Reporte de Infracciones de HIPAA: Requisitos, Plazos y Proceso (2026)
Bajo la Regla de Notificación de Infracciones de HIPAA (-414), las entidades cubiertas deben notificar a los individuos afectados y al Departamento de Salud y Servicios Humanos de EE. UU. de cualquier infracción de información de salud protegida no asegurada sin demora irrazonable y a más tardar 60 días calendario después del descubrimiento.
La ley federal exige que las entidades cubiertas y sus asociados comerciales sigan un proceso específico cuando ocurre una infracción de información de salud protegida no asegurada. La Regla de Notificación de Infracciones de HIPAA, codificada en a 164.414, establece a quien se debe notificar, que información debe contener la notificación y con que rapidez debe ocurrir.
Equivocarse en la notificación de infracciones acarrea consecuencias reales. Solo en 2024, la Oficina de Derechos Civiles (OCR) de HHS completo 22 acciones de aplicación y recaudó más de $9.9 millones en acuerdos y sanciones monetarias civiles. La infracción de Change Healthcare, divulgada en 2024 y que afecto a aproximadamente 190 millones de individuos, demostró como un solo incidente puede activar un escrutinio regulatorio y publico masivo.
Este artículo cubre el proceso completo de notificación de infracciones: desde determinar si un incidente califica como infracción, pasando por cada notificación requerida, hasta las sanciones por no cumplir.
Qué Cuenta como una Infracción bajo HIPAA
Bajo , una infracción es la adquisición, el acceso, el uso o la divulgación de información de salud protegida de una manera no permitida bajo la Regla de Privacidad de HIPAA que comprometa la seguridad o privacidad de la PHI.
Esa definición es intencionalmente amplia. Cada vez que la PHI se maneja de una forma que la Regla de Privacidad no permite, se presume que el incidente es una infracción a menos que la entidad cubierta o el asociado comercial pueda demostrar lo contrario mediante una evaluación de riesgo.
La regla aplica solo a la PHI no asegurada, es decir, la PHI que no ha sido vuelta inutilizable, ilegible o indescifrable para personas no autorizadas. Si la PHI ha sido cifrada usando métodos especificados por el Secretario de HHS o destruida de acuerdo con las guías del NIST, se considera asegurada, y los requisitos de notificación de infracciones no aplican.
La Evaluación de Riesgo de Cuatro Factores
Cuando ocurre un uso o divulgación no permitido, la entidad cubierta o el asociado comercial debe realizar una evaluación de riesgo para determinar si el incidente alcanza el nivel de una infracción reportable. Bajo (2), esta evaluación considera al menos cuatro factores:
-
Naturaleza y alcance de la PHI involucrada. ¿Qué tipos de identificadores quedaron expuestos? Los nombres por sí solos conllevan un riesgo distinto que los números de Seguro Social, los diagnósticos o la información financiera. La evaluación también considera la probabilidad de reidentificación si los datos fueron desidentificados.
-
La persona no autorizada que recibió o accedió a la PHI. ¿Fue el destinatario otra entidad cubierta con sus propias obligaciones de HIPAA, o fue un tercero desconocido? La identidad del destinatario afecta directamente la probabilidad de que la PHI sea usada indebidamente.
-
Si la PHI fue realmente adquirida o vista. Un fax mal dirigido que fue interceptado y devuelto sin abrir presenta un riesgo distinto que uno que fue leído. La evidencia de que la PHI nunca fue realmente accedida puede respaldar una determinación de baja probabilidad de compromiso.
-
La medida en que se ha mitigado el riesgo. Los pasos tomados después del incidente importan. Si la entidad cubierta obtuvo garantías del destinatario de que la información fue destruida, o si la evidencia forense muestra que no hubo exfiltración de datos, esos hechos pesan en contra de encontrar una infracción reportable.
La carga de la prueba recae en la entidad cubierta o el asociado comercial. Bajo (b), la entidad debe demostrar que se proporcionaron todas las notificaciones requeridas o que un uso o divulgación no permitido no constituyó una infracción. Mantener documentación de la evaluación de riesgo es esencial.
