Reporte de Infracciones de HIPAA: Requisitos, Plazos y Proceso (2026)

Bajo la Regla de Notificación de Infracciones de HIPAA (45 CFR 164.400-414), las entidades cubiertas deben notificar a los individuos afectados y al Departamento de Salud y Servicios Humanos de EE. UU. de cualquier infracción de información de salud protegida no asegurada sin demora irrazonable y a más tardar 60 días calendario después del descubrimiento.

La ley federal exige que las entidades cubiertas y sus asociados comerciales sigan un proceso específico cuando ocurre una infracción de información de salud protegida no asegurada. La Regla de Notificación de Infracciones de HIPAA, codificada en 45 CFR 164.400 a 164.414, establece a quién se debe notificar, qué información debe contener la notificación y con qué rapidez debe ocurrir.

Equivocarse en la notificación de infracciones acarrea consecuencias reales, incluidas sanciones monetarias civiles de la Oficina de Derechos Civiles (OCR) de HHS. La infracción de Change Healthcare, divulgada en 2024 y que afectó a aproximadamente 190 millones de individuos, demostró cómo un solo incidente puede activar un escrutinio regulatorio y público masivo.

Este artículo cubre el proceso completo de notificación de infracciones: desde determinar si un incidente califica como infracción, pasando por cada notificación requerida, hasta las sanciones por no cumplir.

Qué Cuenta como una Infracción bajo HIPAA

Bajo 45 CFR 164.402, una infracción es la adquisición, el acceso, el uso o la divulgación de información de salud protegida de una manera no permitida bajo la Regla de Privacidad de HIPAA que comprometa la seguridad o privacidad de la PHI.

Esa definición es intencionalmente amplia. Cada vez que la PHI se maneja de una forma que la Regla de Privacidad no permite, se presume que el incidente es una infracción a menos que la entidad cubierta o el asociado comercial pueda demostrar lo contrario mediante una evaluación de riesgo.

La regla aplica solo a la PHI no asegurada, es decir, la PHI que no ha sido vuelta inutilizable, ilegible o indescifrable para personas no autorizadas. Si la PHI ha sido cifrada usando métodos especificados por el Secretario de HHS o destruida de acuerdo con las guías del NIST, se considera asegurada, y los requisitos de notificación de infracciones no aplican.

La Evaluación de Riesgo de Cuatro Factores

Cuando ocurre un uso o divulgación no permitido, la entidad cubierta o el asociado comercial debe realizar una evaluación de riesgo para determinar si el incidente alcanza el nivel de una infracción reportable. Bajo 45 CFR 164.402(2), esta evaluación considera al menos cuatro factores:

1. Naturaleza y alcance de la PHI involucrada. ¿Qué tipos de identificadores quedaron expuestos? Los nombres por sí solos conllevan un riesgo distinto que los números de Seguro Social, los diagnósticos o la información financiera. La evaluación también considera la probabilidad de reidentificación si los datos fueron desidentificados.

2. La persona no autorizada que recibió o accedió a la PHI. ¿Fue el destinatario otra entidad cubierta con sus propias obligaciones de HIPAA, o fue un tercero desconocido? La identidad del destinatario afecta directamente la probabilidad de que la PHI sea usada indebidamente.

3. Si la PHI fue realmente adquirida o vista. Un fax mal dirigido que fue interceptado y devuelto sin abrir presenta un riesgo distinto que uno que fue leído. La evidencia de que la PHI nunca fue realmente accedida puede respaldar una determinación de baja probabilidad de compromiso.

4. La medida en que se ha mitigado el riesgo. Los pasos tomados después del incidente importan. Si la entidad cubierta obtuvo garantías del destinatario de que la información fue destruida, o si la evidencia forense muestra que no hubo exfiltración de datos, esos hechos pesan en contra de encontrar una infracción reportable.

La carga de la prueba recae en la entidad cubierta o el asociado comercial. Bajo 45 CFR 164.414(b), la entidad debe demostrar que se proporcionaron todas las notificaciones requeridas o que un uso o divulgación no permitido no constituyó una infracción. Mantener documentación de la evaluación de riesgo es esencial.

