¿Qué hace que el cumplimiento de HIPAA sea tan difícil?

Las consecuencias de no implementar y mantener medidas efectivas de cumplimiento de HIPAA han quedado muy claras en los últimos años. Semi-relacionado está también el problema de los hospitales y oficinas médicas que utilizan tecnología y soluciones obsoletas que dificultan el cumplimiento de la normativa de atención médica en su conjunto.

Las violaciones de datos que exponen en masa la información de salud de los pacientes y los ataques de ransomware que ponen en serio peligro la capacidad de las organizaciones de atención médica para proporcionar servicios son dos de los ejemplos más recientes de tecnología obsoleta que causa problemas. Dejando de lado el daño monetario que el incumplimiento trae a una organización de atención médica, el impacto que estos eventos tienen en su reputación es aún más preocupante.

¿No crees que tu organización necesita cumplir con HIPAA? Cuatro tipos de negocios de atención médica deben estar al tanto y adherirse a la regulación de HIPAA: planes de salud, centros de compensación de atención médica, proveedores de atención médica y asociados comerciales. (El no darse cuenta de que tu negocio no cumple o que tal regulación incluso existe ya no puede usarse como una defensa razonable si tu negocio es multado).

Cualquier empresa que se encuentre dentro de esos cuatro tipos recopila, procesa y almacena regularmente datos médicos y financieros de pacientes. Ya abrumados con enormes cantidades de datos, cualquiera de esos negocios puede comprometer inadvertidamente los datos de los pacientes o la red de atención médica sin la ayuda de un software de cumplimiento específico de HIPAA o una agencia de consultoría.  

Sin embargo, solo porque una organización o negocio de atención médica haya decidido dar pasos serios hacia el cumplimiento de HIPAA no significa que sea un proceso fácil. Y así, hemos compilado una lista de verificación que puedes usar para transformar tu organización en una que sea deliberada y resueltamente compatible.  

Lista de Verificación de Cumplimiento de HIPAA

Hay cuatro componentes en esta lista de verificación:

1. Realiza una evaluación de riesgos integral de tu organización — Primero lo primero, debes entender cómo se aplica HIPAA a tu práctica, instalación o negocio específico. Haces esto realizando una evaluación de riesgos para entender debilidades, vulnerabilidades potenciales y cualquier brecha en las medidas existentes. Puedes realizar autoauditorías regulares o puedes contratar una agencia de consultoría para auditar tu organización. El objetivo final es identificar qué elementos de HIPAA están en riesgo de incumplimiento.
2. Remediación — Una vez que hayas identificado las brechas y riesgos en el cumplimiento, debes crear planes para asegurarte de que esos problemas sean abordados. Algo a tener en cuenta: los planes de remediación no pueden ser genéricos. Los planes deben estar adaptados a las diferentes reglas de HIPAA que existen; las políticas y procedimientos varían si estás cumpliendo con la Regla de Privacidad de HIPAA, la Regla de Seguridad de HIPAA o la Regla de Notificación de Violaciones de HIPAA. (Discutiremos esas diferentes reglas y salvaguardas más adelante).
3. Monitorea, informa y capacita — Las soluciones de cumplimiento de HIPAA ofrecen informes de cumplimiento automatizados, lo cual es útil para tareas como identificar, rastrear, investigar e informar incidentes. Las diferentes reglas de HIPAA requieren salvaguardas administrativas, físicas o técnicas, todas las cuales se hacen mucho más fáciles con herramientas que automatizan las responsabilidades de monitoreo e informes. Además, el cumplimiento de atención médica de cualquier tipo es efectivo solo si cada miembro del personal y empleado participa. La capacitación es crucial y esencial para garantizar que tus esfuerzos de cumplimiento bien preparados se mantengan.
4. Gestión continua — La documentación es necesaria para demostrar que tu organización está manteniendo los esfuerzos de cumplimiento. Organizaciones como los Centros de Servicios de Medicare y Medicaid (CMS), la ONC (Oficina del Coordinador Nacional de Tecnología de la Información de Salud) y el HHS (Departamento de Salud y Servicios Humanos de EE.UU.) auditan regularmente a los proveedores de atención médica y asociados comerciales para asegurarse de que permanezcan en cumplimiento, año tras año. Además, gestionar y evaluar continuamente el riesgo ayudará a mantener tus salvaguardas en óptimas condiciones.