Tres Excepciones a la Definición de Infracción
No todo uso o divulgación no permitido califica como infracción. La Sección 164.402(1) contempla tres excepciones estrechas:
Excepción 1: Acceso no intencional del personal. Un empleado u otra persona que actúa bajo la autoridad de la entidad cubierta o del asociado comercial adquiere, accede o usa PHI de forma no intencional, siempre que el acceso se haya hecho de buena fe, dentro del alcance de la autoridad, y no resulte en un uso o divulgación no permitido adicional.
Excepción 2: Divulgación inadvertida entre personas autorizadas. Una persona autorizada para acceder a la PHI en una entidad cubierta, un asociado comercial o un acuerdo de atención de salud organizada divulga inadvertidamente PHI a otra persona autorizada para acceder a la PHI en la misma entidad o acuerdo. Nuevamente, no puede resultar ningún uso o divulgación no permitido adicional.
Excepción 3: Creencia de buena fe de no retención. Ocurre una divulgación a una persona no autorizada, pero la entidad cubierta o el asociado comercial tiene la creencia de buena fe de que el destinatario no autorizado no habría podido razonablemente retener la información. Por ejemplo, un proveedor muestra brevemente el expediente de un paciente a la visita equivocada, pero la visita no pudo haber memorizado ni registrado los detalles clínicos.
Estas excepciones son estrechas. Si un incidente no encaja claramente dentro de una de ellas, y la evaluación de riesgo de cuatro factores no demuestra una baja probabilidad de compromiso, la entidad cubierta debe tratar el incidente como una infracción reportable.
Requisitos de Notificación a los Individuos
Bajo , una entidad cubierta debe notificar a cada individuo cuya PHI no asegurada ha sido, o se cree razonablemente que ha sido, accedida, adquirida, usada o divulgada como resultado de una infracción.
Plazo
La notificación debe proporcionarse sin demora irrazonable y en ningún caso más tarde de 60 días calendario después del descubrimiento de la infracción. El descubrimiento ocurre el primer día en que la infracción es conocida, o habría sido conocida mediante el ejercicio de la diligencia razonable, por cualquier empleado, funcionario o agente de la entidad cubierta.
Esta ventana de 60 días es un plazo estricto, no una meta. La OCR ha impuesto sanciones específicamente por notificación tardía, incluso cuando la entidad cubierta finalmente notificó a los individuos afectados.
Contenido de la Notificación Individual
La notificación debe redactarse en lenguaje sencillo e incluir, en la medida de lo posible:
- Una breve descripción de lo ocurrido, incluyendo la fecha de la infracción y la fecha del descubrimiento
- Una descripción de los tipos de PHI no asegurada involucrada (como nombre completo, número de Seguro Social, fecha de nacimiento, diagnóstico o información de tratamiento)
- Los pasos que los individuos pueden tomar para protegerse de posibles daños
- Una breve descripción de lo que la entidad cubierta esta haciendo para investigar la infracción, mitigar el daño y prevenir futuros incidentes
- Procedimientos de contacto, incluyendo un número telefónico gratuito, dirección de correo electrónico, sitio web o dirección postal
Métodos de Entrega
El método principal es el correo de primera clase a la última dirección conocida del individuo. Si el individuo ha aceptado recibir avisos electrónicos, la entidad cubierta puede enviar la notificación por correo electrónico.
Para los individuos fallecidos, la entidad cubierta debe enviar el aviso escrito al familiar más cercano o representante personal si su información de contacto está disponible.
Notificación Sustituta
Cuando la información de contacto es insuficiente o esta desactualizada:
- Menos de 10 individuos: La entidad cubierta puede usar una forma alternativa de notificación escrita, teléfono u otros medios.