Tres Excepciones a la Definición de Infracción

No todo uso o divulgación no permitido califica como infracción. La Sección 164.402(1) contempla tres excepciones estrechas:

Excepción 1: Acceso no intencional del personal. Un empleado u otra persona que actúa bajo la autoridad de la entidad cubierta o del asociado comercial adquiere, accede o usa PHI de forma no intencional, siempre que el acceso se haya hecho de buena fe, dentro del alcance de la autoridad, y no resulte en un uso o divulgación no permitido adicional.

Excepción 2: Divulgación inadvertida entre personas autorizadas. Una persona autorizada para acceder a la PHI en una entidad cubierta, un asociado comercial o un acuerdo de atención de salud organizada divulga inadvertidamente PHI a otra persona autorizada para acceder a la PHI en la misma entidad o acuerdo. Nuevamente, no puede resultar ningún uso o divulgación no permitido adicional.

Excepción 3: Creencia de buena fe de no retención. Ocurre una divulgación a una persona no autorizada, pero la entidad cubierta o el asociado comercial tiene la creencia de buena fe de que el destinatario no autorizado no habría podido razonablemente retener la información. Por ejemplo, un proveedor muestra brevemente el expediente de un paciente a la visita equivocada, pero la visita no pudo haber memorizado ni registrado los detalles clínicos.

Estas excepciones son estrechas. Si un incidente no encaja claramente dentro de una de ellas, y la evaluación de riesgo de cuatro factores no demuestra una baja probabilidad de compromiso, la entidad cubierta debe tratar el incidente como una infracción reportable.

Requisitos de Notificación a los Individuos

Bajo 45 CFR 164.404, una entidad cubierta debe notificar a cada individuo cuya PHI no asegurada ha sido, o se cree razonablemente que ha sido, accedida, adquirida, usada o divulgada como resultado de una infracción.

Plazo

La notificación debe proporcionarse sin demora irrazonable y en ningún caso más tarde de 60 días calendario después del descubrimiento de la infracción. El descubrimiento ocurre el primer día en que la infracción es conocida, o habría sido conocida mediante el ejercicio de la diligencia razonable, por cualquier empleado, funcionario o agente de la entidad cubierta.

Esta ventana de 60 días es un plazo estricto, no una meta. La OCR ha impuesto sanciones específicamente por notificación tardía, incluso cuando la entidad cubierta finalmente notificó a los individuos afectados.

Contenido de la Notificación Individual

La notificación debe redactarse en lenguaje sencillo e incluir, en la medida de lo posible:

• Una breve descripción de lo ocurrido, incluyendo la fecha de la infracción y la fecha del descubrimiento
• Una descripción de los tipos de PHI no asegurada involucrada (como nombre completo, número de Seguro Social, fecha de nacimiento, diagnóstico o información de tratamiento)
• Los pasos que los individuos pueden tomar para protegerse de posibles daños
• Una breve descripción de lo que la entidad cubierta esta haciendo para investigar la infracción, mitigar el daño y prevenir futuros incidentes
• Procedimientos de contacto, incluyendo un número telefónico gratuito, dirección de correo electrónico, sitio web o dirección postal

Métodos de Entrega

El método principal es el correo de primera clase a la última dirección conocida del individuo. Si el individuo ha aceptado recibir avisos electrónicos, la entidad cubierta puede enviar la notificación por correo electrónico.

Para los individuos fallecidos, la entidad cubierta debe enviar el aviso escrito al familiar más cercano o representante personal si su información de contacto está disponible.

Notificación Sustituta

Cuando la información de contacto es insuficiente o esta desactualizada:

• Menos de 10 individuos: La entidad cubierta puede usar una forma alternativa de notificación escrita, teléfono u otros medios.
• 10 o más individuos: La entidad cubierta debe publicar un aviso visible en su sitio web durante al menos 90 días o proporcionar el aviso a través de los principales medios impresos o de difusión en el área geográfica afectada. Cualquiera de las dos opciones debe incluir un número telefónico gratuito que permanezca activo durante al menos 90 días.

Situaciones Urgentes

Cuando hay razones para creer que el uso indebido de la PHI es inminente, las entidades cubiertas pueden complementar la notificación escrita con llamadas telefónicas u otro contacto urgente. Este contacto adicional no reemplaza el requisito de notificación escrita.

Notificación a HHS (El Portal de Infracciones)

Bajo 45 CFR 164.408, las entidades cubiertas también deben notificar al Secretario de Salud y Servicios Humanos de cada infracción de PHI no asegurada. El plazo y el método dependen del tamaño de la infracción.

