Por qué HIPAA no es negociable en la facturación médica
La facturación médica maneja información de salud protegida (PHI) en cada etapa del ciclo de ingresos: datos demográficos, códigos de diagnóstico y de procedimiento, información del seguro y registros de pago. Esto convierte a la facturación en un área de alto riesgo para fallas de HIPAA. La Oficina de Derechos Civiles (OCR) ha impuesto sanciones de varios millones de dólares por violaciones de HIPAA relacionadas con la facturación, e incluso consultorios pequeños han sido multados por fallas que los programas de cumplimiento adecuados habrían prevenido.
¿Qué constituye PHI en la facturación médica?
En la facturación, la PHI es cualquier información de salud individualmente identificable: el nombre del paciente, su dirección, fecha de nacimiento, número de teléfono, número de Seguro Social, número de historia clínica, ID del seguro, códigos de diagnóstico y de procedimiento, fechas de tratamiento y cualquier otro dato que razonablemente pueda identificar a una persona y se relacione con su salud, atención o pago. Todo debe protegerse.
La Regla de Seguridad de HIPAA: salvaguardas técnicas para la ePHI
La Regla de Seguridad de HIPAA establece requisitos específicos para proteger la PHI electrónica (ePHI), la forma que hoy adoptan prácticamente todos los datos de facturación. Las salvaguardas técnicas requeridas incluyen controles de acceso que limitan la ePHI a usuarios autorizados, controles de auditoría que registran quién accedió a qué y cuándo, controles de integridad que previenen alteraciones no autorizadas, cifrado en tránsito y en reposo, y cierre de sesión automático tras un período de inactividad. Todo sistema de facturación, conexión con cámaras de compensación y canal de transmisión debe cumplir.
Acuerdos de socio comercial (BAA)
Cuando una entidad cubierta (su consultorio) comparte PHI con una organización externa para funciones de facturación, como una empresa de facturación, una cámara de compensación, un servicio de codificación o una agencia de cobranza, esa organización se convierte en un Socio Comercial según HIPAA y debe firmar un acuerdo de socio comercial (BAA). Un BAA obliga al Socio Comercial a proteger la PHI con el mismo estándar que las entidades cubiertas y a informar de inmediato cualquier violación de seguridad. Compartir PHI con cualquier proveedor sin un BAA firmado es una violación directa de HIPAA, haya o no una brecha.
Violaciones de HIPAA más comunes en la facturación
- Enviar reclamaciones por correo electrónico sin protección o mediante transferencia de archivos sin cifrar
- Compartir credenciales de acceso entre los miembros del personal de facturación
- Almacenar PHI en dispositivos personales sin cifrado ni borrado remoto
- No firmar BAA con proveedores, cámaras de compensación o agencias de cobranza
- Hablar sobre la facturación de pacientes donde otros pueden escuchar
- Enviar por correo EOB o estados de cuenta a direcciones incorrectas
- Omitir la capacitación anual de HIPAA para el personal de facturación
Cómo elegir un socio de facturación que cumpla con HIPAA
Al subcontratar, verifique que la empresa de facturación mantenga un cumplimiento integral de HIPAA, incluidos BAA firmados, transmisión de datos cifrada, políticas de seguridad documentadas, capacitación anual del personal y un procedimiento formal de notificación de violaciones. Pregunte por las certificaciones de seguridad y por el manejo de la PHI en tránsito, en reposo y al terminar la relación. Una falla de HIPAA de un proveedor puede extenderse a su consultorio si no existían salvaguardas.
Las tres reglas que los equipos de facturación deben conocer
Los equipos de facturación trabajan principalmente bajo tres reglas federales de HIPAA. Este artículo es educación general, no asesoría legal. Las obligaciones dependen de su tamaño, su estado y sus contratos, así que confirme los detalles con un asesor legal calificado en atención médica.
| Regla | Qué regula | Qué significa para la facturación |
|---|---|---|
| Regla de Privacidad | Quién puede usar o divulgar la PHI y con qué fines | La facturación es un uso permitido de "pago", pero las divulgaciones deben ser limitadas y los pacientes tienen derechos, como el acceso a sus registros |
| Regla de Seguridad | Salvaguardas administrativas, físicas y técnicas para la ePHI | Abarca los sistemas de facturación, las conexiones con cámaras de compensación, las computadoras portátiles, las unidades compartidas y las herramientas en la nube |
| Regla de Notificación de Violaciones | Respuesta cuando la PHI sin protección se usa o divulga de forma no permitida | Requiere una evaluación del incidente y, para violaciones reportables, aviso a las personas afectadas, a HHS y en ocasiones a los medios |
El estándar de lo mínimo necesario en la facturación
Para la mayoría de los usos y divulgaciones, HIPAA espera que usted limite la PHI al mínimo necesario. Las divulgaciones para tratamiento entre proveedores son una excepción. En la facturación:
- Dé al personal acceso basado en roles; quien registra pagos no necesita notas clínicas.
- Envíe a los pagadores solo lo que soliciten, no todo el expediente.
- Elimine los identificadores innecesarios en ejemplos de capacitación o análisis.
- Limite los estados de cuenta de los pacientes a lo que explica el cargo y el saldo.
- Documente el acceso y revíselo cuando cambien los roles.
Cómo realizar un análisis de riesgos de seguridad
Un análisis de riesgos documentado y de alcance institucional es un requisito central de la Regla de Seguridad y un hallazgo frecuente en las investigaciones de OCR. Repítalo y actualícelo cuando cambie su entorno.
- Haga un inventario de dónde reside la ePHIEnumere cada sistema, dispositivo, servicio en la nube, conexión con cámaras de compensación, respaldo y flujo de trabajo que cree, almacene o envíe datos de facturación.