- 10 o más individuos: La entidad cubierta debe publicar un aviso visible en su sitio web durante al menos 90 días o proporcionar el aviso a través de los principales medios impresos o de difusión en el área geográfica afectada. Cualquiera de las dos opciones debe incluir un número telefónico gratuito que permanezca activo durante al menos 90 días.
Situaciones Urgentes
Cuando hay razones para creer que el uso indebido de la PHI es inminente, las entidades cubiertas pueden complementar la notificación escrita con llamadas telefónicas u otro contacto urgente. Este contacto adicional no reemplaza el requisito de notificación escrita.
Notificación a HHS (El Portal de Infracciones)
Bajo , las entidades cubiertas también deben notificar al Secretario de Salud y Servicios Humanos de cada infracción de PHI no asegurada. El plazo y el método dependen del tamaño de la infracción.
Infracciones que Afectan a 500 o Más Individuos
Para las infracciones que involucran a 500 o más individuos, la entidad cubierta debe notificar a HHS al mismo tiempo que la notificación individual, es decir, dentro de 60 días del descubrimiento. La notificación se presenta a través del Portal de Infracciones de HHS.
Los reportes de infracciones que involucran a 500 o más individuos se publican de forma publica en el sitio web de HHS, en una base de datos a menudo llamada el Muro de la Vergüenza. La lista incluye el nombre de la entidad cubierta, el número de individuos afectados, el tipo de infracción, la ubicación de la información infringida y un resumen del incidente.
La OCR investiga cada infracción reportada a través del portal que afecta a 500 o más individuos.
Infracciones que Afectan a Menos de 500 Individuos
Las infracciones más pequeñas no requieren notificación inmediata a HHS. En cambio, las entidades cubiertas deben mantener un registro de estas infracciones y presentarlas al Secretario dentro de 60 días del final del año calendario en que fueron descubiertas. Este reporte anual también se realiza a través del Portal de Infracciones.
Notificación a los Medios
Bajo , cuando una infracción afecta a más de 500 residentes de un solo estado o jurisdicción, la entidad cubierta debe notificar a los medios de comunicación prominentes que sirven a ese estado o jurisdicción.
La notificación a los medios debe ocurrir sin demora irrazonable y a más tardar 60 días calendario después del descubrimiento de la infracción. Los requisitos de contenido reflejan los de la notificación individual bajo (c): que ocurrió, que información estuvo involucrada, que pueden hacer los individuos para protegerse, que esta haciendo la entidad al respecto y como obtener más información.
Este requisito aplica por estado. Una infracción que afecta a 400 individuos en un estado y a 200 en otro no activaría la notificación a los medios para ningún estado, aunque el total supere 500. Una infracción que afecta a más de 500 individuos todos en el mismo estado activaría la obligación de notificación a los medios para ese estado.
Obligaciones de Notificación de los Asociados Comerciales
Bajo , cuando ocurre una infracción en o por un asociado comercial, el asociado comercial debe notificar a la entidad cubierta. El asociado comercial no notifica directamente a los individuos afectados, a HHS ni a los medios. Esas responsabilidades permanecen con la entidad cubierta.
Plazo
Un asociado comercial debe proporcionar el aviso sin demora irrazonable y a más tardar 60 días calendario después de descubrir la infracción. El descubrimiento se define de la misma forma que para las entidades cubiertas: el primer día en que la infracción es conocida o debería haber sido conocida por cualquier empleado, funcionario o agente del asociado comercial.
Contenido del Aviso
El asociado comercial debe proporcionar:
- La identificación de cada individuo cuya PHI no asegurada ha sido o se cree razonablemente que ha sido afectada
- Cualquier otra información disponible que la entidad cubierta necesite para cumplir con sus obligaciones de notificación bajo 45 CFR 164.404(c)
Muchos acuerdos de asociado comercial incluyen disposiciones de notificación de infracciones que son más estrictas que el mínimo federal. Los plazos contractuales de 24 a 72 horas para el aviso inicial son comunes. La regla federal de 60 días es un techo, no un plazo recomendado.