Infracciones que Afectan a 500 o Más Individuos

Para las infracciones que involucran a 500 o más individuos, la entidad cubierta debe notificar a HHS al mismo tiempo que la notificación individual, es decir, dentro de 60 días del descubrimiento. La notificación se presenta a través del Portal de Infracciones de HHS.

Los reportes de infracciones que involucran a 500 o más individuos se publican de forma pública en el sitio web de HHS, en una base de datos a menudo llamada el Muro de la Vergüenza. La lista incluye el nombre de la entidad cubierta, el número de individuos afectados, el tipo de infracción, la ubicación de la información infringida y un resumen del incidente.

La OCR investiga cada infracción reportada a través del portal que afecta a 500 o más individuos.

Infracciones que Afectan a Menos de 500 Individuos

Las infracciones más pequeñas no requieren notificación inmediata a HHS. En cambio, las entidades cubiertas deben mantener un registro de estas infracciones y presentarlas al Secretario dentro de 60 días del final del año calendario en que fueron descubiertas. Este reporte anual también se realiza a través del Portal de Infracciones.

Notificación a los Medios

Bajo 45 CFR 164.406, cuando una infracción afecta a más de 500 residentes de un solo estado o jurisdicción, la entidad cubierta debe notificar a los medios de comunicación prominentes que sirven a ese estado o jurisdicción.

La notificación a los medios debe ocurrir sin demora irrazonable y a más tardar 60 días calendario después del descubrimiento de la infracción. Los requisitos de contenido reflejan los de la notificación individual bajo 45 CFR 164.404(c): qué ocurrió, qué información estuvo involucrada, qué pueden hacer los individuos para protegerse, qué está haciendo la entidad al respecto y cómo obtener más información.

Este requisito aplica por estado. Una infracción que afecta a 400 individuos en un estado y a 200 en otro no activaría la notificación a los medios para ningún estado, aunque el total supere 500. Una infracción que afecta a más de 500 individuos todos en el mismo estado activaría la obligación de notificación a los medios para ese estado.

Obligaciones de Notificación de los Asociados Comerciales

Bajo 45 CFR 164.410, cuando ocurre una infracción en o por un asociado comercial, el asociado comercial debe notificar a la entidad cubierta. El asociado comercial no notifica directamente a los individuos afectados, a HHS ni a los medios. Esas responsabilidades permanecen con la entidad cubierta.

Plazo

Un asociado comercial debe proporcionar el aviso sin demora irrazonable y a más tardar 60 días calendario después de descubrir la infracción. El descubrimiento se define de la misma forma que para las entidades cubiertas: el primer día en que la infracción es conocida o debería haber sido conocida por cualquier empleado, funcionario o agente del asociado comercial.

Contenido del Aviso

El asociado comercial debe proporcionar:

• La identificación de cada individuo cuya PHI no asegurada ha sido o se cree razonablemente que ha sido afectada
• Cualquier otra información disponible que la entidad cubierta necesite para cumplir con sus obligaciones de notificación bajo 45 CFR 164.404(c)

Muchos acuerdos de asociado comercial incluyen disposiciones de notificación de infracciones que son más estrictas que el mínimo federal. Los plazos contractuales de 24 a 72 horas para el aviso inicial son comunes. La regla federal de 60 días es un techo, no un plazo recomendado.

Los asociados comerciales son directamente responsables bajo HIPAA por no proporcionar una notificación oportuna de infracciones. La OCR puede investigar y de hecho investiga a los asociados comerciales de forma independiente.

Notificación y Aplicación por el Fiscal General del Estado

La HITECH Act otorgó a los fiscales generales estatales la autoridad para presentar acciones civiles en nombre de los residentes del estado por violaciones de las Reglas de Privacidad y Seguridad de HIPAA. Aunque HIPAA en si es una ley federal, este mecanismo de aplicación significa que las infracciones pueden activar investigaciones tanto a nivel federal como estatal.

Muchos estados también tienen sus propias leyes de notificación de filtraciones de datos que pueden imponer requisitos adicionales más allá de HIPAA. Estas leyes estatales a menudo tienen plazos de notificación más cortos, exigen la notificación al fiscal general del estado o cubren categorías de información no abordadas por HIPAA. Las entidades cubiertas que operan en varios estados necesitan dar seguimiento y cumplir con cada ley estatal aplicable además de los requisitos federales de HIPAA.

