HIPAA en México en Comparación con el GDPR y la Ley Mexicana: ¿Qué Necesitan Saber los Médicos?

En un mundo que se digitaliza cada vez más, cuidar los datos personales, sobre todo los de salud, se ha convertido en una prioridad para los sistemas de salud y los gobiernos. En Estados Unidos, la ley HIPAA (Ley de Portabilidad y Responsabilidad de Seguros de Salud) ha sido fundamental en la regulación del manejo de información médica. Aunque HIPAA no se aplica directamente en México, el país tiene su propio marco legal que busca objetivos similares: salvaguardar la privacidad y seguridad de los datos de salud. En este artículo, analicemos las similitudes y diferencias entre la HIPAA, el GDPR y las leyes mexicanas, además de explorar algunos programas de gestión médica que cumplen con estas regulaciones.

Sobre las Leyes

HIPAA, que se estableció en 1996 en Estados Unidos, tiene como propósito principal facilitar la portabilidad del seguro médico, optimizar la eficiencia del sistema de atención médica y, lo más importante, salvaguardar la privacidad de la información médica. Esta ley define normas precisas para el manejo, almacenamiento, transmisión y acceso a los datos personales de salud. Las organizaciones que están bajo la regulación de HIPAA (Health insurance portability and accountability act) deben adoptar medidas de seguridad administrativas, físicas y técnicas, además de informar a los pacientes sobre el uso de sus datos.

El GDPR (Reglamento General de Protección de Datos) es una normativa de la Unión Europea (UE) que establece directrices sobre la protección de datos personales y la privacidad de los ciudadanos europeos. Aunque México no está obligado a cumplir con el GDPR por no ser parte de la UE, hay circunstancias en las que esta normativa puede ser relevante en México. A continuación, discutimos la relación entre México y el GDPR, así como las leyes nacionales mexicanas que regulan la protección de datos.

El marco legal en México establece que el derecho a la protección de datos personales está garantizado por el artículo 16 de la Constitución. Las leyes más importantes son:

• La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), que está en vigor desde 2010 y regula cómo las empresas y profesionales del sector privado manejan los datos personales.
• La Ley General de Protección de Datos Personales en Posesión de Sujetos Obligados (LGPDPPSO), que fue aprobada en 2017 y se aplica a las instituciones públicas que gestionan datos personales, como hospitales y centros de salud del Estado. Ambas leyes consideran los datos de salud como datos personales sensibles, lo que implica que necesitan un nivel de protección más alto y el consentimiento explícito del titular para su tratamiento.

Esta es la comparación actualizada entre HIPAA, el GDPR y las leyes mexicanas (LFPDPPP y LGPDPPSO).

Todos los marcos protegen datos confidenciales, pero el GDPR pone un énfasis especial en la gestión de estos datos, incluyendo los de salud. Los tres marcos exigen el consentimiento explícito para procesar datos sensibles. Sin embargo, el GDPR ofrece más detalles sobre los derechos de los individuos, como el derecho al olvido, que no se encuentra en HIPAA ni en las leyes mexicanas. Además, las sanciones del GDPR son mucho más estrictas, pudiendo alcanzar hasta el 4% de la facturación anual global de la empresa, superando así las sanciones de HIPAA y las leyes mexicanas.

¿Para que Cumplir con HIPAA?

La ley HIPAA no es de cumplimiento obligatorio en México, pero puede tener implicaciones si colaboras con ciertos pacientes, empresas o servicios vinculados a Estados Unidos. Entonces, en qué situaciones es necesario utilizar software que cumpla con HIPAA, si trabajas desde México?