Reglas a seguir (siempre)

Hay cuatro reglas de HIPAA que las organizaciones de atención médica siguen, independientemente del tipo de negocio. Las Reglas de Privacidad y Seguridad deben cumplirse en todo momento. Vienen con tres salvaguardas. Las Reglas de Aplicación y Notificación de Violaciones establecen marcos post-incidentes.

1. Regla de Privacidad de HIPAA — La Regla de Privacidad protege toda la información de salud individualmente identificable que se comparte o almacena por organizaciones o negocios. La Regla de Privacidad protege la información de salud protegida (PHI), tanto electrónicamente (ePHI) como en papel, y otorga a los pacientes derechos sobre el acceso y la compartición de su propia información de salud personal. Los tipos de organizaciones que cuidan especialmente la Regla de Privacidad son: proveedores de atención médica, centros de compensación de seguros de atención médica y cualquier negocio que aproveche los datos de los pacientes.
2. Regla de Seguridad de HIPAA — La Regla de Seguridad protege la ePHI de los individuos; la regla establece específicamente parámetros alrededor de la creación, compartición y almacenamiento de dicha información de salud. Mantener la confidencialidad mientras se regula el acceso a esos datos son aspectos cruciales que la Regla de Seguridad asegura que las organizaciones de atención médica tengan. La Regla de Seguridad ayuda a las organizaciones a identificar brechas de seguridad que luego pueden abordarse a través de diversas salvaguardas adaptadas a los diferentes estándares de las organizaciones.

Salvaguardas

Las salvaguardas existen para prevenir la compartición no autorizada o ilegal de PHI, independientemente de si esa compartición se hizo intencionalmente o no. En última instancia, estas salvaguardas existen para proteger la información del paciente, pero también están destinadas a proteger a la organización de atención médica de comprometer sus esfuerzos de cumplimiento.

• Salvaguardas administrativas — Las salvaguardas administrativas ayudan a establecer políticas y procedimientos internos a través de procesos de gestión de seguridad, capacitación en concienciación sobre seguridad y planificación de contingencias. El personal médico y los empleados deben poder referirse a esas políticas para reducir cualquier violación inadvertida de la confidencialidad del paciente. La documentación es clave para implementar salvaguardas administrativas efectivas; también lo es el fácil acceso a esa documentación por parte de los empleados.
• Salvaguardas técnicas — Las salvaguardas técnicas ayudan a formular la Regla de Seguridad de HIPAA a través del control de acceso, control de auditoría y autenticación de entidades. Con las salvaguardas técnicas, las organizaciones de atención médica pueden garantizar la seguridad e integridad de las ePHI. Además, las salvaguardas técnicas monitorean el acceso de los usuarios a los sistemas de almacenamiento de ePHI.  
• Salvaguardas físicas —  Las salvaguardas físicas como los controles que ordenan el acceso a las instalaciones y el uso de dispositivos y medios ayudan a guiar la creación de las políticas que protegen los sistemas electrónicos que albergan las ePHI. Con las salvaguardas físicas, tanto la instalación de atención médica como los empleados pueden entender y prevenir amenazas potenciales y acciones no autorizadas que pondrán en peligro el mantenimiento de la confidencialidad del paciente.  

