Lo que HIPAA exige realmente para compartir archivos
Una precisión previa, por si no ejerces en Estados Unidos: HIPAA es una ley federal estadounidense y esta página la trata como tal. Vincula a las entidades cubiertas de EE. UU. y a sus asociados comerciales, y en esa segunda categoría entra un proveedor español o latinoamericano que trate ePHI por encargo de una organización sanitaria estadounidense. HIPAA no sustituye al RGPD ni a la normativa local de protección de datos: cuando hay datos de salud de residentes en la UE, los dos regímenes se aplican a la vez.
La Regla de Seguridad de HIPAA no especifica un producto, una plataforma ni un método de transferencia de archivos. Especifica salvaguardas administrativas, físicas y técnicas para cualquier sistema que cree, reciba, mantenga o transmita información sanitaria protegida en formato electrónico (ePHI).
Para la compartición de archivos, la salvaguarda técnica relevante es clara: la ePHI transmitida por redes abiertas debe viajar cifrada. Qué cuenta como cifrado adecuado, cómo se controla el acceso y cómo se audita ese acceso son las preguntas prácticas que deciden si un flujo de trabajo cumple.
Quién necesita compartir archivos conforme a HIPAA
La obligación va mucho más allá de los profesionales sanitarios. Cualquier organización que maneje ePHI por cuenta de una entidad cubierta es un asociado comercial a efectos de HIPAA y queda sujeta a salvaguardas equivalentes.
Esto incluye:
- Hospitales, clínicas y profesionales que ejercen por cuenta propia
- Aseguradoras de salud y organizaciones de atención gestionada
- Empresas de facturación médica y de gestión del ciclo de ingresos
- Proveedores de TI sanitaria y de SaaS con acceso a ePHI
- Despachos de abogados y firmas de contabilidad que asesoran a clientes del sector sanitario cuando tienen acceso a historiales de pacientes
- Departamentos de recursos humanos que comparten información de salud de sus empleados con las entidades que gestionan las prestaciones
Los asociados comerciales deben firmar un acuerdo de asociado comercial (BAA) con la entidad cubierta y mantener los mismos estándares de salvaguarda.
Los riesgos concretos de compartir archivos en el sector sanitario
Objetivo de alto valor para una brecha. Un historial clínico electrónico completo contiene datos suficientes para el robo de identidad médica, el fraude al seguro y la manipulación de la medicación. Los historiales sanitarios alcanzan de forma sistemática precios más altos en los mercados delictivos que los datos financieros.
Redes de destinatarios externos complejas. Los archivos clínicos circulan a menudo entre profesionales, especialistas, aseguradoras, representantes legales y los propios pacientes. Cada transferencia externa es una posible infracción por divulgación.
Plazos de conservación largos. Los historiales de pacientes adultos deben conservarse por lo general durante seis años según los estándares federales. Un enlace compartido para un encargo de 2020 puede seguir siendo una vía de acceso viva en 2026 si nunca se revocó.
Qué exige técnicamente una compartición de archivos adecuada
Para la ePHI, cuatro controles tienen que estar activos a la vez.
Cifrado de extremo a extremo. El archivo debe cifrarse antes de salir del sistema de origen. El cifrado del lado del servidor — aquel en el que las claves las guarda el proveedor — no es adecuado, porque el proveedor tiene acceso potencial al texto plano. El cifrado del lado del cliente, en el que las claves nunca salen del dispositivo del usuario, cierra esa brecha; aquí se comparan los mejores proveedores de almacenamiento en la nube de conocimiento cero.
Controles de acceso a nivel de archivo. Cada archivo compartido debe tener caducidad explícita, límite de descargas y posibilidad de revocación. Un historial de paciente compartido con una aseguradora para una disputa sobre una reclamación debería caducar cuando la disputa se resuelva, no quedarse activo indefinidamente.
Identificación única de usuario. HIPAA exige que el acceso a la ePHI esté ligado a un identificador único de la persona o el sistema que accede. El acceso anónimo por enlace, sin identificar al destinatario, abre huecos en la auditoría.
