La regla de 30 días de notificación de brecha de la Florida y su sistema de admisión

Una nota sobre qué es esto: una descripción de una ley de la Florida en lo que toca a los sistemas de admisión, escrita por una empresa de tecnología. No es asesoría legal, y una brecha es precisamente el momento de llamar a su abogado y no de leer un blog.

Dos relojes

La regla de notificación de brecha de HIPAA exige aviso a las personas sin demora injustificada y a más tardar 60 días después del descubrimiento. La ley de la Florida dice 30 días después de determinar la brecha, con una posible prórroga de 15 días por causa justificada demostrada por escrito. Una entidad cubierta bajo HIPAA en la Florida está en la práctica en el reloj más corto, porque la disposición de cumplimiento equivalente de la Florida solo aplica si el aviso al estilo federal sale de verdad, y llega al Departamento, dentro del plazo de la Florida. Un consultorio que no es entidad cubierta bajo HIPAA solo tiene el reloj de la Florida, y son los mismos 30 días.

Qué está en el alcance desde la admisión

• • El nombre junto con cualquiera de: un número de identificación oficial, un número de cuenta financiera, una historia médica, un número de póliza o de suscriptor de seguro de salud, o una credencial de cuenta en línea. Los formularios de admisión recogen varios de estos el primer día.
• • Los envíos de formularios, incluidas las respuestas a «qué lo trae aquí».
• • Los hilos de mensajes, que los pacientes llenan de detalles que el consultorio nunca pidió.
• • Las grabaciones de llamadas y las transcripciones, si se conservan.
• • Los propios registros de consentimiento, que contienen números de teléfono y direcciones IP.

Nada de eso es exótico. Es el contenido normal de un sistema de admisión, y es la razón por la que «solo lo usamos para agendar» no es una defensa.

Medidas razonables, como configuración

La ley pide medidas razonables y no las enumera. Las salvaguardas técnicas que un consultorio puede señalar son las que la plataforma de admisión provee y la configuración aplica: cifrado en reposo y en tránsito, un acceso por persona con autenticación de varios factores, permisos por rol sobre una base de mínimo necesario, un registro de auditoría de cada acceso y cada envío, límites de retención de mensajes y grabaciones, y conexiones de terceros mantenidas fuera del límite salvo que estén documentadas. Todo eso se describe en la página de HIPAA como la parte de la plataforma en una responsabilidad de tres partes. Bajo la ley de la Florida también es la evidencia de razonabilidad del consultorio.

La pregunta que le van a hacer al consultorio

Después de una brecha, la primera pregunta del abogado, y después del Departamento, es a qué se accedió. Un consultorio con una contraseña compartida en recepción no puede responderla; el registro dice que la bandeja se abrió 340 veces el mes pasado por una silla. Un consultorio con accesos con nombre y un rastro de auditoría por registro puede decir qué expedientes vio la cuenta comprometida, en qué ventana, y por lo tanto qué pacientes necesitan aviso. Esa diferencia es la diferencia entre notificar a 40 personas y notificar a todos, y la decide una configuración hecha meses antes.

Qué no puede hacer el sistema de admisión

No puede decidir si un incidente es una brecha bajo ninguna de las dos leyes; esa es una determinación legal que implica una evaluación de riesgo. No puede enviar los avisos, que tienen contenido obligatorio y salen del consultorio. No puede sustituir el análisis de riesgo, las políticas y la capacitación del personal del consultorio, que son la mayor parte de la responsabilidad y le corresponden al consultorio use el proveedor que use. Lo que sí puede hacer es tener los hechos técnicos disponibles rápido y completos, que es la parte que convierte treinta días de pánico en un proceso.

Antes de que pase algo

• • Sepa cuáles de sus sistemas guardan información personal como la define la Florida. El sistema de admisión es uno; el sistema de gestión del consultorio es otro; los celulares personales desde los que el personal escribe son un tercero, y ese no tiene registro de auditoría.
• • Confirme que cada acceso es una persona con nombre y que todo miembro del personal que se fue está desactivado.
• • Defina la retención de grabaciones y transcripciones. Los datos que ya no conserva no pueden sufrir una brecha.
• • Pregúntele a cada proveedor, incluidos nosotros, cuál es su obligación de notificarle un incidente bajo el acuerdo o el contrato, y qué tan rápido.
• • Guarde el número de su abogado en algún lugar que no sea el sistema que se acaba de caer.

Preguntas frecuentes sobre este tema

Relacionado