Saltar al contenido
01 · Consultoría01 · Consulting

HIPAAHIPAA

Salvaguardas de seguridad y privacidad de información de salud de EE. UU.Security and privacy safeguards for US health information.

HIPAA Security RuleHIPAA Security Rule 1.2 · Consultoría Normativa y de Cumplimiento1.2 · Regulatory and Compliance Consulting

¿Qué es este servicio?What is this service?

Es la adecuación a las salvaguardas de la regla de seguridad de HIPAA, la ley estadounidense que protege la información de salud. Cubre salvaguardas administrativas, físicas y técnicas sobre la información de salud protegida en formato electrónico.

Compliance work for the safeguards in the HIPAA Security Rule, the US law protecting health information. It covers administrative, physical and technical safeguards over electronic protected health information.

¿Para qué se usa?What is it used for?

Sirve a las empresas que procesan información de salud de pacientes estadounidenses, típicamente centros de servicios compartidos, desarrollo de software clínico o BPO. El trabajo incluye el análisis de riesgo, que la propia norma exige, y el acuerdo de socio comercial con la entidad contratante.

It serves companies processing health information of US patients, typically shared service centres, clinical software developers or BPOs. The work includes the risk analysis the rule itself requires, and the business associate agreement with the contracting entity.

Qué beneficios traeBenefits it delivers

  • Habilita comercialmente para la industria de salud de Estados Unidos, que subcontrata mucho en Costa Rica.
  • El análisis de riesgo es requisito explícito de la norma: sin él, cualquier incidente se agrava en la evaluación.
  • Ordena el control de accesos y el registro de auditoría, que es donde se concentran los hallazgos.
  • Enables business with the US healthcare industry, which outsources heavily to Costa Rica.
  • The risk analysis is an explicit requirement: without it, any incident is treated more harshly.
  • Tightens access control and audit logging, where findings concentrate.

¿En qué momentos es obligatorio?When is it mandatory?

Costa RicaCosta Rica

  • No es ley costarricense y no obliga por operar en Costa Rica.
  • Obliga por contrato: la organización que trata información de salud por cuenta de una entidad estadounidense cubierta firma un acuerdo de socio comercial y queda sujeta a las obligaciones que este le traslada.
  • La Ley 8968 aplica en paralelo cuando además se tratan datos de personas en Costa Rica; los datos de salud son categoría sensible.
  • It is not Costa Rican law and does not bind an organisation for operating in Costa Rica.
  • It binds by contract: an organisation handling health information on behalf of a covered US entity signs a business associate agreement and takes on the obligations it passes down.
  • Law 8968 applies in parallel where data of people in Costa Rica is also processed; health data is a sensitive category.

InternacionalInternational

  • Obligatorio en Estados Unidos para las entidades cubiertas —prestadores, planes de salud y cámaras de compensación— y para sus socios comerciales.
  • La regla de seguridad exige salvaguardas administrativas, físicas y técnicas, y un análisis de riesgo documentado.
  • La regla de notificación de brechas fija plazos concretos para avisar a los afectados y a la autoridad.
  • Mandatory in the United States for covered entities — providers, health plans and clearinghouses — and for their business associates.
  • The Security Rule requires administrative, physical and technical safeguards, plus a documented risk analysis.
  • The Breach Notification Rule sets concrete deadlines for notifying affected individuals and the authority.

Requisitos mínimosMinimum requirements

  • Determinar si la organización actúa como entidad cubierta o como socio comercial: cambia el alcance de las obligaciones.
  • Inventario de dónde vive la información de salud electrónica, incluidos respaldos y ambientes de prueba.
  • Acuerdos de socio comercial firmados hacia arriba y hacia abajo en la cadena.
  • Capacidad de registrar y revisar accesos a la información de salud.
  • Determining whether the organisation acts as covered entity or business associate: it changes the scope of the duties.
  • An inventory of where electronic health information lives, backups and test environments included.
  • Signed business associate agreements up and down the chain.
  • The ability to log and review access to health information.

Plazo típico de entregaTypical delivery time

3 a 7 meses 3 to 7 months rango habitual del mercado usual market range

El rango de mercado va de tres a siete meses según el tamaño y cuántos sistemas toquen información de salud. El análisis de riesgo y el plan de remediación, por separado, se entregan en cuatro a seis semanas. La parte más lenta suele ser limpiar información de salud de ambientes de prueba, donde casi siempre aparece.

The market range runs from three to seven months depending on size and how many systems touch health information. The risk analysis and remediation plan on their own are delivered in four to six weeks. The slowest part is usually purging health information from test environments, where it almost always turns up.

NomenclaturaTerminology

Las siglas y estándares que aparecen en esta ficha, explicados. The acronyms and standards used on this page, explained.

HIPAAHIPAA
Health Insurance Portability and Accountability Act, la ley estadounidense que protege la información de salud. Health Insurance Portability and Accountability Act, the US law protecting health information.
PHI / ePHIPHI / ePHI
Información de salud protegida, y su versión electrónica. Es el dato que la norma protege. Protected Health Information and its electronic form. This is the data the rule protects.
BAABAA
Business Associate Agreement: contrato que traslada las obligaciones de HIPAA a un proveedor. Business Associate Agreement: the contract passing HIPAA obligations down to a supplier.
Entidad cubiertaCovered entity
Prestador de salud, plan de salud o cámara de compensación sujeto directamente a la ley. A healthcare provider, health plan or clearinghouse directly subject to the law.