Los asociados comerciales son directamente responsables bajo HIPAA por no proporcionar una notificación oportuna de infracciones. La OCR puede investigar y de hecho investiga a los asociados comerciales de forma independiente.
Notificación y Aplicación por el Fiscal General del Estado
La HITECH Act otorgó a los fiscales generales estatales la autoridad para presentar acciones civiles en nombre de los residentes del estado por violaciones de las Reglas de Privacidad y Seguridad de HIPAA. Aunque HIPAA en si es una ley federal, este mecanismo de aplicación significa que las infracciones pueden activar investigaciones tanto a nivel federal como estatal.
Muchos estados también tienen sus propias leyes de notificación de filtraciones de datos que pueden imponer requisitos adicionales más allá de HIPAA. Estas leyes estatales a menudo tienen plazos de notificación más cortos, exigen la notificación al fiscal general del estado o cubren categorías de información no abordadas por HIPAA. Las entidades cubiertas que operan en varios estados necesitan dar seguimiento y cumplir con cada ley estatal aplicable además de los requisitos federales de HIPAA.
Cuando un fiscal general del estado presenta una acción de aplicación de HIPAA, la HITECH Act exige que el fiscal general notifique a HHS al menos 48 horas antes de presentar la demanda e incluya una copia de la demanda. La OCR colabora con los fiscales generales estatales en la aplicación.
Como Presentar una Queja de HIPAA
Los individuos que creen que se han violado sus derechos de privacidad de la información de salud pueden presentar una queja ante la Oficina de Derechos Civiles de HHS. Este proceso es distinto de las obligaciones de notificación de infracciones que recaen sobre las entidades cubiertas.
Métodos de Presentación
- En línea: A través del Portal de Quejas de la OCR
- Correo postal: Envíe un formulario de queja completado a Centralized Case Management Operations, U.S. Department of Health and Human Services, 200 Independence Avenue, S.W., Washington, DC 20201
- Correo electrónico: OCRComplaint@hhs.gov
- Teléfono: (800) 368-1019 (TDD: (800) 537-7697)
Requisitos Clave
La queja debe incluir el nombre, la dirección y el número de teléfono de la entidad que se cree que violó HIPAA, junto con una descripción de los actos u omisiones y cuando ocurrieron. Las quejas deben presentarse dentro de 180 días de cuando el demandante conoció o debería haber conocido la presunta violación. La OCR puede extender este plazo por causa justificada.
HIPAA y la HITECH Act prohíben las represalias contra cualquier persona que presente una queja.
Niveles de Sanciones por Fallas en la Notificación de Infracciones
No cumplir con la Regla de Notificación de Infracciones puede resultar en sanciones monetarias civiles bajo . Las sanciones se estructuran en cuatro niveles según el nivel de culpabilidad:
| Nivel | Nivel de culpabilidad | Por violación | Tope anual |
|---|---|---|---|
| 1 | No sabía (y no pudo haber sabido mediante diligencia razonable) | $100 a $50,000 | $1,500,000 |
| 2 | Causa razonable (no descuido intencional) | $1,000 a $50,000 | $1,500,000 |
| 3 | Descuido intencional, corregido dentro de 30 días | $10,000 a $50,000 | $1,500,000 |
| 4 | Descuido intencional, no corregido dentro de 30 días | $50,000 mínimo | $1,500,000 |
Estos montos se ajustan anualmente por inflación bajo la Federal Civil Monetary Penalty Inflation Adjustment Act.
El descuido intencional se define bajo como la falla consciente e intencional o la indiferencia imprudente ante la obligación de cumplir con las disposiciones de simplificación administrativa de HIPAA. La HITECH Act exige que la OCR investigue todas las quejas que indiquen un posible descuido intencional.