Cuando un estado presenta una acción de aplicación de HIPAA, 42 U.S.C. 1320d-5(d)(4) le exige notificar previamente por escrito al Secretario de HHS y entregarle una copia de su demanda. Si la notificación previa no es factible, el estado debe notificarlo de inmediato al presentar la demanda. La OCR colabora con los fiscales generales estatales en la aplicación.

Como Presentar una Queja de HIPAA

Los individuos que creen que se han violado sus derechos de privacidad de la información de salud pueden presentar una queja ante la Oficina de Derechos Civiles de HHS. Este proceso es distinto de las obligaciones de notificación de infracciones que recaen sobre las entidades cubiertas.

Métodos de Presentación

• En línea: A través del Portal de Quejas de la OCR
• Correo postal: Envíe un formulario de queja completado a Centralized Case Management Operations, U.S. Department of Health and Human Services, 200 Independence Avenue, S.W., Washington, DC 20201
• Correo electrónico: OCRComplaint@hhs.gov
• Teléfono: (800) 368-1019 (TDD: (800) 537-7697)

Requisitos Clave

La queja debe incluir el nombre, la dirección y el número de teléfono de la entidad que se cree que violó HIPAA, junto con una descripción de los actos u omisiones y cuándo ocurrieron. Las quejas deben presentarse dentro de 180 días de cuando el demandante conoció o debería haber conocido la presunta violación. La OCR puede extender este plazo por causa justificada.

HIPAA y la HITECH Act prohíben las represalias contra cualquier persona que presente una queja.

Niveles de Sanciones por Fallas en la Notificación de Infracciones

No cumplir con la Regla de Notificación de Infracciones puede resultar en sanciones monetarias civiles bajo 45 CFR 160.404. Las sanciones se estructuran en cuatro niveles según el nivel de culpabilidad:

Los montos por violación y el tope por año calendario provienen de la tabla anual de ajuste por inflación de 45 CFR 102.3, a la que remite 45 CFR 160.404 y que se actualiza cada año. La regulación aún aplica un solo tope por año calendario a todos los niveles. Sin embargo, en una Notificación de Discreción de Aplicación de 2019 (84 FR 18151), HHS anunció que aplicaría límites anuales menores a los primeros tres niveles hasta nuevo aviso, como se muestra en la última columna. HHS no ha emitido una regla posterior que reemplace ese enfoque.

El descuido intencional se define bajo 45 CFR 160.401 como la falla consciente e intencional o la indiferencia imprudente ante la obligación de cumplir con las disposiciones de simplificación administrativa de HIPAA. La HITECH Act exige que la OCR investigue todas las quejas que indiquen un posible descuido intencional.

Ejemplos Recientes de Aplicación

La OCR publica en el sitio web de HHS sus acuerdos de resolución y sanciones monetarias civiles, y los casos recientes han incluido sanciones por fallas de la Regla de Seguridad descubiertas en investigaciones de ransomware y otras de ciberseguridad.

Las sanciones penales también son posibles. Bajo 42 U.S.C. 1320d-6, obtener o divulgar conscientemente PHI en violación de HIPAA puede resultar en multas de hasta $250,000 y prisión de hasta 10 años, dependiendo de la naturaleza del delito.

Mejores Prácticas de Cumplimiento

Las organizaciones sujetas a HIPAA pueden reducir el riesgo de notificación de infracciones y garantizar el cumplimiento a través de varios pasos prácticos:

• Mantenga un plan de respuesta a infracciones. Las políticas escritas que asignan roles, establecen plazos de investigación y preparan de antemano plantillas de notificación permiten una respuesta más rápida cuando ocurre un incidente.
• Capacite a los miembros del personal. Los empleados suelen ser los primeros en descubrir una posible infracción. La capacitación sobre lo que constituye un incidente reportable y a quién contactar internamente acelera el plazo entre el descubrimiento y la notificación.
• Cifre la PHI en reposo y en tránsito. Los datos correctamente cifrados se consideran asegurados bajo HIPAA, lo que significa que los requisitos de notificación de infracciones no aplican incluso si los datos se pierden o son robados.
• Documente las evaluaciones de riesgo. Cada incidente debe documentarse, se determine o no en última instancia que es una infracción reportable. La documentación respalda la carga de la prueba de la entidad cubierta bajo 45 CFR 164.414.
• Revise los acuerdos de asociado comercial. Asegúrese de que los BAA incluyan disposiciones de notificación de infracciones con plazos y requisitos de reporte específicos que cumplan o superen los mínimos federales.

