¿Qué sucede con las instalaciones después de las violaciones a HIPAA?

Muchas empresas, como hospitales, aseguradoras y consultorios médicos, tienen acceso a información médica personal. El gobierno federal aprobó la Ley de responsabilidad y portabilidad del seguro de salud, llamada HIPAA, en 1996 para proteger la información. HIPAA requiere que muchas compañías mantengan la confidencialidad de la información médica. Si su instalación viola los requisitos de HIPAA, puede resultar un error costoso.

Entregar malas noticias

Una de las primeras cosas que debe hacer su instalación después de una infracción es notificar a las víctimas. La regla de notificación de incumplimiento de HIPAA dice que todos los afectados deben ser contactados por correo o por correo electrónico si así lo han acordado. Puede hacerlo sin demoras injustificadas y nunca más tarde de 60 días después de descubrir la violación. El aviso incluye los detalles de la infracción, el tipo de información involucrada y los pasos que los pacientes deben tomar para minimizar el daño. Si la violación afecta a más de 500 personas, es posible que también deba anunciarlo a los medios de comunicación.

La investigación comienza

La Oficina de Derechos Civiles (OCR, por sus siglas en inglés) del gobierno federal es una rama del Departamento de Salud y Servicios Humanos a cargo de hacer cumplir HIPAA. Eso a menudo incluye la investigación de una instalación después de una violación. OCR puede notificarle con anticipación o programar una inspección por sorpresa. El inspector de OCR revisará sus políticas y procedimientos, la capacitación de los empleados, los acuerdos con socios comerciales (cómo los necesita para manejar la información médica) y sus políticas internas de administración de riesgos. Si la agencia inicia una investigación, esté preparado para proporcionar los registros solicitados.

Sanciones y Castigos

Si el gobierno encuentra culpables sus instalaciones, puede aplicar sanciones civiles y penales. La multa civil máxima es de $ 50, 000 por violación con un total máximo de $ 1.5 millones. La multa mínima es de $ 100 si la persona responsable no tenía forma de saber que estaba violando HIPAA. Si el gobierno encuentra una negligencia voluntaria y ve que no ha habido ningún intento de corregir el problema, el mínimo es de $ 50, 000 por violación. También puede excluir sus instalaciones de participar en Medicare.

Penalidades criminales

Las sanciones penales por violaciones de HIPAA pueden incluir multas y tiempo en prisión. A sabiendas, obtener o divulgar información puede ganar una multa de $ 50, 000 y un año de prisión. Vender, transferir o usar información confidencial de salud para beneficio personal en violación de las reglas puede llevar a multas de $ 250, 000 y una década tras las rejas. El Departamento de Justicia dice que puede aplicar las sanciones a las instalaciones, gerentes y empleados, dependiendo de las circunstancias.