi 9 de cada 10 médicos que utilizan algún tipo de registro de salud electrónico.
Si bien esto se diseñó para mejorar los resultados de los pacientes y reducir el costo de la atención, también introdujo un riesgo de seguridad significativo en forma de violaciones de datos y fugas de datos. Estos incidentes de seguridad no solo afectan a los pacientes, sino que también afectan a las organizaciones sanitarias. La sanidad tiene el coste medio más alto del sector de una violación de datos, con 6,45 millones de dólares.
Esta es la razón por la que la Ley HITECH introdujo requisitos obligatorios de notificación de violaciones de datos y sanciones más severas por negligencia accidental o intencional de los requisitos de cumplimiento.
Siga esta lista de verificación para implementar un programa de cumplimiento de HIPAA.
¿Cuáles son los seis componentes de la Ley HITECH?
Hay seis componentes principales de la Ley HITECH:
- Programa de uso significativo
- Socio comercial Cumplimiento de HIPAA
- Regla de notificación de infracciones
- Negligencia y auditación deliberadas
- Actualizaciones de cumplimiento de HIPAA
- Acceso a las historias clínicas electrónicas
1. Programa de uso significativo
El Programa de Uso Significativo fue creado por el Departamento de Salud y Servicios Humanos (HHS, por sus siglas en inglés) para incentivar la adopción de EHR al proporcionar una compensación a los proveedores de atención médica por adoptarlos y usarlos de manera significativa.
>Según los Centros para el Control y la Prevención de Enfermedades (CDC, por sus siglas en inglés), el concepto de uso significativo se basa en los cinco pilares de las prioridades de las políticas de resultados de salud:
- Mejorar la calidad, la seguridad, la eficiencia y reducir las disparidades en la salud
- Involucrar a los pacientes y sus familias en su salud
- Mejorar la coordinación de la atención
- Mejorar la población y la salud pública
- Garantizar una protección adecuada de la privacidad y la seguridad de la información personal de salud.
En la práctica, esto significa:
- Recetas electrónicas: Los pacientes pueden recibir y pedir medicamentos recetados en línea.
- Intercambio de información sanitaria: Apoyar el envío, la recepción y la incorporación de información sanitaria electrónica.
- Intercambio de proveedores a patentes: Proporcionar a los pacientes acceso electrónico a su información de salud.
- Intercambio de datos clínicos y de salud pública: Reporte al menos dos agencias de salud pública o registros de datos clínicos diferentes para cualquiera de los siguientes: Informes de Registros de Inmunización, Reporte de Casos Electrónicos, Reporte de Registros de Salud Pública, Reportes de Registros de Datos Clínicos o Reportes de Vigilancia Sindrómica.
A partir de 2017, los proveedores de atención médica que no cumplan se enfrentan a una reducción del 3% en las tarifas de Medicare y Medicaid.
2. Cumplimiento de HIPAA para socios comerciales
Según la HIPAA, se suponía que los socios comerciales tenían la obligación contractual de cumplir con los requisitos de cumplimiento. Sin embargo, esto fue fácilmente eludido por las entidades cubiertas que podían alegar que no sabían que un socio comercial no cumplía con las normas.
Esto significaba que la PHI manejada por socios comerciales podría estar en riesgo, ya que no tenían una necesidad real de cumplir con las regulaciones de privacidad o seguridad.
La Ley HITECH cambió esto al introducir requisitos estrictos para los acuerdos de socios comerciales que los hacían responsables de violaciones, entre ellas:
- Incumplimiento de las normas de seguridad de la información
- No denunciar una violación de datos
- Tomar represalias contra una persona que presenta una queja de HIPAA
- Falta de cooperación con una queja o revisión de cumplimiento
3. Regla de notificación de incumplimiento
La desventaja de un mayor uso de EHR es un mayor riesgo de ciberdelitos, en particular de phishing u otros ataques cibernéticos. Sin las medidas adecuadas, es probable que el número de violaciones de datos aumente.