Ejemplos Recientes de Aplicación
La actividad de aplicación de la OCR se ha acelerado en los últimos años. En 2024, la agencia completo 22 acciones de aplicación (el segundo total más alto de su historia) y recaudó más de $9.9 millones en acuerdos y sanciones monetarias civiles. Las acciones notables incluyen:
- Warby Parker (diciembre de 2024): sanción monetaria civil de $1,500,000 por violaciones de la Regla de Seguridad de HIPAA tras una investigación de ciberseguridad
- Gulf Coast Pain Consultants (diciembre de 2024): sanción de $1,190,000 por violaciones de la Regla de Seguridad
- Children's Hospital Colorado (diciembre de 2024): sanción de $548,265 por violaciones de las Reglas de Privacidad y Seguridad
- Providence Medical Institute (octubre de 2024): sanción de $240,000 en una investigación de ciberseguridad por ransomware
Las sanciones penales también son posibles. Bajo 42 U.S.C. 1320d-6, obtener o divulgar conscientemente PHI en violación de HIPAA puede resultar en multas de hasta $250,000 y prisión de hasta 10 años, dependiendo de la naturaleza del delito.
Mejores Prácticas de Cumplimiento
Las organizaciones sujetas a HIPAA pueden reducir el riesgo de notificación de infracciones y garantizar el cumplimiento a través de varios pasos prácticos:
- Mantenga un plan de respuesta a infracciones. Las políticas escritas que asignan roles, establecen plazos de investigación y preparan de antemano plantillas de notificación permiten una respuesta más rápida cuando ocurre un incidente.
- Capacite a los miembros del personal. Los empleados suelen ser los primeros en descubrir una posible infracción. La capacitación sobre lo que constituye un incidente reportable y a quien contactar internamente acelera el plazo entre el descubrimiento y la notificación.
- Cifre la PHI en reposo y en tránsito. Los datos correctamente cifrados se consideran asegurados bajo HIPAA, lo que significa que los requisitos de notificación de infracciones no aplican incluso si los datos se pierden o son robados.
- Documente las evaluaciones de riesgo. Cada incidente debe documentarse, se determine o no en última instancia que es una infracción reportable. La documentación respalda la carga de la prueba de la entidad cubierta bajo 45 CFR 164.414.
- Revise los acuerdos de asociado comercial. Asegúrese de que los BAA incluyan disposiciones de notificación de infracciones con plazos y requisitos de reporte específicos que cumplan o superen los mínimos federales.
El Marco Más Amplio de HIPAA
La Regla de Notificación de Infracciones es un componente del marco regulatorio más amplio de HIPAA. Funciona junto con la Regla de Privacidad (que rige los usos y divulgaciones permitidos de la PHI), la Regla de Seguridad (que establece las salvaguardas para la PHI electrónica) y la Regla de Aplicación (que rige las investigaciones, sanciones y audiencias).
Comprender la notificación de infracciones de forma aislada no es suficiente. Una entidad cubierta que mantiene prácticas sólidas de privacidad y seguridad reduce la probabilidad de que ocurra una infracción en primer lugar. Cuando las infracciones ocurren, las organizaciones con programas de cumplimiento establecidos están mejor posicionadas para responder dentro de los plazos requeridos y demostrar buena fe ante los reguladores.
Este artículo ofrece información legal, no asesoría legal. La notificación de infracciones de HIPAA implica requisitos regulatorios complejos que pueden interactuar con las leyes estatales. Consulte a un abogado para obtener asesoría especifica a su situación.
Preguntas frecuentes
¿Qué tan rápido debe una entidad cubierta reportar una infracción de HIPAA?
Bajo 45 CFR 164.404, una entidad cubierta debe notificar a los individuos afectados sin demora irrazonable y a más tardar 60 días calendario después de descubrir la infracción. Para las infracciones que afectan a 500 o más individuos, la notificación a HHS también debe ocurrir dentro de 60 días; las infracciones que afectan a más de 500 residentes de un mismo estado o jurisdicción también requieren notificación a los medios dentro de ese plazo. Las infracciones que afectan a menos de 500 individuos se reportan a HHS anualmente, dentro de 60 días del final del año calendario.
¿Qué es el Portal de Infracciones de HHS (Muro de la Vergüenza)?