- Identifique amenazas y vulnerabilidadesConsidere dispositivos perdidos, suplantación de identidad (phishing), ransomware, correos enviados a destinatarios equivocados, contraseñas débiles y software sin actualizar.
- Evalúe la probabilidad y el impactoCalifique cada riesgo para atender primero los más altos.
- Revise las salvaguardas existentesVerifique el cifrado, la autenticación multifactor, el registro de actividad y los respaldos existentes.
- Cree un plan de gestión de riesgosAsigne responsables y fechas para corregir las brechas, y registre cualquier riesgo residual aceptado.
- Documente y repitaConserve el análisis escrito y actualícelo después de cambios importantes, como un nuevo sistema o proveedor.
Controles de acceso y salvaguardas cotidianas
- ID de usuario únicos: los accesos compartidos rompen los rastros de auditoría.
- Autenticación sólida: use autenticación multifactor para el acceso remoto, el correo electrónico y los sistemas de facturación.
- Privilegio mínimo: otorgue solo lo que un rol necesita y retírelo de inmediato al terminar la relación laboral o cambiar de rol.
- Cifrado: proteja la ePHI en tránsito y en reposo, incluidas computadoras portátiles, teléfonos y medios extraíbles.
- Registros de auditoría: revise periódicamente los registros de acceso para detectar actividad inusual.
- Transmisión segura: use canales seguros de cámaras de compensación o SFTP, no correo electrónico ordinario.
- Hábitos en la estación de trabajo: cierre de sesión automático, filtros de privacidad, registros en papel bajo llave.
- Capacitación: capacite a los nuevos empleados al incorporarse, actualice la capacitación con regularidad y conserve los registros de asistencia.
Lista de verificación del acuerdo de socio comercial
Debe existir un BAA antes de compartir PHI con una empresa de facturación, una cámara de compensación, un proveedor de codificación, una agencia de cobranza, un proveedor de TI o un servicio en la nube que la almacene. Un BAA sólido generalmente cubre lo siguiente; pida a un asesor legal que revise la redacción:
- Los usos y divulgaciones permitidos de la PHI, y la prohibición de cualquier otro uso
- Las salvaguardas requeridas, incluido el cumplimiento de la Regla de Seguridad
- Reporte oportuno de incidentes y violaciones dentro de un plazo definido
- Traslado de las mismas obligaciones a los subcontratistas que tengan contacto con PHI
- Apoyo para las solicitudes de acceso y de modificación de los pacientes
- Devolución o destrucción de la PHI al terminar el contrato, o protecciones continuas si la devolución no es factible
- Su derecho a rescindir por incumplimiento sustancial
Si ocurre una violación de seguridad: pasos de respuesta
La Regla de Notificación de Violaciones presume que un uso o divulgación no permitido de PHI sin protección constituye una violación, a menos que una evaluación de riesgos documentada demuestre una baja probabilidad de compromiso.
- Contenga el incidenteDeshabilite la cuenta, retire el mensaje o recupere el dispositivo.
- Preserve la evidenciaConserve los registros y las bitácoras. No borre los sistemas todavía.
- Escale internamenteNotifique a los responsables de privacidad y seguridad y, según corresponda, a su asesor legal y a su aseguradora de riesgos cibernéticos.
- Evalúe el riesgoDocumente la naturaleza de la PHI, quién la recibió, si realmente fue vista u obtenida y en qué medida se redujo el riesgo.
- Notifique según se requieraCuando sea una violación reportable, notifique a las personas afectadas sin demora injustificada y a más tardar 60 días después del descubrimiento. Informe a HHS (las violaciones que afecten a 500 o más personas en el mismo plazo de 60 días; las más pequeñas dentro de los 60 días posteriores al cierre del año calendario) y a los medios en el caso de violaciones grandes dentro de un solo estado. Los socios comerciales deben notificar a la entidad cubierta. Algunos estados añaden plazos más cortos.
- Corrija y documenteCorrija la causa raíz, vuelva a capacitar al personal y actualice el análisis de riesgos.
Errores comunes y soluciones
| Error | Solución |
|---|---|
| Sin análisis de riesgos documentado, o uno desactualizado por años | Complete uno ahora y luego actualícelo periódicamente y después de cambios importantes |
| Proveedores con acceso a PHI pero sin BAA | Haga un inventario de proveedores y luego firme o actualice los BAA antes de que circule más PHI |
| Accesos compartidos al sistema de facturación | Asigne ID únicos y active el registro de auditoría |
| Reclamaciones o estados de cuenta enviados por correo electrónico simple | Use transmisión segura y un portal del paciente o mensajería cifrada |
| Computadoras portátiles y teléfonos sin cifrar | Exija cifrado y borrado remoto, y restrinja los dispositivos personales |
| Empleados que se fueron conservan el acceso | Agregue la eliminación de cuentas a la lista de verificación de salida |
| Capacitación realizada una sola vez y nunca documentada | Programe actualizaciones y conserve los registros de firma de asistencia |
Consulte con un asesor legal. Esta descripción es de carácter general. Las leyes estatales, los contratos con pagadores y su perfil de riesgo pueden añadir requisitos más allá de HIPAA. Pida a un abogado especializado en atención médica o a un profesional de cumplimiento calificado que revise sus políticas, sus BAA y su plan de incidentes.
Puntos clave
- La facturación toca a diario las reglas de Privacidad, Seguridad y Notificación de Violaciones.
- Aplique lo mínimo necesario y el acceso basado en roles a cada tarea.
- Un análisis de riesgos documentado y actualizado es la base del cumplimiento de la Regla de Seguridad.
- Firme un BAA antes de que cualquier proveedor vea PHI.
- Mantenga un plan escrito de respuesta a violaciones y conozca los plazos federales y estatales.