Lista de verificación de cumplimiento de HIPAA para consultorios pequeños

¿Qué es una lista de verificación de cumplimiento de HIPAA?

Cada línea sale del 45 CFR, parte 164, o del estatuto de brechas de Florida; los plazos para guardar documentos tienen su propia sección más abajo.

Fuente: eCFR, 45 CFR, parte 164 (vigente al 19 de octubre de 2026); avisos modelo de HHS (febrero de 2026); s. 501.171, Estatutos de Florida (2026).

¿Qué lleva la lista de la Regla de Privacidad de HIPAA?

• El aviso de prácticas de privacidad. Cada uso y divulgación que describe debe reflejar la ley más estricta, como el 42 CFR, parte 2 (164.520(b)(1)(ii)(C)–(D)). Los avisos modelo que HHS revisó en febrero de 2026 vienen en tres versiones: para proveedores de salud, para planes de salud y el aviso al paciente de la Parte 2; un programa de la Parte 2 que también es entidad cubierta puede combinarlos (programas de uso de sustancias).
• Cada revisión, colocada de nuevo. Un aviso revisado debe estar disponible a quien lo pida desde su fecha de vigencia y volver a colocarse sin demora en el consultorio y en internet (164.520(c)(2)(iv) y (c)(3)).
• Quién cuenta como personal. La capacitación cubre a todo el personal (164.530(b)), y el protocolo de auditoría de la OCR cuenta como personal a los contratistas en el sitio, los estudiantes y los voluntarios (capacitación en cumplimiento).

¿Qué lleva la lista de la Regla de Seguridad de HIPAA para el área de IT?

Las tres secciones de salvaguardas tienen 18 estándares: 9 administrativos (164.308), 4 físicos (164.310) y 5 técnicos (164.312). Debajo hay 36 especificaciones de implementación: 21 administrativas (10 obligatorias), 8 físicas (2 obligatorias) y 7 técnicas (2 obligatorias), así que 22, o el 61 %, son “Addressable”.

Las 14 obligatorias: el análisis de riesgos; el manejo de riesgos; una política de sanciones; la revisión de la actividad de los sistemas de información; la respuesta y el reporte de incidentes de seguridad; los planes de copias de respaldo, de recuperación ante desastres y de operación en modo de emergencia; un contrato escrito con cada socio comercial; la eliminación y la reutilización de medios; la identificación única de usuarios; un procedimiento de acceso de emergencia; y, solo para las cámaras de compensación (clearinghouses), aislar sus funciones de compensación.

Fuera de la identificación única y el acceso de emergencia, la lista técnica con la que trabaja su proveedor de IT (164.312) es “Addressable”: el cierre automático de sesión, el cifrado, un mecanismo que muestre que la ePHI no se alteró ni se destruyó, y los controles de integridad y el cifrado para la ePHI que viaja por una red. Los controles de auditoría y la autenticación de personas o entidades no tienen especificaciones propias: usted cumple cada estándar tal como está escrito (164.306(c)).

“Si implementar la especificación de implementación no es razonable y apropiado: (1) documente por qué no sería razonable y apropiado implementar la especificación de implementación; y (2) implemente una medida alternativa equivalente, si es razonable y apropiado.”

Un consultorio con un solo neurólogo y cinco empleados pagó $25,000 y aceptó un plan de acción correctiva (publicado el 25 de abril de 2025) después de un ataque de ransomware que pudo haber afectado a 6,800 personas; la OCR concluyó que no había hecho un análisis de riesgos “accurate and thorough” (preciso y completo).

¿Qué requisitos de notificación de brechas van en la lista de HIPAA?

Los cuatro factores detrás de la presunción de brecha (164.402) y lo que debe decir cada aviso están en nuestra página de servicios de cumplimiento de HIPAA. Los plazos:

El estatuto de Florida también dice:

• Qué datos de salud protege: un nombre junto con cualquier historial médico, condición, tratamiento o diagnóstico, o con un número de póliza o de suscriptor del seguro médico (s. 501.171(1)(g)).
• 15 días más para el aviso a los pacientes, con una causa justificada por escrito que usted le dé al Departamento dentro de los primeros 30 (s. 501.171(3)(a)).
• Reglas federales: el aviso que sigue las reglas de su regulador federal principal o funcional (“primary or functional federal regulator”) se considera válido como aviso a los pacientes, y una copia enviada a tiempo al Departamento se considera válida como aviso al Departamento (s. 501.171(4)(g)); si eso cubre su brecha lo decide su abogado.
• Burós de crédito: notificar a más de 1,000 personas a la vez obliga a avisar también a las agencias nacionales de informes de crédito (s. 501.171(5)).
• Agentes: un contratista puede enviar los avisos por usted, pero si no lo hace como corresponde, el estatuto considera la violación como de la entidad cubierta (s. 501.171(6)(b)).

