Cumplimiento normativo
Cumplimiento en publicidad y sitios web de salud: reglas de marketing de HIPAA
Las reglas de marketing de HIPAA parten de una definición: marketing es un mensaje que invita al paciente a comprar o usar un producto o servicio, con las excepciones de abajo. Usar información de pacientes con fines de marketing exige la autorización firmada de cada uno, salvo en una comunicación cara a cara o un obsequio promocional de valor nominal (45 CFR 164.508(a)(3)). Lo orientamos sobre cumplimiento digital, comunicaciones de salud, normas de accesibilidad y requisitos de publicidad en salud.
La respuesta corta
¿Qué exigen las reglas de marketing de HIPAA a un consultorio médico?
Usar información de pacientes con fines de marketing exige la autorización firmada de cada uno, salvo en una comunicación cara a cara o un obsequio promocional de valor nominal. El tratamiento y describir sus propios servicios no son marketing, salvo que un tercero le pague por el mensaje, y un aviso de cookies no es una autorización válida de HIPAA. The Advixor Group lo orienta sobre cumplimiento digital, comunicaciones de salud, normas de accesibilidad y requisitos de publicidad en salud.
Fuentes45 CFR, parte 164, subparte EBoletín de la OCR sobre rastreo en línea
Marketing
Reglas de marketing de HIPAA: qué cuenta como marketing y qué debe decir una autorización
Quedan fuera del marketing el tratamiento, la coordinación de la atención, recomendar otros proveedores o terapias, describir sus propios servicios y el manejo de casos (45 CFR 164.501), salvo que un tercero cuyo producto usted describe le pague por el mensaje. Los recordatorios para resurtir un medicamento que el paciente toma hoy también quedan fuera si lo que le paguen guarda una relación razonable con lo que a usted le cuesta enviarlos.
Si un tercero le paga, la autorización tiene que decirlo (164.508(a)(3)(ii)); vender información de pacientes exige una autorización que diga que usted recibirá un pago (164.508(a)(4)). Toda autorización, en lenguaje sencillo y con copia para el paciente (164.508(c)):
- indica qué información se usa, quién la entrega y quién la recibe, cada propósito y una fecha o evento de vencimiento;
- lleva la firma y la fecha del paciente;
- explica el derecho a revocarla por escrito, si el tratamiento puede condicionarse a que la firme y el riesgo de que quien la recibe la vuelva a divulgar.
Redes sociales
Cumplimiento en redes sociales: testimonios, fotos y respuestas a reseñas
El nombre, la historia o la foto de un paciente vinculados a su atención son información de salud protegida, y solo puede usarlos o divulgarlos sin una autorización válida cuando HIPAA lo permite (164.508(a)(1)): consiga el formulario firmado antes de publicar en línea un testimonio o una foto.
La regla de la FTC sobre reseñas (16 CFR, parte 465), vigente desde el 21 de octubre de 2024, prohíbe (465.2 a 465.8):
- las reseñas falsas, incluida su compra;
- los incentivos condicionados a que la reseña sea positiva o negativa;
- las reseñas de directivos y gerentes, o del personal y los familiares a quienes ellos se las piden, que no revelen esa relación;
- las amenazas legales infundadas o la intimidación para impedir o quitar una reseña;
- ocultar las reseñas negativas o de baja calificación en la página de reseñas de su propio sitio mientras presenta las demás como la mayoría o la totalidad;
- los seguidores o las vistas falsos.
Pedirles una reseña a todos sus pacientes por igual queda fuera de las disposiciones de 465.2 sobre reseñas compradas e internas (465.2(d)).
Su sitio web
Cumplimiento de marca en línea: píxeles de rastreo y avisos de cookies en su sitio web
En las páginas que piden iniciar sesión, como un portal de pacientes, la telesalud o las citas en línea, la OCR dice que las tecnologías de rastreo por lo general tienen acceso a información de salud protegida. Enviársela al proveedor de esa tecnología exige la autorización de cada paciente, o un acuerdo de socio comercial (BAA) firmado más un permiso de la Regla de Privacidad. Con fines de marketing, divulgarla sin autorizaciones es una divulgación no permitida, y no basta con que el proveedor prometa quitar o desidentificar los datos después de recibirlos. Una agencia de publicidad que recibe información de pacientes enfrenta la misma pregunta (cuándo un consultor se vuelve su socio comercial), y las herramientas de rastreo deben estar en su análisis de riesgos.