Controles de auditoría. Cada acceso a un archivo con ePHI compartido debe registrarse con marca de tiempo y con contexto suficiente para reconstruir quién accedió a qué, cuándo y con qué finalidad. Ese registro debe poder aportarse dentro del plazo que exige la investigación de una brecha.
Correspondencia con las salvaguardas técnicas del 45 CFR §164.312
Las salvaguardas técnicas de la Regla de Seguridad están codificadas en el 45 CFR §164.312. Para un flujo de compartición de archivos, cada disposición se traduce en un control concreto.
| Disposición | Requisito | Control en la compartición de archivos |
|---|---|---|
| §164.312(a)(1) | Control de acceso | Identidad por destinatario, permisos por rol, cierre de sesión automático |
| §164.312(a)(2)(iv) | Cifrado y descifrado de la ePHI en reposo | Cifrado del lado del cliente antes de subir; nada de texto plano en el almacenamiento |
| §164.312(b) | Controles de auditoría | Registro inmutable de cada lectura, descarga y compartición |
| §164.312(c)(1) | Integridad | Verificación criptográfica de que la ePHI no se ha alterado en tránsito ni en almacenamiento |
| §164.312(d) | Autenticación de la persona o entidad | Autenticación multifactor en toda cuenta con acceso a ePHI |
| §164.312(e)(1) | Seguridad de la transmisión | TLS 1.2 o superior para el transporte; cifrado de extremo a extremo para la carga útil |
| §164.312(e)(2)(ii) | Cifrado de la ePHI en tránsito | Carga útil cifrada con independencia del cifrado del transporte |
La distinción del §164.306(d) entre salvaguardas requeridas (required) y direccionables (addressable) no significa que el cifrado sea opcional. Significa que la entidad cubierta debe implantar el cifrado o documentar por qué una alternativa equivalente es razonable. En un contexto sancionador como el de 2024, en el que las notificaciones de brecha citan de forma rutinaria ePHI sin cifrar, «decidimos no cifrar» no es una posición defendible.
El acuerdo de asociado comercial
Toda plataforma que almacene, transmita o pueda llegar a acceder a ePHI debe firmar un BAA con la entidad cubierta antes de usarse. El BAA lo exige el 45 CFR §164.504(e) y debe regular:
- Los usos y divulgaciones de ePHI permitidos al asociado comercial
- La obligación del asociado comercial de proteger la ePHI con el mismo estándar que la entidad cubierta
- La notificación de cualquier uso o divulgación no permitido por el acuerdo
- Las obligaciones de los subcontratistas: el traslado en cascada de los requisitos de salvaguarda a cualquier encargado aguas abajo
- Las condiciones de terminación y la devolución o destrucción de la ePHI al final de la relación
Un proveedor que se niega a firmar un BAA no puede manejar lícitamente ePHI por cuenta de una entidad cubierta. Un proveedor que firma un BAA pero no puede demostrar las salvaguardas técnicas no ha eliminado la exposición jurídica: solo la ha concentrado.
Una arquitectura de conocimiento cero cambia el cálculo del BAA. Cuando la plataforma no puede descifrar el contenido del cliente, la exposición del proveedor a la ePHI es estructural y no procedimental, y el BAA documenta esa frontera estructural en lugar de un conjunto de promesas de acceso.
