Introducción a la HIPAA
El cumplimiento de la HIPAA es un objetivo móvil. Para entender dónde se está moviendo HIPAA, primero tendrá que entender por qué comenzó y cómo se expandió. Si está interesado en aprender una historia (breve) de HIPAA, ¡siga leyendo!
La Ley de Portabilidad y Responsabilidad de los Seguros de Salud (HIPAA) se promulgó en 1996 y desde entonces es conocida como una de las leyes de atención médica más influyentes de los Estados Unidos. La HIPAA ha sido enmendada en numerosas ocasiones a lo largo de los últimos 23 años, con cada enmienda expandiéndola lentamente en la ley que es reconocible para nosotros hoy en día.
Cronología de Aprobación
La ley fue aprobada durante la presidencia de Bill Clinton, el 21 de agosto de 1996, con el objetivo principal de ayudar a más estadounidenses a obtener cobertura de seguro de salud y garantizar que los empleados no perdieran su cobertura de seguro de salud mientras cambiaban de trabajo. El fallecimiento de HIPAA también se conoce como el comienzo de la modernización del flujo de información dentro de la industria de la salud. La ley asignó al Secretario de Salud y Servicios Humanos (HSS) el establecimiento de normas de regulación para la privacidad de la información importante de salud que sentaron las bases para la Regla de Seguridad y la Regla de Privacidad.
La historia de la Regla de Seguridad
Apenas 2 años después de que la HIPAA se convirtiera en ley, el HHS propuso la Regla de Seguridad. El propósito de esta enmienda era mejorar la protección de la información relacionada con la salud de una persona que se comparte entre los proveedores de atención médica, los planes de salud y otras organizaciones. Aunque esta norma se propuso en 1998, no fue hasta 5 años después que se ultimó, momento en que dio tiempo a las organizaciones para que la cumplieran.
La Regla de Privacidad y PHI
Otro hito importante en la historia de HIPAA, fue la propuesta y luego la finalización de la Regla de Privacidad. Esta regla, que se propuso por primera vez en 1999, gira en torno a los estándares de privacidad relacionados con la protección de la información de salud protegida (PHI).
La información de salud protegida (PHI), que fue definida por la regla de privacidad, es cualquier información dentro del registro médico de una persona que puede identificarla y que está en poder de una entidad cubierta. Bajo la HIPAA y la Regla de Privacidad, hay 18 identificadores específicos que deben manejarse con ciertas salvaguardias.
Aquí están los 18 tipos de información que se consideran información de salud protegida (PHI) bajo HIPAA:
- Nombre
- Dirección (Incluida cualquier información más localizada que el estado)
- Cualquier fecha (excepto años) relacionada con el individuo, incluidos los cumpleaños, la fecha de fallecimiento, la fecha de admisión/alta, etc.
- Número de teléfono
- Número de fax
- Dirección de correo electrónico
- Número de seguro social
- Número de registro médico
- Número de beneficiario del plan de salud
- Número de cuenta
- Número de certificado/licencia
- Identificadores de vehículos, números de serie, números de matrícula
- Identificadores de dispositivos/números de serie
- li>
- Identificadores biométricos, como huellas dactilares o huellas vocales
- Fotos de cara completa
- Cualquier otro número, característica o código de identificación único
La Regla de privacidad también se facilite a los pacientes el acceso a sus propios datos personales de salud. Después de su propuesta en 1999, la Regla de Privacidad se finalizó el 28 de diciembre de 2000 en las últimas semanas del segundo mandato del presidente Clinton. Al día siguiente, el HHS hizo algunas revisiones, la más importante requiriendo que la Oficina de Derechos Civiles, que es una agencia dentro de los Servicios de Salud y Sociales, sea el grupo que hará cumplir la HIPAA.
Como último paso en el proceso de elaboración de normas, los Servicios de Salud y Sociales buscaron la opinión del público sobre los ajustes que debían hacerse a la Regla de Privacidad. Tras examinar los comentarios que se hicieron, el Departamento de Salud y Servicios Humanos anunció una Propuesta de Modificación de la Norma de Privacidad en 2002. La Norma de privacidad definitiva, que se aprobó en 2003, se ajustó para mejorar su utilidad y evitar consecuencias inesperadas.
La Regla de Aplicación de la HIPAA
A principios de 2005, se introdujo la Regla de Aplicación de la HIPAA después de que muchas entidades cubiertas no cumplieran plenamente con las Reglas de Privacidad y Seguridad. Esta regla permite que los Servicios de Salud y Humanos (HHS) investiguen las quejas que se han hecho sobre las entidades cubiertas que no están cumpliendo con la HIPAA. Esta regla también le dio al HHS el poder de multar a estas entidades por infracciones de la Información de Salud Protegida Electrónica (ePHI, por sus siglas en inglés) que fueran evitables si hubieran seguido las salvaguardias requeridas bajo la Regla de Seguridad.
También en virtud de la Norma de Ejecución, la Oficina de Derechos Civiles (OCR) estaba facultada para imponer sanciones financieras a las entidades que seguían incumpliendo sus obligaciones. Si la información de atención médica personal de un individuo se ha compartido sin su permiso y le causa un «daño grave», ese individuo puede presentar una acción legal civil contra la entidad culpable.
La Ley» HITECH »
Justo después de que comenzara su presidencia, el Presidente Obama aprobó la Ley de Tecnología de la Información de Salud para la Salud Económica y Clínica, o la Ley HITECH. HITECH tenía el propósito de alentar a los proveedores de atención médica a comenzar el uso de Registros Médicos Electrónicos (EHR).
Más tarde en 2009, se emitió la Regla de Aplicación de la Ley HITECH que creó un sistema de sanciones financieras por violación de la HIPAA con multas potenciales mucho más altas que aumentaron drásticamente el costo del incumplimiento de la HIPAA.
La Regla de Notificación de Incumplimiento
En septiembre de 2009, se aprobó la Regla de Notificación de Incumplimiento que exige que cualquier incumplimiento de ePHI por parte de una entidad cubierta que afecte a más de 500 personas se informe al OCR y se envíe una notificación a cualquier persona que pueda verse afectada por la violación.
La Regla General de la HIPAA
La Regla General de la HIPAA, que se finalizó en 2012 y entró en vigor en 2013, contenía ediciones y actualizaciones de todas las reglas que habíamos mencionado. Las modificaciones de las Normas de Seguridad, Privacidad, Notificación de Infracciones y Cumplimiento tenían por objeto mejorar la confidencialidad y la seguridad en el intercambio de datos. Los mayores cambios bajo la Regla General fueron que se hizo obligatorio que los socios comerciales cumplieran con la Regla de Privacidad y las Reglas de Seguridad y que estos asociados eran responsables directamente de cualquier violación de HIPAA.
Resumen de Fechas Clave en la Historia de la HIPAA
- 21 de agosto de 1996: El presidente Clinton firma la HIPAA en ley
- Abril de 2003: La Norma de privacidad de la HIPAA entra en vigor
- Abril de 2005: Entra en vigor la Norma de Seguridad HIPAA
- Marzo de 2006: Fecha de Entrada en vigor de la Norma de Aplicación HIPAA
- Febrero de 2009: Ley HITECH Promulgada por el Presidente Obama
- Septiembre de 2009: Entra en vigor la Norma de Notificación de Incumplimiento
- Marzo de 2013: Fecha de entrada en vigor de la Norma General Final