El 20 de junio de 2024 un tribunal anuló la parte del boletín que decía que HIPAA se activa cuando una dirección IP se conecta con la visita a una página pública, sin inicio de sesión, sobre condiciones de salud o proveedores específicos.
“Los avisos de un sitio web que piden a los usuarios aceptar o rechazar que el sitio use tecnologías de rastreo, como las cookies, no constituyen una autorización válida de HIPAA.”
Anuncios y ofertas
Cumplimiento de marca: lo que deben llevar el sitio web, los anuncios y las ofertas de un consultorio en Florida
| Elemento | A quién aplica | Qué exige | Regla |
|---|---|---|---|
| Aviso de prácticas de privacidad | Consultorios sujetos a HIPAA cuyo sitio web describe sus servicios | Publicado en un lugar destacado; disponible en formato electrónico | 45 CFR 164.520(c)(3) |
| Avisos de no discriminación y de ayuda con el idioma | Quienes reciben asistencia financiera del HHS, como los proveedores de Medicaid de Florida | Un lugar visible del sitio web; el aviso de ayuda con el idioma en inglés y en los 15 idiomas más hablados en Florida por personas con dominio limitado del inglés | 45 CFR 92.10, 92.11 |
| Aviso de estimado de buena fe | Proveedores que dan citas a pacientes sin seguro o que pagan por su cuenta | Destacado y fácil de encontrar en buscadores, en el sitio web, en el consultorio y donde se dan las citas; el estimado en 1 o 3 días hábiles | 45 CFR 149.610 |
| Tipo de licencia | Todo anuncio que nombre a un profesional | El tipo de licencia; para quienes tienen licencia bajo el capítulo 458, M.D., P.A. o A.A. (verifique una licencia) | s. 456.072(1)(t); regla 64B8-11.001(7) |
| Títulos de terapeutas | LCSW, LMFT, LMHC e internos registrados | El título o las siglas en todo material promocional | s. 491.0149 |
| Servicio gratis o con descuento | Médicos, enfermeras, terapeutas del capítulo 491 y otros profesionales con licencia de la lista | La declaración de las 72 horas, en mayúsculas | s. 456.062 |
| Obsequios a pacientes de Medicare o Medicaid | Cualquier proveedor | El valor nominal según la OIG: $15 por obsequio y $75 al año por paciente; nada de efectivo ni equivalentes de efectivo | OIG, 81 FR 88368 |
Fuentes eCFR (vigente al 19 de octubre de 2026); Estatutos de Florida (2026); regla 64B8-11.001 (19 de marzo de 2026); 81 FR 88368.
La declaración de las 72 horas le permite al paciente negarse a pagar o recuperar lo pagado por cualquier otro servicio que se le haga a raíz del anuncio y dentro de las 72 horas siguientes a su respuesta. Una factura que supere en $400 o más el estimado de buena fe le abre al paciente la resolución federal de disputas (45 CFR 149.620).
La regla 64B8-11.001(2) considera engañoso el anuncio de un médico que tergiverse los hechos o cuente solo una parte, cree expectativas falsas o injustificadas de beneficio, dé un precio sin sus variables, insinúe superioridad sobre otros médicos, omita el nombre del médico o afirme una especialidad reconocida por una entidad que la Junta no ha aprobado sin el aviso aclaratorio exigido. En casos de fraude o de una declaración falsa, los $10,000 por cargo del gráfico son obligatorios, no un tope (s. 456.072(2)(d)).
Fuentes s. 456.072(2)(d), F.S.; 45 CFR 102.3, tabla 1 (ajuste de 2025; no hubo ajuste en 2026); 16 CFR 1.98(d) (17 de enero de 2025).
Accesibilidad
Cumplimiento de la ADA y la Sección 504: ¿necesita un consultor de accesibilidad?
Ninguna de las tres reglas exige un revisor externo.
Sección 504: 45 CFR 84.84 exige a quienes reciben asistencia financiera del HHS que su contenido web y sus aplicaciones móviles cumplan los niveles A y AA de WCAG 2.1.
- 11 de mayo de 2026Una regla final provisional (91 FR 25496) aplazó cada fecha un año; las listas de verificación que dicen 2026 y 2027 están desactualizadas.
- 11 de mayo de 2027La exigencia empieza para quienes tienen 15 empleados o más.
- 10 de mayo de 2028Empieza para quienes tienen menos.
Fuentes 45 CFR 84.84; 91 FR 25496.