1. Si ofreces servicios a pacientes en Estados Unidos, ya seas médico, terapeuta, psicólogo, nutriólogo u otro profesional de la salud en México, y atiendes a personas que viven en EE. UU., es probable que estés manejando información de salud que debe ser protegida por HIPAA. Sobre todo si recibes pagos a través de seguros estadounidenses. Por lo tanto, es muy aconsejable (y en ocasiones obligatorio) utilizar un sistema que cumpla con las normativas de HIPAA.
2. Si colaboras con aseguradoras o clínicas en EE. UU., y eres un proveedor de servicios externo, asistente virtual, facturador médico, programador o administrativo en el sector salud, es fundamental que sepas que estas entidades deben cumplir con HIPAA. Como 'socio comercial', tú también tienes la responsabilidad de seguir estas regulaciones, lo que implica utilizar software que esté en conformidad con HIPAA.
3. Si manejas datos médicos, como historiales clínicos, resultados de laboratorio o información de pacientes que se envían electrónicamente entre México y EE. UU., debes cumplir con HIPAA, incluso si no te encuentras en EE. UU.
4. Si utilizas un software en la nube que guarda información en Estados Unidos, aunque trabajes con pacientes mexicanos, debes tener en cuenta que si ese software almacena datos en servidores en EE. UU. y está regulado por HIPAA, podrían surgir implicaciones legales.

Si te encuentras en una de esas situaciones, utilizar un software de gestión de prácticas que cumpla con HIPAA no solo es recomendable, sino que puede ser un requisito legal o contractual para seguir trabajando con empresas de EE. UU.

Consideraciones Clave:

• Acuerdo de Socio Comercial (BAA): Al utilizar software que cumple con HIPAA, es fundamental firmar un BAA con el proveedor para asegurar el cumplimiento de las regulaciones.
• Ubicación de los Servidores: Asegúrate de que los datos de los pacientes se guarden en servidores situados en EE. UU. o en países que ofrezcan un nivel adecuado de protección de datos.
• Cumplimiento Continuo: Es crucial llevar a cabo auditorías periódicas y mantener actualizadas las políticas de privacidad y seguridad para cumplir con HIPAA.

¿Qué es el BAA?

El BAA, o Acuerdo de Asociado Comercial, es un contrato legal que se requiere bajo HIPAA y se establece entre:

• una entidad cubierta (como un hospital, clínica, médico o psicólogo) y
• un asociado comercial (por ejemplo, un proveedor de software, servicios en la nube, asistentes virtuales, contadores, etc.) que tiene acceso, maneja o almacena información médica protegida (PHI por sus siglas en inglés).

El BAA define las obligaciones del socio comercial para salvaguardar la información médica de los pacientes, que incluye:

• Manejar, almacenar y enviar la información médica de manera segura.
• Aplicar medidas de seguridad tanto técnicas como físicas.
• Informar sobre cualquier incidente de seguridad.
• Facilitar auditorías o inspecciones cuando sea necesario.
• No utilizar la información para propósitos no permitidos.

¿Cuál es su relevancia?

• Si trabajas desde México para una entidad en EE. UU. o utilizas un software que gestiona datos médicos de pacientes estadounidenses, firmar un BAA te hace legalmente responsable del manejo de esa información bajo HIPAA.
• Si el software no proporciona un BAA, no se considera compatible con HIPAA, aunque afirme ser "seguro".

La mayoría de los softwares que cumplen con HIPAA te enviarán el BAA automáticamente al registrarte en planes de pago o empresariales.

¿Para que Cumplir con el RGPD?

Hemos discutido sobre HIPAA y ahora vamos a hablar del GDPR. El GDPR (Reglamento General de Protección de Datos) es una normativa de la Unión Europea (UE) que establece directrices para la protección de datos personales y la privacidad de los ciudadanos europeos. Aunque México no está obligado a cumplir con el GDPR por su ubicación fuera de la UE, hay circunstancias en las que esta normativa puede ser relevante en México. Si una clínica, consultorio o proveedor de software médico en México utiliza un sistema de gestión de prácticas que recopila o almacena información médica personal de pacientes de la UE (ya sea para telemedicina, programación, expedientes clínicos, facturación, etc.), este sistema debe:

• Cumplir con los principios del GDPR en relación a la privacidad desde el diseño y por defecto, implementando medidas de seguridad como cifrado, autenticación de usuarios y registros de acceso.
• Además, es importante poder gestionar las solicitudes de derechos de los pacientes, como permitir la eliminación de sus datos si así lo piden.
• Se recomienda también ofrecer un Acuerdo de Procesamiento de Datos (DPA) entre la empresa mexicana y el proveedor de software, similar al BAA de HIPAA pero adaptado al contexto europeo.