El Portal de Infracciones de HHS es una base de datos en línea mantenida por la Oficina de Derechos Civiles donde se enumeran públicamente todas las infracciones reportadas que afectan a 500 o más individuos. La base de datos incluye el nombre de la entidad cubierta, el tipo de infracción, el número de individuos afectados y un resumen del incidente. La OCR investiga cada infracción reportada a través de este portal.
¿Puede una entidad cubierta evitar reportar una infracción si fue accidental?
No automáticamente. HIPAA ofrece tres excepciones estrechas para el acceso no intencional del personal (hecho de buena fe y dentro del alcance de la autoridad), la divulgación inadvertida entre personas autorizadas en la misma entidad y las divulgaciones donde el destinatario no pudo razonablemente retener la información. Fuera de estas excepciones, la entidad cubierta debe realizar una evaluación de riesgo de cuatro factores para determinar si el incidente es reportable.
¿Están obligados los asociados comerciales a reportar las infracciones directamente a los individuos afectados?
No. Bajo 45 CFR 164.410, un asociado comercial que descubre una infracción debe notificar a la entidad cubierta dentro de 60 días. La entidad cubierta entonces maneja la notificación a los individuos, a HHS y a los medios. Sin embargo, los asociados comerciales son directamente responsables bajo HIPAA por no notificar a la entidad cubierta, y muchos acuerdos de asociado comercial imponen plazos contractuales más estrictos.
¿Cuáles son las sanciones por no reportar una infracción de HIPAA?
Las sanciones monetarias civiles van de $100 a $50,000 por violación para las violaciones sin conocimiento, hasta un mínimo de $50,000 por violación para el descuido intencional no corregido dentro de 30 días. Cada categoría de violación tiene un tope anual de $1,500,000. Las sanciones penales bajo 42 U.S.C. 1320d-6 pueden alcanzar $250,000 en multas y hasta 10 años de prisión para los delitos más graves.
Actualizaciones
Ley aplicable revisada en busca de cambios recientes
Se corrigieron dos afirmaciones sobre la notificación de infracciones: se reconoció la excepción de demora por las fuerzas del orden (45 CFR 164.412) al plazo de 60 días, y se corrigió el umbral de notificación a los medios de '500' a 'más de 500' residentes en cada lugar donde aparecía la cifra.
Ley aplicable revisada en busca de cambios recientes
La ley detrás de este artículo
Este artículo se apoya en 10 disposiciones legales conservadas en nuestro propio registro jurídico, cada una obtenida de la fuente oficial. Toque una sección para leer el texto vigente.
Code of Federal Regulations Title 45
§ 160.401Definitions.Vigente
As used in this subpart, the following terms have the following meanings: Reasonable cause means an act or omission in which a covered entity or business associate knew, or by exercising reasonable diligence would have known, that the act or omission violated an administrative simplification provision, but in which the covered entity or business associate did not act with willful neglect. Reasonable diligence means the business care and prudence expected from a person seeking to satisfy a legal requirement under similar circumstances. Willful neglect means conscious, intentional failure or reckless indifference to the obligation to comply with the administrative simplification provision violated.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
§ 160.404Amount of a civil money penalty.Vigentecitada en 2 de nuestros artículos
(a) The amount of a civil money penalty will be determined in accordance with paragraph (b) of this section, and §§ 160.406, 160.408, and 160.412. These amounts were adjusted in accordance with the Federal Civil Monetary Penalty Inflation Adjustment Act of 1990, (Pub. L. 101-140), as amended by the Federal Civil Penalties Inflation Adjustment Act Improvements Act of 2015, (section 701 of Pub. L. 114-74), and appear at 45 CFR part 102. These amounts will be updated annually and published at 45 CFR part 102.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
Citada en 2 opiniones judicialesAplicada por un tribunal por última vez: 2025
Casos destacados: Kirstyn Bashaw v. Majestic Care of Whitehall (Court of Appeals for the Sixth Circuit 2025, 130 F.4th 542) · Planned Parenthood Minnesota, North Dakota, South Dakota v. Daugaard (District Court, D. South Dakota 2021)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.400Applicability.Vigente