Reglas a seguir post-incidente 

1. Regla de Aplicación de HIPAA — La Regla de Aplicación establece y hace cumplir los procedimientos que deben seguirse una vez que se determina una posible violación de HIPAA. La Regla de Aplicación proporciona los procedimientos que ayudan a las organizaciones de atención médica a navegar las multas y sanciones que pueden recaer sobre ellas si esa violación requiere consecuencia post-investigación. La Regla de Aplicación solo se pone en marcha una vez que el departamento de Salud y Servicios Humanos decide investigar tu organización.
2. Regla de Notificación de Violaciones de HIPAA — La Regla de Notificación de Violaciones asegura que las organizaciones de atención médica notifiquen a los pacientes después de que las PHI sean comprometidas. Una violación de PHI solo debería ocurrir si tu organización no cumple con la Regla de Privacidad de HIPAA, por ejemplo, si no has asegurado la información de tus pacientes.

Equipar tu instalación de atención médica con las herramientas y recursos para mantener el cumplimiento de HIPAA es una medida difícil pero necesaria. Emplear soluciones como sistemas de mensajería compatibles con HIPAA puede proteger al hospital o práctica médica de abrirse accidentalmente a la responsabilidad cuando todo lo que están haciendo es enviar un correo electrónico a su paciente confirmando una cita próxima. Las organizaciones deben considerar los pros y los contras de mantener la seguridad y confidencialidad del paciente frente a mantenerse al día con la tecnología que empodera a los pacientes para tener acceso regular a su propia información de atención médica. Con aplicaciones móviles como Apple Health Records y gestores de diabetes o rastreadores de glucosa creando lo que es esencialmente nueva tecnología médica y EHR, la línea entre compartir y proporcionar acceso a los datos de salud del paciente, frente a adherirse a las leyes de divulgación médica, se ha vuelto borrosa.

Cómo cumplir con el cumplimiento de HIPAA

Entonces, ahora que conoces los diferentes componentes que intervienen en el cumplimiento de HIPAA, ¿cómo puedes cumplirlo?

Aquí hay cuatro reglas que te ayudarán a crear y marcar una lista de verificación de cumplimiento de HIPAA:

1. Estandariza la documentación clínica y la comunicación — La codificación es crucial para que los profesionales médicos documenten y transmitan notas de pacientes. Existen conjuntos de códigos específicos para agilizar el registro, unificar la comunicación de atención médica y codificar transmisiones. Algunos ejemplos comunes de códigos médicos incluyen: NDC (Códigos Nacionales de Medicamentos) para identificación y distribución de medicamentos; ICD-10-CM (Clasificación Internacional de Enfermedades, Décima Revisión, Modificación Clínica) para diagnóstico de síntomas; y HCPCS (Sistema de Codificación de Procedimientos Comunes de Atención Médica/CPT (Terminología de Procedimientos Actuales) para facturación médica. La mayoría de los EHR automatizan el formato de codificación. Asegúrate de que tu instalación esté al día en las mejores prácticas de codificación.
2. Registro NPI — NPI (Identificador Nacional de Proveedor) es un número de 10 dígitos utilizado por planes de salud, proveedores de atención médica y centros de compensación de atención médica para verificar y validar transacciones financieras. HIPAA exige el uso de NPIs únicos al transmitir datos de atención médica, por lo que tu práctica debe obtener y usar NPIs para diferenciarse de otros profesionales con nombres similares.  
3. Mejores prácticas de privacidad del paciente — Desarrolla procedimientos de privacidad para tu instalación y designa a una persona de contacto para supervisar su implementación o crea una base de datos fácilmente accesible de esas políticas. Mantén un registro de la PHI de tu instalación, particularmente los escenarios de uso y divulgación autorizados de PHI, y asegúrate de que tu organización requiera tanto capacitación continua sobre esos procedimientos de privacidad como evaluaciones de riesgo regulares sobre la integridad de tus salvaguardas de seguridad.
4. Planificación de contingencias — Tu organización de atención médica debe estar preparada para lidiar con cualquier incidente o violación que infrinja HIPAA. Independientemente de si tu práctica realmente infringe HIPAA, es mejor establecer procedimientos que se alineen con las Reglas de Aplicación y Notificación de Violaciones de HIPAA. Cuanto más preparada esté tu organización, más equipada estará cuando se trate de investigaciones.