Cumplimiento normativo
Servicios de cumplimiento de HIPAA para consultorios médicos y de salud mental
Nuestros servicios de cumplimiento de HIPAA cubren las reglas de Privacidad, Seguridad y Notificación de Violaciones para consultorios médicos y de salud mental. La iniciativa de análisis de riesgos de la OCR llegó a su acción número 14 el 18 de junio de 2026: ese análisis va primero. Armamos el programa con usted y lo mantenemos al día cuando cambian las reglas.
La respuesta corta
¿Qué cubren los servicios de cumplimiento de HIPAA?
El análisis de riesgos de seguridad, las políticas de privacidad y seguridad, el Aviso de Prácticas de Privacidad, los acuerdos de socio comercial, la capacitación del personal y la evaluación de riesgos de cada violación de datos, todo guardado 6 años. Actúe en 30 días ante una solicitud de expedientes y avise a los pacientes de una violación en 60 días desde que la descubre. The Advixor Group desarrolla y actualiza sus políticas y avisos para pacientes, coordina la capacitación en HIPAA, hace revisiones de cumplimiento y evaluaciones de riesgo, y sigue los cambios en las reglas.
Fuentes45 CFR 164.30845 CFR 164.31645 CFR 164, subparte D45 CFR 164, subparte E
Análisis de riesgos
La consultoría en cumplimiento de HIPAA empieza por el análisis de riesgos de seguridad
- Todavía no es ley: la actualización que el HHS propuso en enero de 2025 (cifrado, autenticación multifactor y capacitación anual, entre otras medidas) sigue siendo una propuesta, con julio de 2027 como meta en la agenda federal.
- Lo que encontró la OCR en 2026: la falta de un análisis de riesgos preciso y completo detrás de un acuerdo de $450,000 con un plan de salud (18 de junio), de uno de $552,250 con un sistema de salud (29 de julio) y de uno de $700,000 con una empresa de pruebas genéticas que tampoco tenía un procedimiento para cortar el acceso de quien deja el empleo ni identificadores únicos de usuario (17 de septiembre).
Marcado como obligatorio (“Required”)
“Realizar una evaluación precisa y completa de los riesgos y las vulnerabilidades potenciales para la confidencialidad, la integridad y la disponibilidad de la información de salud protegida electrónica que tiene la entidad cubierta o el socio comercial.”
Documentos y plazos
Cumplimiento de HIPAA para proveedores de salud: los documentos y los plazos
| Documento o tarea | Plazo o frecuencia | Regla (45 CFR) |
|---|---|---|
| Análisis de riesgos de seguridad y plan de manejo de riesgos | Sin intervalo fijo; evaluación y revisión periódicas | 164.308(a)(1), (a)(8); 164.316(b)(2) |
| Oficial de privacidad, contacto para quejas, oficial de seguridad | Designados por escrito | 164.530(a); 164.308(a)(2) |
| Políticas de privacidad y seguridad | Actualizadas cuando cambien la ley o sus operaciones | 164.530(i); 164.316 |
| Aviso de Prácticas de Privacidad | A más tardar en el primer servicio, incluida la telesalud (téngalo listo al abrir un consultorio); a la vista en el consultorio y en línea; acuse de recibo solicitado. Desde el 16 de febrero de 2026, el HHS exige que incluya información sobre los registros de trastornos por consumo de sustancias de la 42 CFR Part 2 | 164.520(b)(1)(ii)(C)–(D), (c), (e); modelos de aviso del HHS |
| Acuerdos de socio comercial | Antes de compartir cualquier PHI; también obligan a los subcontratistas | 164.504(e); 164.314(a) |
| Capacitación del personal | Personal nuevo en un plazo razonable; tras cambios importantes de políticas; concientización continua en seguridad | 164.530(b); 164.308(a)(5) |
| Solicitud de enmienda | 60 días; una prórroga de 30 días | 164.526(b)(2) |
| Informe de divulgaciones | 60 días; una prórroga de 30 días; cubre 6 años; el primero en 12 meses es gratis | 164.528 |
| Quejas y sanciones al personal | Cada una documentada, con su resultado | 164.530(d), (e) |
| Evaluación de riesgos de una violación de datos | Antes de decidir no notificar | 164.402; 164.414(b) |
Fuente eCFR, vigente al 15 de octubre de 2026.
Guarde cada uno por 6 años desde que se creó o desde la última fecha en que estuvo vigente, lo que sea más tarde (164.316(b)(2)(i); 164.530(j)(2)).
Recepción
Ayuda con HIPAA para la recepción: solicitudes de expedientes en 30 días
- El plazo: actúe dentro de 30 días de la solicitud; una sola prórroga de hasta 30 días más exige un aviso por escrito con el motivo y la nueva fecha, enviado dentro de los primeros 30.