¿Cuánto tiempo se guardan los documentos de HIPAA?

• Documentos de HIPAA: 6 años desde que se crearon o desde que dejaron de regir, lo que ocurra más tarde (164.530(j)(2); 164.316(b)(2)(i)). Una política que usted retira el 1 de marzo de 2027 se queda en el archivo hasta el 1 de marzo de 2033.
• Expedientes de los médicos: “at least five years from the last patient contact” (por lo menos cinco años desde el último contacto con el paciente; Regla 64B8-10.002(2)).
• Expedientes de los terapeutas: los LCSW, LMFT y LMHC, incluidos los internos, guardan “A full record of services” (un registro completo de los servicios) por 7 años después del último contacto (Regla 64B4-9.001(2); consultorios de terapia).

¿Cómo hace una auditoría interna de HIPAA con esta lista?

El propio protocolo de auditoría de la OCR (actualizado en julio de 2018) tiene 180 preguntas de auditoría.

Sus instrucciones: envíe solo los documentos que le piden (el auditor no va a buscarlos dentro de una carpeta con todas sus políticas); envíe las versiones vigentes en la fecha del aviso de auditoría; y si falta una muestra, entregue casos de un período anterior equivalente, o una declaración de que no existen.

Revise primero lo que más se alega en las quejas, en el orden de la OCR desde 2003: usos y divulgaciones no permitidos, falta de salvaguardas para la PHI, falta de acceso del paciente, falta de salvaguardas administrativas para la ePHI, y más de lo mínimo necesario (al 31 de octubre de 2024). Para el acceso, compare la fecha en que llegó cada solicitud con la fecha en que se respondió; una prórroga exige una razón por escrito y una fecha de entrega enviadas dentro de los primeros 30 días (164.524(b)(2)(ii)). Vea también su programa de cumplimiento y la preparación para auditorías.

¿Qué agregaría la regla propuesta a los requisitos de seguridad de HIPAA?

Nada hasta que sea definitiva: la propuesta del 6 de enero de 2025 (90 FR 898) es el único documento con su número en el Federal Register, la agenda federal pone la regla final en julio de 2027, y HHS dice que la Regla de Seguridad actual sigue vigente. Tal como se propuso, agregaría:

• todas las especificaciones de implementación obligatorias, con excepciones limitadas, y documentación por escrito de todas las políticas, planes y análisis;
• un inventario de los activos tecnológicos y un mapa de la red, actualizados por lo menos cada 12 meses;
• procedimientos escritos para restaurar ciertos sistemas y datos en 72 horas;
• una auditoría de cumplimiento por lo menos cada 12 meses;
• cifrado de la ePHI guardada y en tránsito, y autenticación multifactor, cada uno con excepciones limitadas;
• escaneos de vulnerabilidades por lo menos cada 6 meses y pruebas de penetración por lo menos cada 12 meses;
• un aviso a ciertas entidades reguladas dentro de 24 horas cuando cambia o termina el acceso de un empleado.

Qué puede hacer hoy con esta lista de HIPAA

1. Nombre a su oficial de privacidad, a su contacto para quejas y a su oficial de seguridad en un memorando con fecha (164.530(a)(2); 164.308(a)(2)).
2. Descargue el aviso modelo de febrero de 2026 de HHS para proveedores de salud, complete sus datos y reemplace las copias de la recepción y de su sitio web; guarde la versión anterior por 6 años.
3. Instale la Security Risk Assessment Tool v3.7 de HHS para Windows, o abra su versión en Excel, y anote dónde vive la ePHI: el EHR, la facturación, el correo, los teléfonos y las copias de respaldo. La herramienta guarda lo que usted escribe en su propia computadora.
4. Escriba una línea para cada una de las 22 especificaciones “Addressable”: implementada, o por qué no y cuál es la medida equivalente.
5. Abra un registro de solicitudes de acceso con tres fechas: recibida, vence (30 días después) y respondida.
6. Pídale a cada proveedor que guarda PHI su acuerdo firmado, y compare su plazo para avisar brechas con la gráfica.

Si prefiere delegarlo, desarrollamos, revisamos y actualizamos las políticas y los procedimientos de HIPAA, desarrollamos y revisamos los avisos a pacientes, y coordinamos la capacitación en HIPAA: vea nuestros servicios de cumplimiento de HIPAA.