Impresión conforme a HIPAA: lista para clínicas y consultas

La impresión conforme a HIPAA tiene menos que ver con comprar una impresora concreta y más con cómo una consulta trata la información de los pacientes en la impresora, el escáner, el fax y la copiadora. Clínicas pequeñas, consultorios dentales, terapeutas y empresas de facturación médica imprimen y escanean información de salud protegida (PHI, por sus siglas en inglés) todos los días. Esta lista traduce las partes relevantes de las normas HIPAA a ajustes de impresora y hábitos de oficina.

Esta página es información general para organizaciones sanitarias de Estados Unidos, no asesoramiento legal. Su propio análisis de riesgos y su responsable de cumplimiento o asesor legal deciden qué es razonable para su consulta. Si su organización está fuera de EE. UU., las normas aplicables serán otras, como la protección de datos de su país.

Qué cubren las normas

Dos partes de HIPAA afectan a la impresión:

• La Regla de Privacidad exige a las entidades cubiertas salvaguardas administrativas, técnicas y físicas adecuadas para proteger la PHI en cualquier formato, también en papel (45 CFR 164.530(c)). Un resultado de laboratorio olvidado en la bandeja es un problema de privacidad.
• La Regla de Seguridad se aplica a la PHI electrónica (ePHI). Los escaneos, los trabajos de impresión y copia almacenados, las imágenes de fax y los registros del equipo en una multifunción pueden ser ePHI. Sus salvaguardas físicas incluyen controles de dispositivos y soportes que cubren el desecho y la reutilización de hardware y soportes electrónicos (45 CFR 164.310(d)), y sus salvaguardas técnicas incluyen control de acceso, controles de auditoría y seguridad en la transmisión (45 CFR 164.312).

No existe una certificación HIPAA para impresoras. Cuando un proveedor dice que un equipo “cumple HIPAA”, quiere decir que tiene funciones que pueden ayudarle a cumplir sus obligaciones.

Por qué las copiadoras se convirtieron en un asunto HIPAA

En 2013 el HHS anunció un acuerdo con Affinity Health Plan después de que se encontrara información de salud en los discos duros de fotocopiadoras que había alquilado y devuelto. El HHS concluyó que el plan no había incluido los discos de las copiadoras en su análisis de riesgos y no tenía una política para desecharlos. La lección para cualquier consulta es sencilla: incluya los equipos de impresión en su análisis de riesgos y decida qué pasa con su almacenamiento. Nuestra guía para borrar el disco duro de la fotocopiadora explica el procedimiento.

Imprimir: que la PHI no se quede en la bandeja

• Use liberación segura para que los trabajos solo se impriman cuando el usuario se identifica en el equipo.
• Ubique las impresoras compartidas donde pacientes y visitantes no puedan ver ni alcanzar las hojas.
• Evite impresoras personales en zonas de atención al público como la recepción, salvo que la pantalla y la bandeja queden fuera de la vista.
• Recoja las hojas de inmediato y haga que los trabajos no liberados caduquen.
• Destruya las impresiones erróneas y las copias sobrantes; use contenedores de destrucción cerrados junto a las impresoras.

Escanear: controlar adónde va la ePHI

• Exija identificación en la multifunción para escanear, de modo que cada escaneo quede ligado a un usuario.
• Escanee a destinos controlados: la historia clínica electrónica, una carpeta de red protegida o solo el correo del propio usuario.
• Restrinja el correo externo desde el equipo salvo necesidad clara y un método seguro aprobado.
• Use conexiones cifradas (TLS para el correo, versiones actuales de SMB para carpetas). Nuestras guías para escanear a correo y escanear a carpeta cubren estos ajustes.
• Limpie las libretas de direcciones cada cierto tiempo.

Fax

El fax sigue siendo habitual en la sanidad estadounidense. HIPAA no lo prohíbe, pero exige salvaguardas:

• Programe y verifique los números de uso frecuente.
• Use una portada con aviso de confidencialidad.
• Mantenga la salida del fax en una zona controlada, o dirija los faxes entrantes a una carpeta segura o a la historia clínica.
• Si usa el fax a correo de una multifunción o un servicio de fax en línea, aplique los mismos controles de acceso, registro y cifrado que en otros sistemas con ePHI.

Lista de configuración del equipo

Para cada impresora y multifunción en red que maneje PHI:

1. Cambie la contraseña de administrador predeterminada y limite el acceso de administración.
2. Mantenga el firmware al día.
3. Active el cifrado del almacenamiento y la sobrescritura automática si existen.
4. Active los registros y consérvelos o expórtelos según su política.
5. Desactive protocolos y servicios que no use.
6. Use HTTPS para la página de administración e impresión cifrada (IPPS) si el equipo la admite.
7. Sitúe los equipos en un segmento de red que limite quién puede alcanzarlos.

La versión general está en nuestra guía de seguridad de impresoras en red.

Proveedores y contratos

Distribuidores de copiadoras, proveedores de impresión gestionada y servicios en la nube pueden manejar equipos o datos con PHI. Antes de firmar:

• Pregunte a su responsable de cumplimiento si hace falta un acuerdo de socio comercial (business associate agreement) con ese proveedor.
• Incluya en el contrato las obligaciones de borrado de datos, el método y la prueba de que se ha hecho, para cambios de equipo y fin de contrato.
• Pregunte cómo funciona la supervisión remota y qué datos recoge.

Nuestras guías de impresión gestionada y alquilar o comprar recogen otros puntos del contrato.

Política y formación

Incluya las normas de impresión en sus políticas HIPAA y en su política de impresión:

• Qué equipos pueden usarse para PHI.
• Liberación segura y recogida inmediata.
• Destinos aprobados de escaneo y fax.
• Normas de destrucción y desecho.
• Cómo informar de un fax mal enviado, una impresión perdida o un equipo sospechoso.

Forme al personal al incorporarse y recuérdeselo al menos una vez al año.

Desecho y devolución de equipos alquilados

Antes de que cualquier equipo salga de la consulta:

1. Borre trabajos guardados, libretas de direcciones y cuentas.
2. Ejecute el borrado seguro del equipo.
3. En equipos que hayan almacenado ePHI, valore retirar y destruir el disco siguiendo las directrices de saneamiento de NIST SP 800-88.
4. Deje constancia de qué se hizo, quién lo hizo y cuándo.

Fuera de Estados Unidos: el RGPD

HIPAA es una norma estadounidense. Si su organización trata datos de salud en la Unión Europea o en otros países con leyes de protección de datos, las obligaciones son distintas, aunque muchas medidas en la impresora coinciden: liberación segura, cifrado del almacenamiento, control de los destinos de escaneo y borrado antes de devolver el equipo. La guía sobre RGPD e impresoras de oficina explica ese marco. Los datos de salud se imprimen cada vez más fuera de la oficina, así que revise también su política de impresión para teletrabajo y, si usa un servicio de gestión de impresión en la nube, dónde se guardan los trabajos y los registros.

Resumen

La impresión conforme a HIPAA consiste en que la PHI en papel no quede a la vista, controlar adónde van escaneos y faxes, proteger los equipos que guardan ePHI y borrarlos antes de que salgan. Incluya las impresoras en su análisis de riesgos, configúrelas a conciencia y documente lo que hace.