The requirements of this subpart shall apply with respect to breaches of protected health information occurring on or after September 23, 2009.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
Citada en 3 opiniones judicialesAplicada por un tribunal por última vez: 2023
Casos destacados: Aspen American Insurance Company v. Blackbaud, Inc. (District Court, N.D. Indiana 2023) · COOK v. WAKE FOREST UNIVERSITY BAPTIST MEDICAL CENTER (District Court, M.D. North Carolina 2021)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.402Definitions.Vigentecitada en 3 de nuestros artículos
As used in this subpart, the following terms have the following meanings: Breach means the acquisition, access, use, or disclosure of protected health information in a manner not permitted under subpart E of this part which compromises the security or privacy of the protected health information. (1) Breach excludes: (i) Any unintentional acquisition, access, or use of protected health information by a workforce member or person acting under the authority of a covered entity or a business associate, if such acquisition, access, or use was made in good faith and within the scope of authority and does not result in further use or disclosure in a manner not permitted under subpart E of this part. (ii) Any inadvertent disclosure by a person who is authorized to access protected health information at a covered entity or business associate to another person authorized to access protected health information at the same covered entity or business associate, or organized health care arrangement in which the covered entity participates, and the information received as a result of such disclosure is not further used or disclosed in a manner not permitted under subpart E of this part.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
Citada en 7 opiniones judicialesAplicada por un tribunal por última vez: 2024
Casos destacados: Ciox Health, LLC v. Hargan (District Court, District of Columbia 2020) · Owen-Brooks v. DISH Network Corporation (District Court, D. Colorado 2024) · Ramirez v. DVA (Court of Appeals for the Federal Circuit 2024)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.404Notification to individuals.Vigentecitada en 3 de nuestros artículos
(a) Standard —(1) General rule. A covered entity shall, following the discovery of a breach of unsecured protected health information, notify each individual whose unsecured protected health information has been, or is reasonably believed by the covered entity to have been, accessed, acquired, used, or disclosed as a result of such breach. (2) Breaches treated as discovered. For purposes of paragraph (a)(1) of this section, §§ 164.406(a), and 164.408(a), a breach shall be treated as discovered by a covered entity as of the first day on which such breach is known to the covered entity, or, by exercising reasonable diligence would have been known to the covered entity. A covered entity shall be deemed to have knowledge of a breach if such breach is known, or by exercising reasonable diligence would have been known, to any person, other than the person committing the breach, who is a workforce member or agent of the covered entity (determined in accordance with the federal common law of agency). (b) Implementation specification: Timeliness of notification.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
Citada en 8 opiniones judicialesAplicada por un tribunal por última vez: 2026
Casos destacados: Cahill v. Memorial Heart Institute, LLC (District Court, E.D. Tennessee 2024) · Biscan v. Shields Health Care Group, Inc. (District Court, D. Massachusetts 2024) · Hennessey v. Mid-Michigan Ear, Nose and Throat, P.C. (District Court, W.D. Michigan 2023)
Identificado automáticamente a partir de las opiniones judiciales que citan esta sección; no es un ranking de qué caso prevalece.
§ 164.406Notification to the media.Vigente
(a) Standard. For a breach of unsecured protected health information involving more than 500 residents of a State or jurisdiction, a covered entity shall, following the discovery of the breach as provided in § 164.404(a)(2), notify prominent media outlets serving the State or jurisdiction. (b) Implementation specification: Timeliness of notification. Except as provided in § 164.412, a covered entity shall provide the notification required by paragraph (a) of this section without unreasonable delay and in no case later than 60 calendar days after discovery of a breach. (c) Implementation specifications: Content of notification. The notification required by paragraph (a) of this section shall meet the requirements of § 164.404(c).