El Marco Más Amplio de HIPAA

La Regla de Notificación de Infracciones es un componente del marco regulatorio más amplio de HIPAA. Funciona junto con la Regla de Privacidad (que rige los usos y divulgaciones permitidos de la PHI), la Regla de Seguridad (que establece las salvaguardas para la PHI electrónica) y la Regla de Aplicación (que rige las investigaciones, sanciones y audiencias).

Comprender la notificación de infracciones de forma aislada no es suficiente. Una entidad cubierta que mantiene prácticas sólidas de privacidad y seguridad reduce la probabilidad de que ocurra una infracción en primer lugar. Cuando las infracciones ocurren, las organizaciones con programas de cumplimiento establecidos están mejor posicionadas para responder dentro de los plazos requeridos y demostrar buena fe ante los reguladores.

Este artículo ofrece información legal, no asesoría legal. La notificación de infracciones de HIPAA implica requisitos regulatorios complejos que pueden interactuar con las leyes estatales. Consulte a un abogado para obtener asesoría especifica a su situación.

Preguntas frecuentes

¿Qué tan rápido debe una entidad cubierta reportar una infracción de HIPAA?

Bajo 45 CFR 164.404, una entidad cubierta debe notificar a los individuos afectados sin demora irrazonable y a más tardar 60 días calendario después de descubrir la infracción. Para las infracciones que afectan a 500 o más individuos, la notificación a HHS también debe ocurrir dentro de 60 días; las infracciones que afectan a más de 500 residentes de un mismo estado o jurisdicción también requieren notificación a los medios dentro de ese plazo. Las infracciones que afectan a menos de 500 individuos se reportan a HHS anualmente, dentro de 60 días del final del año calendario.

¿Qué es el Portal de Infracciones de HHS (Muro de la Vergüenza)?

El Portal de Infracciones de HHS es una base de datos en línea mantenida por la Oficina de Derechos Civiles donde se enumeran públicamente todas las infracciones reportadas que afectan a 500 o más individuos. La base de datos incluye el nombre de la entidad cubierta, el tipo de infracción, el número de individuos afectados y un resumen del incidente. La OCR investiga cada infracción reportada a través de este portal.

¿Puede una entidad cubierta evitar reportar una infracción si fue accidental?

No automáticamente. HIPAA ofrece tres excepciones estrechas para el acceso no intencional del personal (hecho de buena fe y dentro del alcance de la autoridad), la divulgación inadvertida entre personas autorizadas en la misma entidad y las divulgaciones donde el destinatario no pudo razonablemente retener la información. Fuera de estas excepciones, la entidad cubierta debe realizar una evaluación de riesgo de cuatro factores para determinar si el incidente es reportable.

¿Están obligados los asociados comerciales a reportar las infracciones directamente a los individuos afectados?

No. Bajo 45 CFR 164.410, un asociado comercial que descubre una infracción debe notificar a la entidad cubierta dentro de 60 días. La entidad cubierta entonces maneja la notificación a los individuos, a HHS y a los medios. Sin embargo, los asociados comerciales son directamente responsables bajo HIPAA por no notificar a la entidad cubierta, y muchos acuerdos de asociado comercial imponen plazos contractuales más estrictos.

¿Cuáles son las sanciones por no reportar una infracción de HIPAA?

Las sanciones monetarias civiles bajo 45 CFR 160.404 se ajustan por inflación cada año en 45 CFR 102.3. Las cifras vigentes van de $145 a $73,011 por violación para las violaciones sin conocimiento, hasta un mínimo de $73,011 por violación para el descuido intencional no corregido dentro de 30 días. Desde 2019, la OCR ha aplicado a los tres niveles de menor culpabilidad límites anuales menores que el tope único por año calendario de la regulación. Las sanciones penales bajo 42 U.S.C. 1320d-6 pueden alcanzar $250,000 en multas y hasta 10 años de prisión para los delitos más graves.