La especialidad no es tan relevante; lo que realmente cuenta es de dónde provienen tus pacientes y qué información manejas. Si solo atiendes a pacientes mexicanos, no necesitas preocuparte por HIPAA ni el GDPR, pero sí debes seguir la ley mexicana (LFPDPPP). Sin embargo, si trabajas con pacientes de EE. UU. o de la UE, entonces sí debes considerar HIPAA y/o GDPR, aunque estés en México.

3 Programas de Gestión para tu Consulta

En México, el sector salud está viendo cómo los sistemas de gestión de prácticas médicas (PMS) se vuelven cada vez más importantes para mejorar la administración clínica y la atención al paciente. A pesar de los avances tecnológicos, todavía hay pocas plataformas sólidas en el mercado que cumplan con los estándares internacionales de protección de datos, como la HIPAA de EE. UU. y el GDPR de la UE. Esto representa un gran reto para los proveedores de salud que quieren digitalizar sus procesos sin poner en riesgo la seguridad de la información médica. Ya hemos hablado de las leyes de protección de datos, y ahora vamos a analizar 3 soluciones que hay en México, revisando su funcionalidad y cumplimiento normativo.

#1 Medesk

Medesk es una plataforma completa para manejar prácticas médicas en la nube, creada para hacer más fácil la gestión de clínicas y consultorios privados. Medesk ha logrado reconocimiento mundial gracias a su enfoque en la seguridad de la información y su cumplimiento con normativas de protección de datos, como el GDPR. Entre las características más importantes entre estándares de seguridad están:

• Cifrado de Datos: Usa un certificado SSL de 2048 bits para mantener la información segura durante su transferencia y almacenamiento.
• Almacenamiento en la Nube: Los datos se guardan en servidores en el Reino Unido, en centros de datos súper seguros que utilizan instituciones financieras de primer nivel.
• Control de Accesos: Permite definir niveles de acceso según roles, asegurando que solo el personal autorizado pueda acceder a información sensible.
• Derechos del Paciente: Los pacientes tienen la opción de pedir la eliminación permanente de sus datos, asegurando su derecho al olvido.

Funcionalidades Clave

• Historia Clínica Electrónica (EHR): Reúne toda la información del paciente en un solo sitio, haciendo más fácil su acceso y manejo.
• Telemedicina: Ofrece la posibilidad de hacer consultas en línea, ampliando el acceso a los servicios de salud.
• Agendamiento y Recordatorios: Ayuda a programar citas y envía recordatorios automáticos, lo que disminuye las ausencias.
• Facturación Médica: Administra pagos, depósitos y crea facturas electrónicas, integrándose con sistemas contables como Xero.

Medesk se presenta como una solución sólida para la gestión de consultorios médicos, destacando por su enfoque en la seguridad de los datos y su cumplimiento con el GDPR.

#2 HuliPractice

HuliPractice es una plataforma de gestión médica originaria de Costa Rica que se ha expandido a varios países de Latinoamérica, como México. Se ha hecho conocida por su enfoque en la seguridad de la información en el ámbito clínico. Aunque su desarrollo se centra en cumplir con normativas latinoamericanas como la LFPDPPP y la NOM-024-SSA3-2012, también incorpora prácticas que cumplen con los estándares de la HIPAA de Estados Unidos, especialmente en lo que se refiere a la confidencialidad, integridad y disponibilidad de la información médica. Entre las características destacadas se incluyen:

• Cifrado en tránsito y reposo: La plataforma usa cifrado AES-256 y comunicación segura a través de HTTPS/TLS, cumpliendo con los requisitos técnicos de HIPAA para proteger datos sensibles.
• Gestión de accesos: HuliPractice permite dar permisos específicos a los usuarios, restringiendo el acceso a información clínica según su rol, lo cual es fundamental para el control de los derechos de acceso según HIPAA.
• Registro de auditorías: El sistema guarda un registro de la actividad de los usuarios, lo que ayuda a detectar accesos no autorizados o comportamientos extraños, cumpliendo con el principio de trazabilidad.
• Respaldos automáticos y recuperación de datos: La plataforma hace copias de seguridad regularmente y permite recuperar información, lo que ayuda a mantener la disponibilidad e integridad de los datos, tal como lo exige HIPAA.
• Capacitación e infraestructura: Aunque HIPAA requiere que los proveedores implementen programas de concientización para su personal, en el caso de HuliPractice, se recomienda a las clínicas en México que desarrollen sus propios protocolos internos de capacitación junto con la plataforma.