- El formato: el que pida el paciente, si se puede producir con facilidad, y una copia electrónica de los expedientes electrónicos.
- El cobro: HIPAA solo permite un cargo razonable basado en costos por la mano de obra de copiado, los materiales, el envío y un resumen acordado. Florida exige que las copias se entreguen a tiempo, sin demoras por revisión legal, y nunca a condición de pagar los servicios (s. 456.057(6)), y los licenciados de la Junta de Medicina le cobran al paciente como máximo $1.00 por página en las primeras 25 páginas y 25 centavos después (regla 64B8-10.003). Pregúntele a su abogado qué límite rige en cada solicitud.
- Consultorios de terapia: las notas de psicoterapia que se guardan aparte del expediente quedan fuera del derecho de acceso (164.524(a)(1)(i)); los medicamentos, las horas de las sesiones, los resultados de pruebas y los resúmenes de diagnóstico, plan de tratamiento y progreso no son notas de psicoterapia (164.501), así que esa exclusión no los cubre. Vea también nuestra guía de notas de progreso.
- Sanciones de la OCR: las demoras en el acceso han costado multas civiles de $70,000 a $200,000 (2024–2025).
Tras una violación
Consultoría de HIPAA después de una violación de datos: la prueba de cuatro factores y los plazos
Un uso o una divulgación no permitidos se presumen una violación de datos (breach), salvo que una evaluación de riesgos documentada demuestre una baja probabilidad de que la información se haya comprometido, considerando por lo menos qué información se vio afectada, quién la recibió, si de verdad se obtuvo o se vio y cuánto se mitigó el riesgo. A usted le toca probarlo (164.402; 164.414(b)). Los avisos de abajo aplican a las violaciones de PHI no asegurada (unsecured PHI) (164.402; 164.404(a)(1)).
- Pacientes: sin demora injustificada y dentro de los 60 días calendario desde que la descubre, en lenguaje sencillo, por correo de primera clase o por email si el paciente lo aceptó: qué pasó y cuándo, qué información, qué pasos tomar, qué está haciendo usted y un teléfono gratuito, email, sitio web o dirección postal (164.404). Si hay 10 o más que no se pueden localizar, un aviso de 90 días en la página principal de su sitio web o en medios importantes, más una línea gratuita durante 90 días.
- HHS y medios: si son 500 personas o más, al HHS al mismo tiempo que a los pacientes; si son menos, un registro que se reporta dentro de los 60 días siguientes al cierre del año calendario (164.408). Si son más de 500 residentes de un estado, también hay que avisar a los medios principales (164.406). La OCR investiga toda violación de 500 personas o más; una violación de PHI que también es expediente de Part 2 se reporta por separado, como violación de HIPAA y como violación de Part 2.
- Florida: 30 días desde que se determina la violación, para avisar a los pacientes y, cuando hay 500 floridanos o más afectados, al Departamento de Asuntos Legales. Según la s. 501.171(4)(g), el aviso que sigue las reglas de su regulador federal principal o funcional se considera cumplimiento del aviso a las personas, y una copia enviada a tiempo al Departamento se considera cumplimiento del aviso al Departamento; si eso cubre su caso lo decide su abogado. La multa civil es de $1,000 por día durante 30 días, luego $50,000 por cada 30 días, hasta $500,000, por violación de datos y no por persona afectada (s. 501.171(9)(b)).
Multas
Lo que puede costar una auditoría o investigación de HIPAA
El máximo por infracción es de $73,011 en los tres primeros niveles y de $2,190,294 por negligencia deliberada sin corregir, que es también el tope por año calendario para infracciones idénticas. No hay multa por una infracción que, según usted demuestre, no se debió a negligencia deliberada y se corrigió dentro de los 30 días desde que usted supo, o debió saber, de ella (160.410(c)). Fuera de eso, el monto depende de las personas afectadas, el tiempo, el daño, su historial de cumplimiento y su tamaño (160.408), y el HHS debe considerar 12 meses de prácticas de seguridad reconocidas, como los métodos del NIST o los enfoques 405(d) del HHS, sin poder subir una multa por no tenerlas (42 U.S.C. 17941).
- Penal: hasta $50,000 y 1 año de cárcel por obtener o divulgar a sabiendas información de salud en violación de HIPAA, y hasta $250,000 y 10 años si es para venderla o usarla con fines de lucro o para hacer daño (42 U.S.C. 1320d-6).
- Part 2: los expedientes de trastornos por consumo de sustancias siguen los mismos cuatro niveles, de $103 a $1,538,970.