- Título III de la ADA: el consultorio profesional de un proveedor de salud es un lugar abierto al público (public accommodation) según 42 U.S.C. 12181(7)(F). El DOJ no tiene un reglamento web bajo el Título III; su guía les da flexibilidad en la forma de cumplir, remite a WCAG y no tiene fuerza ni efecto de ley.
- Título II de la ADA: el reglamento web del DOJ, con sus fechas del 26 de abril de 2027 y de 2028, cubre a las entidades públicas: los gobiernos estatales y locales y sus agencias (28 CFR 35.200).
Más de 1 de cada 4 adultos en EE. UU. tiene algún tipo de discapacidad (CDC, 5 de mayo de 2026).
Nuestra orientación
Qué cubre nuestra orientación sobre cumplimiento en marketing de salud y qué le toca a su abogado
Revisamos su sitio web, sus anuncios y su configuración de rastreo, redactamos las autorizaciones para testimonios, probamos el sitio contra WCAG 2.1 AA y capacitamos al personal para responder reseñas.
Brindamos consultoría y coordinación de cumplimiento, no asesoría legal: si un anuncio es engañoso, si un proveedor es socio comercial, si un programa cabe en una excepción o si una regla de accesibilidad alcanza a su consultorio lo decide su propio abogado.
Cumplimiento en marketing
Como parte de su programa de cumplimiento:
- Elaboramos, revisamos e implementamos los avisos y acuses de recibo que se exigen a los pacientes
- Coordinamos la capacitación sobre HIPAA
- Seguimos los cambios de las reglas
También lo ayudamos con auditorías e investigaciones.
Agende una consultaQué incluye
Qué incluye nuestro servicio de cumplimiento de marca y marketing
Cumplimiento de HIPAA
Los documentos y plazos de HIPAA, del aviso de privacidad a la respuesta ante una violación de datos.
Más informaciónAcuerdos BAA de HIPAA
Cuándo un proveedor necesita un acuerdo de socio comercial (BAA) y qué debe decir.
Más informaciónEvaluación de riesgos HIPAA
Qué cubre un análisis de riesgos de seguridad y qué espera ver la OCR.
Más informaciónLista de HIPAA
Todas las tareas de HIPAA en una lista, incluido su aviso de privacidad en línea.
Más informaciónCapacitación en cumplimiento
Capacitación en HIPAA, OSHA y fraude, despilfarro y abuso por puesto, con sus registros.
Más informaciónDesarrollo de negocios
Las leyes de referidos que debe superar un acuerdo de marketing pagado, incluida la Ley de intermediación de pacientes de Florida.
Más informaciónRespuestas rápidas
Reglas de marketing de HIPAA: planes, fotos de antes y después y publicaciones
El cumplimiento de marca, cómo anunciar los planes que acepta, las fotos de antes y después, las publicaciones del personal sobre pacientes y los registros que demuestran el cumplimiento. Traiga sus propios anuncios a una consulta.
¿Qué significa el cumplimiento de marca para un consultorio médico?
¿Podemos anunciar los planes Medicare Advantage que aceptamos?
¿Un consultorio de dermatología o estética puede publicar fotos de antes y después?
¿Qué pasa si un empleado publica algo sobre un paciente en redes sociales?
¿Qué registros demuestran el cumplimiento de marca si la Junta o la OCR los piden?
Hable con un asesor
Usted cuida a sus pacientes. ¿Quién cuida su negocio?
Cuéntenos dónde está su consultorio hoy. Le diremos qué haríamos primero.
Fuentes oficiales (en inglés)
Todas consultadas el 20 de octubre de 2026.
- eCFR (vigente al 19 de octubre de 2026): 45 CFR parte 164, subpartes D y E, 84.84, parte 92, parte 149, subparte G y 102.3; 16 CFR parte 465 y 1.98; 42 CFR 422.2266; 28 CFR 35.200
- HHS-OCR, boletín sobre tecnologías de rastreo en línea (26 de junio de 2024) y acuerdos de resolución de 2019, 2022 y 2023
- Federal Register: 91 FR 25496 (11 de mayo de 2026), 89 FR 68034 (22 de agosto de 2024) y 81 FR 88368 (7 de diciembre de 2016)
- Estatutos de Florida (2026): s. 456.062, s. 456.072 y s. 491.0149; regla 64B8-11.001 (19 de marzo de 2026)
- 42 U.S.C. 12181; DOJ, guía sobre accesibilidad web y la ADA (18 de marzo de 2022); CDC, Disability Impacts All of Us (5 de mayo de 2026)