La Ley HITECH aumentó los requisitos de seguridad y las sanciones por incumplimiento en un intento de mitigar este riesgo. También introdujo requisitos obligatorios de violación de datos en virtud de la Regla de Notificación de Infracciones.
La Regla de Notificación de Incumplimiento requiere que las entidades cubiertas por HIPAA y los socios comerciales proporcionen una notificación después de una violación de información de salud protegida no segura.
Una violación es, generalmente, un uso o divulgación no permitido bajo la Regla de Privacidad que compromete la seguridad o privacidad de la información de salud protegida. No se considera una violación si se puede demostrar que existe una baja probabilidad de que la información de salud protegida se haya visto comprometida sobre la base de una evaluación de riesgos de al menos los siguientes factores:
- La naturaleza y el alcance de la información de salud protegida de que se trate, incluidos los tipos de identificadores y la probabilidad de reidentificación;
- La persona no autorizada que usó la información de salud protegida o a quien se hizo la divulgación;
- Si la información de salud protegida fue realmente adquirida o vista; y
- El grado en que se ha mitigado el riesgo para la información de salud protegida.
Si se ha producido una infracción, se debe notificar al público. El método de notificación depende del número de personas afectadas.
En el caso de infracciones de menos de 500 personas, la entidad cubierta debe notificar a las personas en un plazo de 60 días con una carta que contenga:
- Una breve descripción de la infracción
- Una descripción de los tipos de información implicados en la violación
- Las medidas que las personas afectadas pueden tomar para protegerse de posibles daños
- Una breve descripción de lo que la entidad cubierta está haciendo para investigar la infracción, mitigar el daño y prevenir nuevas infracciones
Para infracciones que involucren a más de 500 personas, además de lo anterior, las entidades cubiertas deben:
- Notificar al Secretario del HHS sin demora injustificada y en ningún caso después de 60 días después de una violación
Por último, en el caso de incumplimientos que afecten a más de 500 personas en un Estado de jurisdicción, además de las medidas anteriores, las entidades cubiertas deben:
- Notificar a los principales medios de comunicación al servicio del Estado o de la jurisdicción.
4. Negligencia intencional y auditación
La Ley HITECH también otorgó a la Oficina de Derechos Civiles (OCR) del HHS el poder de auditar a las entidades cubiertas por HIPAA y a los socios comerciales para garantizar el cumplimiento de HIPAA.
Junto con el poder de auditar, tienen un sistema escalonado de sanciones y multas por infracción:
- Nivel A: Sanciones por violaciones de HIPAA en las que el infractor no se dio cuenta de que violó la Ley y habría manejado el asunto de manera diferente si lo hubiera hecho. El resultado es una multa de $100 por cada violación, y el total impuesto por dichas violaciones no puede exceder los $25,000 para el año calendario
- Nivel B: Para violaciones debidas a una causa razonable, pero no por "negligencia intencional". El resultado es una multa de $1,000 por cada violación de HIPAA, y las multas no pueden exceder los $100,000 por un año calendario.
- Nivel C: Por violaciones debidas a negligencia intencional que la organización finalmente corrigió. El resultado es una multa de $10,000 por cada infracción, y las multas no pueden exceder los $250,000 durante el año calendario.
- Nivel D: Por violaciones de HIPAA de negligencia intencional que la organización no corrigió. El resultado es una multa de $50,000 por cada violación y las multas no pueden exceder los $1,500,000 durante el año calendario.
La Ley HITECH también otorga a los Fiscales Generales del estado el poder de aprovechar las multas y solicitar los honorarios de los abogados de las entidades cubiertas en nombre de las víctimas. Los tribunales también tienen la capacidad de adjudicar costas.
5. Actualizaciones de cumplimiento de HIPAA
Como se señaló anteriormente, la Ley HITECH cerró las lagunas de la HIPAA e introdujo sanciones más estrictas por incumplimiento. Antes de HITECH, las multas eran más pequeñas y a muchas organizaciones les resultaba más barato ignorar los requisitos de cumplimiento de HIPAA y simplemente pagar multas en lugar de invertir en seguridad.