Fuente 45 CFR 102.3, tabla 1 (montos de 2025, vigentes en 2026 según el memorando M-26-11 de la OMB); niveles del 45 CFR 160.404.
Nuestros servicios
Nuestros consultores de cumplimiento de HIPAA: lo que hacemos y lo que va a su abogado
También hacemos el análisis de riesgos de seguridad con su suplidor de informática y armamos el plan de manejo de riesgos, ponemos en orden los acuerdos de socio comercial, redactamos su plan de respuesta ante violaciones de datos, montamos el registro de solicitudes de acceso y capacitamos a la recepción para usarlo, y revisamos las prácticas de consentimiento de Part 2 en los programas de consumo de sustancias.
HIPAA es parte de su programa de cumplimiento más amplio. Prestamos servicios de consultoría y coordinación en cumplimiento, no asesoría legal: los términos de un contrato, las decisiones sobre avisos de violaciones de datos y otras preguntas legales van a su propio abogado.
Servicios de cumplimiento de HIPAA
Le orientamos sobre estas reglas, y además:
- Desarrollamos y actualizamos sus políticas y procedimientos de privacidad y seguridad, con los avisos, acuses de recibo y formularios de consentimiento para pacientes que los acompañan
- Desarrollamos y coordinamos la capacitación en HIPAA de su personal y le ayudamos a mantener los registros de capacitación
- Hacemos revisiones internas de cumplimiento y evaluaciones de riesgo, y le ayudamos con inspecciones, auditorías, investigaciones y planes de acción correctiva
- Le orientamos sobre el cumplimiento digital y las reglas de publicidad en su sitio web y sus comunicaciones con pacientes
- Seguimos los cambios en las reglas, como la regla final de privacidad que la Casa Blanca revisa desde el 2 de abril de 2026, y le decimos qué actualizar
Qué incluye
Qué incluyen nuestros servicios de cumplimiento de HIPAA
Acuerdos BAA de HIPAA
Cuándo un suplidor necesita un acuerdo de socio comercial y qué debe decir.
Más informaciónLista de HIPAA
Todos los documentos y plazos de HIPAA en una sola lista.
Más informaciónCapacitación en cumplimiento
Capacitación en HIPAA para el personal nuevo y tras cambios de políticas, con registros de capacitación.
Más informaciónCumplimiento en marketing
Reglas de HIPAA para el marketing, su sitio web y las comunicaciones con pacientes.
Más informaciónRecursos humanos y capacitación
Políticas de sanciones para el personal que incumple las reglas de privacidad o seguridad, y cómo documentarlas.
Más informaciónConsultoría en salud conductual
Cómo 42 CFR Part 2 se suma a HIPAA en los programas de consumo de sustancias.
Más informaciónRespuestas rápidas
Cumplimiento de HIPAA: auditorías, consultores y certificaciones
Las auditorías de la OCR y cómo prepararse, los registros de auditoría, los consultores externos y las certificaciones. Lo demás, tráigalo a una consulta.
¿Cada cuánto audita la OCR a los consultorios?
¿Cómo nos preparamos para una auditoría de cumplimiento de HIPAA?
¿Qué exige HIPAA sobre los registros de auditoría?
¿Necesitamos un consultor de seguridad de HIPAA o podemos hacer la evaluación nosotros?
¿Hay alguna solución de cumplimiento de HIPAA certificada oficialmente?
Hable con un asesor
Usted cuida a sus pacientes. ¿Quién cuida su negocio?
Cuéntenos dónde está su consultorio hoy. Le diremos qué haríamos primero.
Fuentes oficiales (en inglés)
Todas consultadas entre el 15 y el 19 de octubre de 2026.
- eCFR, vigente al 15 de octubre de 2026: 45 CFR 102.3, parte 160, subparte D, 164.308, 164.312, 164.314, 164.316, parte 164, subpartes D y E; 42 U.S.C. 17941 y 1320d-6
- HHS-OCR: comunicados del 18 de junio, del 29 de julio, del 27 de agosto y del 17 de septiembre de 2026; plan de acción correctiva; resolution agreements; Enforcement Highlights; programa de auditorías; portal de violaciones de datos; pregunta frecuente sobre certificaciones
- HHS, Security Rule (Security Risk Assessment Tool) y 42 CFR Part 2
- reginfo.gov: RIN 0945-AA22 (agenda de 2026) y la lista de reglas en revisión de la OIRA (RIN 0945-AA00, recibida el 2 de abril de 2026); OMB, memorando M-26-11 (17 de abril de 2026)
- Estatutos de Florida (2026) s. 501.171 y s. 456.057; regla 64B8-10.003