HIPAA para agencias de ABA en 2026: lo que exige hoy y lo que solo está propuesto

Deja de lado los titulares sobre reglas nuevas de ciberseguridad. El texto que mide a tu agencia ahora mismo es 45 CFR parte 164 subparte C, y es lo bastante corto para leerlo en una tarde. Estas son las piezas marcadas «Required», que no dejan margen de criterio sobre si hacerlas¹:

Hay tres más que son estándares en lugar de especificaciones, lo que significa que son obligatorios a nivel del estándar: un programa de concientización y capacitación en seguridad para todo el personal, incluida la gerencia¹; controles de auditoría, es decir, mecanismos que registren y examinen la actividad en los sistemas con ePHI¹; y una evaluación periódica, técnica y no técnica, de si tus políticas siguen cumpliendo la subparte¹.

Para una agencia de ABA, ese último punto es el que falta más seguido. Sumar una plataforma de telesalud, una aplicación nueva de toma de datos o un facturador contratado cuentan como cambios operativos que deberían activarlo.

Esta es la lectura equivocada más costosa de HIPAA en prácticas pequeñas. Algunas especificaciones dicen «Addressable» en lugar de «Required», y la gente entiende «podemos saltarlo». La regla dice otra cosa: evalúas si es una salvaguarda razonable y apropiada en tu entorno y, si aplicarla no lo es, tienes que documentar por qué e implementar una medida alternativa equivalente cuando sea razonable y apropiado¹.

El cifrado en la transmisión es hoy una de esas especificaciones «addressable»¹. Así que la posición lícita no es «no ciframos». Es «lo evaluamos, aquí está el razonamiento por escrito y esto es lo que hacemos en su lugar».

HHS lo dijo sin rodeos en su propia propuesta: le preocupa que algunas entidades reguladas actúen como si cumplir una especificación «addressable» fuera opcional, y afirma de plano que esa interpretación es incorrecta³.

El acuerdo con el socio comercial (BAA) no es papeleo de higiene: es una especificación requerida. Tienes que documentar las garantías satisfactorias mediante un contrato escrito u otro arreglo con el socio comercial¹, y ese contrato debe obligarlo a reportarte cualquier incidente de seguridad del que se entere, incluidas las brechas de PHI no asegurada¹.

Para los acuerdos con proveedores de inteligencia artificial en concreto, y qué planes incluyen un BAA y cuáles no, está la guía sobre BCBA e informes con IA. Este artículo no lo repite.

1. Un uso o divulgación no permitido por la Privacy Rule se presume brecha, salvo que demuestres baja probabilidad de que la información se haya comprometido, con una evaluación de riesgo².
2. Individuos afectados: sin demora irrazonable y nunca después de 60 días calendario del descubrimiento².
3. 500 individuos o más: se avisa a HHS al mismo tiempo que a los individuos².
4. Menos de 500: se lleva un registro y se reporta a más tardar 60 días después del cierre del año calendario².
5. Más de 500 residentes de un mismo estado: hay que avisar a medios de comunicación prominentes de ese estado².
6. Si tú eres el socio comercial: avisas a la entidad cubierta tras descubrir la brecha².

Lee bien los 60 días. Son un techo, no un periodo de gracia: la regla dice primero «sin demora irrazonable» y solo después pone el tope².

La aplicación de sanciones es donde la documentación se paga sola. Las multas civiles se escalonan según lo que la entidad sabía y según si corrigió la violación dentro de los 30 días posteriores a enterarse o a que debiera haberse enterado⁵. Las cifras impresas en el reglamento son las estatutarias sin ajuste: los montos vigentes se actualizan cada año y se publican en 45 CFR parte 102⁵. Y en una violación continua, cada día cuenta como una violación separada⁵.

El 6 de enero de 2025, la Oficina de Derechos Civiles de HHS publicó un aviso de reglamentación propuesta para modificar la Security Rule³. Si se adoptara tal como está escrito, los cambios principales para una agencia pequeña serían:

• Un inventario escrito de activos tecnológicos y un mapa de red de los sistemas y activos que pueden afectar al ePHI³.
• Cifrado de todo el ePHI en reposo y en tránsito, con excepciones limitadas³.
• Autenticación multifactor desplegada en todos los activos tecnológicos de los sistemas relevantes³.
• El fin de la división entre «required» y «addressable»: todas las especificaciones pasarían a ser requeridas, con excepciones específicas y limitadas³.
• Revisar y actualizar los controles al menos cada 12 meses, o antes si cambia el entorno o la operación³.

Al 15 de octubre de 2026 esto es una propuesta. La entrada de la agenda unificada para el RIN 0945-AA22, en la edición con Publication ID 2026, la clasifica en «Long-Term Actions» y registra el calendario como el NPRM del 06/01/2025 en 90 FR 898 y una acción final en 07/00/2027⁴. La misma entrada no lista ningún plazo legal⁴.

La lectura práctica para un dueño: no compres un producto hoy por una regla que no es final. Sí cierra los huecos que la regla actual ya exige, porque casi todo lo que la propuesta obligaría (cifrado, autenticación multifactor, una lista de activos) es también la forma más barata de satisfacer el análisis y la gestión de riesgos que ya debes¹.

Vigente hoy: 45 CFR parte 164 subparte C para seguridad, subparte D para notificación de brechas, y 45 CFR parte 160 subparte D para sanciones¹²⁵. Solo propuesto: las modificaciones a la Security Rule de enero de 2025, archivadas como acción de largo plazo con acción final proyectada en 07/2027³⁴. Nada de esa propuesta te obliga todavía, y HHS puede cambiarla antes de cualquier regla final.

Esto no es asesoría legal. HIPAA interactúa con las leyes del estado, y el análisis de un incidente concreto depende de hechos que este artículo no puede ver. Busca a un abogado de privacidad en salud cuando pueda haber ocurrido una brecha, cuando un proveedor se niegue a firmar un BAA o cuando recibas una carta de la Oficina de Derechos Civiles.