Características Principales

• Expediente Clínico Electrónico: Se puede personalizar según la especialidad médica, con secciones y preguntas que se adaptan a lo que necesita el consultorio.
• Recetas Electrónicas: Cumple con la normativa mexicana, incluyendo la NOM-001-SSAT-2020-Farmacopea de los Estados Mexicanos 2020.
• Almacenamiento de Documentos: Permite guardar imágenes, estudios y otros documentos relacionados con el paciente.
• Agenda Médica: Hace más fácil programar citas y enviar recordatorios automáticos a los pacientes.
• Interoperabilidad: Se conecta con otros actores del ecosistema de salud en Latinoamérica, como farmacias, laboratorios y aseguradoras.

HuliPractice es una solución completa para manejar prácticas médicas en México, cumpliendo con las normativas locales y los estándares internacionales de protección de datos (HIPAA). Su atención a la seguridad de la información y su capacidad de adaptarse a las necesidades particulares de cada consultorio la hacen muy interesante para los profesionales de la salud que quieren digitalizar sus procesos sin poner en riesgo la privacidad de sus pacientes.

#3 OpenEMR

OpenEMR es un software de gestión de consultorios médicos que es de código abierto. Ofrece funciones como registros médicos electrónicos, gestión de citas y facturación electrónica. Además, cuenta con la certificación de la Oficina Nacional Coordinadora de Salud de EE.UU. (ONC) como un Registro Electrónico de Salud Completo Ambulatorio y cumple con la normativa de la Ley de Portabilidad y Responsabilidad de Seguros de Salud (HIPAA) en EE.UU. OpenEMR ha tomado varias medidas para cumplir con HIPAA:

• Cifrado de Datos: Usa cifrado AES-256 y comunicación segura a través de HTTPS/TLS para mantener a salvo los datos mientras se envían y almacenan.
• Controles de Acceso: Aplica autenticación de múltiples factores y controles de acceso por roles para asegurar que solo el personal autorizado pueda acceder a la información sensible.
• Auditoría y Monitoreo: Lleva un registro detallado de auditoría y hace evaluaciones de seguridad regularmente para identificar y reaccionar ante posibles incidentes de seguridad.
• Acuerdo de Asociado de Negocios (BAA): OpenEMR permite firmar un BAA con las entidades cubiertas, definiendo las responsabilidades y obligaciones de ambas partes en cuanto a la protección de la información de salud protegida (PHI).

Las principales funcionalidades son las siguientes:

• Expediente Clínico Electrónico (EHR): hace expedientes médicos a tu medida, perfectos para cada especialidad. Puedes modificar las secciones y preguntas del expediente según lo que necesite tu consultorio o clínica, asegurando así una documentación clara y efectiva.
• Agenda Médica y Manejo de Citas: cuenta con un calendario interactivo para organizar las citas de los pacientes, ofreciendo diferentes vistas (diaria, semanal, por médico).
• Facturación y Cobranza Médica: simplifica la facturación electrónica y la gestión de cobros al integrarse con códigos médicos como ICD-10 y CPT.
• Gestión de Pacientes: facilita el registro y almacenamiento de información detallada de cada paciente, abarcando datos personales, historial médico, diagnósticos y tratamientos.

OpenEMR proporciona una plataforma sólida y segura que se ajusta a los estándares de HIPAA, lo que la hace una opción interesante para clínicas en México que desean una solución digital que cumpla con normativas internacionales. No obstante, es crucial adaptar su uso a la legislación mexicana para asegurar el cumplimiento con la LFPDPPP y otras regulaciones locales.

Reflexión Final

Hay varias opciones de software de gestión médica en México, cada una con sus propias características y regulaciones. Aunque Medesk no se ajusta completamente a HIPAA, su adherencia al GDPR y las medidas de seguridad que tiene lo hacen una opción válida para clínicas y consultorios en México, siempre que se adapten a la legislación local. Por otro lado, HuliPractice y OpenEMR son opciones sólidas que cumplen con normativas de HIPAA. Al final, la elección del sistema dependerá de las necesidades específicas de cada consultorio, así como del cumplimiento de las regulaciones locales y las preferencias en funcionalidad y facilidad de uso.