Desde entonces, la Ley ha sido ampliada por el HHS con la Regla Ómnibus de HIPAA, que realizó modificaciones a la HIPAA de acuerdo con las pautas establecidas en 2009 por la Ley HITECH.
Estas directrices se refieren a las responsabilidades de los socios comerciales de las entidades cubiertas. La regla ómnibus también aumentó las sanciones por violaciones de cumplimiento de HIPAA a un máximo de $1.5 millones por incidente.
6. Acceso a las historias clínicas electrónicas
Antes de la Ley HITECH, la Regla de Privacidad de HIPAA otorgaba a los pacientes y miembros del plan de salud un derecho de acceso que les permitía obtener copias de su información de salud mediante una solicitud formal.
Sin embargo, con la introducción de los EHR, HITECH cambió el derecho de acceso para permitir que las personas accedan a sus datos de salud en formato electrónico si así lo desean. Esto facilitó que las personas compartieran sus datos de salud con otras organizaciones.
¿Qué es el Portal de Violación de OCR?
La Ley HITECH exigía que la Oficina de Derechos Civiles (OCR) del HHS comenzara a publicar un resumen de las violaciones de la atención médica reportadas por las entidades cubiertas por HIPAA y sus socios comerciales.
A partir de octubre de 2009, la OCR publica resúmenes de infracciones en su sitio web, que incluyen:
- El nombre de la entidad cubierta o socio comercial que experimentó la infracción.
- La categoría de la infracción
- La ubicación de la PHI violada
- El número de personas afectadas
Mejores prácticas para el cumplimiento de HITECH
Hay varios factores a la hora de pensar en el cumplimiento de HITECH:
- Enseñe a los empleados y socios comerciales sobre los requisitos de HITECH para garantizar que su organización cumpla con los requisitos de "uso significativo" de EHR, así como con las Reglas de privacidad y seguridad.
- Implemente un programa de seguridad de la información para garantizar la confidencialidad, disponibilidad e integridad de la PHI, como la gestión de la superficie de ataque y las herramientas de gestión de riesgos de proveedores como UpGuard BreachSight y UpGuard Vendor Risk.
- Utilice el principio de privilegios mínimos, control de acceso y RBAC para garantizar que un número limitado de empleados y proveedores externos tengan acceso a los datos confidenciales según sea necesario.
- Revisar las políticas y procedimientos internos para asegurarse de que cumplan con la Ley HITECH al ofrecer una protección adecuada a la PHI y otra información confidencial.
- Cree una política de retención. Una política de retención de documentos describe el proceso de identificación, categorización, mantenimiento, revisión, retención y destrucción de documentos que contienen información confidencial.
Para la evaluación de sus controles de seguridad de la información, UpGuard BreachSight puede monitorear su organización para 70+ controles de seguridad, proporcionando una calificación de seguridad cibernética simple y fácil de entender y detectar automáticamente credenciales filtradas y exposiciones de datos en buckets de S3, servidores Rsync, repositorios de GitHub y más.
UpGuard Vendor Risk puede minimizar la cantidad de tiempo que su organización dedica a evaluar los controles de seguridad de la información relacionados y de terceros mediante la automatización de cuestionarios de proveedores y el suministro de plantillas de cuestionarios de proveedores.
También podemos ayudarlo a comparar instantáneamente a sus proveedores actuales y potenciales con su industria, para que pueda ver cómo se comparan.
La principal diferencia entre UpGuard y otros proveedores de calificaciones de seguridad es que hay pruebas muy públicas de nuestra experiencia en la prevención de violaciones y fugas de datos.
Nuestra experiencia ha aparecido en medios como The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters y TechCrunch.
Puedes leer más sobre lo que dicen nuestros clientes en las reseñas de Gartner.