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
§ 164.408Notification to the Secretary.Vigente
(a) Standard. A covered entity shall, following the discovery of a breach of unsecured protected health information as provided in § 164.404(a)(2), notify the Secretary. (b) Implementation specifications: Breaches involving 500 or more individuals. For breaches of unsecured protected health information involving 500 or more individuals, a covered entity shall, except as provided in § 164.412, provide the notification required by paragraph (a) of this section contemporaneously with the notice required by § 164.404(a) and in the manner specified on the HHS Web site. (c) Implementation specifications: Breaches involving less than 500 individuals. For breaches of unsecured protected health information involving less than 500 individuals, a covered entity shall maintain a log or other documentation of such breaches and, not later than 60 days after the end of each calendar year, provide the notification required by paragraph (a) of this section for breaches discovered during the preceding calendar year, in the manner specified on the HHS web site.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
§ 164.410Notification by a business associate.Vigentecitada en 2 de nuestros artículos
(a) Standard —(1) General rule. A business associate shall, following the discovery of a breach of unsecured protected health information, notify the covered entity of such breach. (2) Breaches treated as discovered. For purposes of paragraph (a)(1) of this section, a breach shall be treated as discovered by a business associate as of the first day on which such breach is known to the business associate or, by exercising reasonable diligence, would have been known to the business associate. A business associate shall be deemed to have knowledge of a breach if the breach is known, or by exercising reasonable diligence would have been known, to any person, other than the person committing the breach, who is an employee, officer, or other agent of the business associate (determined in accordance with the Federal common law of agency). (b) Implementation specifications: Timeliness of notification. Except as provided in § 164.412, a business associate shall provide the notification required by paragraph (a) of this section without unreasonable delay and in no case later than 60 calendar days after discovery of a breach. (c) Implementation specifications: Content of notification.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
§ 164.412Law enforcement delay.Vigente
If a law enforcement official states to a covered entity or business associate that a notification, notice, or posting required under this subpart would impede a criminal investigation or cause damage to national security, a covered entity or business associate shall: (a) If the statement is in writing and specifies the time for which a delay is required, delay such notification, notice, or posting for the time period specified by the official; or (b) If the statement is made orally, document the statement, including the identity of the official making the statement, and delay the notification, notice, or posting temporarily and no longer than 30 days from the date of the oral statement, unless a written statement as described in paragraph (a) of this section is submitted during that time.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
§ 164.414Administrative requirements and burden of proof.Vigente
(a) Administrative requirements. A covered entity is required to comply with the administrative requirements of § 164.530(b), (d), (e), (g), (h), (i), and (j) with respect to the requirements of this subpart. (b) Burden of proof. In the event of a use or disclosure in violation of subpart E, the covered entity or business associate, as applicable, shall have the burden of demonstrating that all notifications were made as required by this subpart or that the use or disclosure did not constitute a breach, as defined at § 164.402.
Texto oficial (extracto) · al 2026-07-28 · Lea la sección completa en ecfr.gov
Fuentes y referencias
- 45 CFR 164.402 - Definiciones (Infracción)(law.cornell.edu)
- 45 CFR 164.404 - Notificación a los individuos(law.cornell.edu)
- 45 CFR 164.406 - Notificación a los medios(law.cornell.edu)
- 45 CFR 164.408 - Notificación al Secretario(law.cornell.edu)
- 45 CFR 164.410 - Notificación por un asociado comercial(law.cornell.edu)
- 45 CFR 160.404 - Monto de una sanción monetaria civil(law.cornell.edu)
- HHS Panorama de la Regla de Notificación de Infracciones(hhs.gov).gov
- HHS - Presentación de un aviso de infracción al Secretario(hhs.gov).gov
- HHS - Presentación de una queja de privacidad de la información de salud(hhs.gov).gov
- HHS - Logros y resumen de HIPAA de 2024(hhs.gov).gov
- HHS - Autoridad de aplicación de los fiscales generales estatales(hhs.gov).gov
- HHS - Regla de Aplicación de HIPAA(hhs.gov).gov