Cómo se comparan las herramientas habituales para flujos con ePHI
| Herramienta | ¿Hay BAA disponible? | Modelo de cifrado | Registro de auditoría | Apta para ePHI |
|---|---|---|---|---|
| Archivo adjunto a un correo | No | Solo TLS en tránsito; el proveedor tiene el texto plano | Ninguno del lado del destinatario | No |
| Dropbox o Google Drive de consumo | No | Del lado del servidor; el proveedor guarda las claves | Limitado | No |
| Dropbox Business o Google Workspace con BAA | Sí (plan de pago) | Del lado del servidor; el proveedor puede acceder al contenido | A nivel de cuenta | Condicional: depende de la disciplina de configuración |
| Correo cifrado (S/MIME, PGP) | No aplicable al protocolo | Extremo a extremo | Solo del lado del emisor | Parcial: sin caducidad ni revocación |
| Plataforma de compartición de conocimiento cero | Depende del proveedor | Del lado del cliente, con claves por archivo | Registro por cada acceso al enlace | Condicional: requiere un BAA firmado |
Una arquitectura de conocimiento cero elimina toda la clase de riesgo que supone el acceso del proveedor, pero por sí sola no satisface HIPAA: el manejo de ePHI sigue exigiendo un BAA firmado con ese proveedor concreto y un registro de auditoría que ligue cada acceso a un destinatario identificado. Confirma ambas cosas antes de almacenar ePHI.
Un apunte sobre el alcance de ShieldFive: ShieldFive aporta las primitivas técnicas que describe esta página — cifrado del lado del cliente y control de acceso por archivo, con caducidad y revocación de enlaces — con residencia de datos en la UE. Los accesos a enlaces se registran en el servidor, pero aún no hay un registro de accesos que puedas ver o exportar. ShieldFive no firma acuerdos de asociado comercial (BAA) de la HIPAA estadounidense y no es un servicio certificado conforme a HIPAA, así que no es una respuesta llave en mano para una entidad cubierta de EE. UU. que necesite un BAA. Si tu obligación es cumplir la HIPAA estadounidense, toma los requisitos anteriores como lista de comprobación y confirma la disponibilidad del BAA con el proveedor que acabes eligiendo.
El caso condicional es el peligroso. Un BAA de un gran proveedor de nube crea la base jurídica para manejar ePHI, pero si los controles de acceso subyacentes están configurados de forma permisiva — valores por defecto de compartición amplios, 2FA inactiva, enlaces externos sin caducidad — las salvaguardas solo existen sobre el papel.
Análisis de riesgos antes del despliegue
HIPAA exige un análisis de riesgos antes de implantar cualquier sistema que maneje ePHI. Para la compartición de archivos, las preguntas relevantes son:
- ¿Qué categorías de ePHI se van a transmitir? (historiales clínicos, registros de facturación, pruebas de imagen, correspondencia)
- ¿Quiénes son los destinatarios? (otros profesionales, aseguradoras, pacientes, abogados, proveedores externos)
- ¿Cuál es el canal de transmisión? (internet, conexión directa, portal del paciente)
- ¿Qué consecuencias tendría un acceso no autorizado para cada categoría de archivo?
El análisis de riesgos guía la elección de salvaguardas. Un sistema adecuado para enviar registros de facturación a una aseguradora puede no alcanzar el listón para enviar un historial quirúrgico a un especialista externo.
Lista de comprobación para el despliegue
- Confirma si tu organización es una entidad cubierta o un asociado comercial. Ambas figuras exigen salvaguardas equivalentes.
- Firma un BAA con cualquier plataforma de compartición de archivos que maneje ePHI.
- Define qué categorías de archivo exigen compartición cifrada: notas clínicas, pruebas de imagen, resultados de laboratorio, registros de facturación, correspondencia con aseguradoras.
- Fija una caducidad por defecto para cada categoría: 30 días para la documentación de reclamaciones, 7 días para los historiales quirúrgicos, 14 días para los consentimientos de pacientes.
- Designa a un responsable de seguridad HIPAA que sea el dueño de la función de auditoría de accesos.
- Documenta el análisis de riesgos: es un requisito, no una recomendación.
El contexto sancionador
La Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de EE. UU. ha actuado de forma sostenida contra organizaciones que no implantaron cifrado, carecían de controles de auditoría o permitieron accesos por encima del estándar de mínimo necesario. Las sanciones van de 100 a 50.000 dólares por infracción, con topes anuales.
El riesgo que asume una organización con una infracción de HIPAA no es solo económico. La obligación de notificar a los pacientes, el daño reputacional y la interrupción operativa que provoca la investigación de una brecha son consecuencias que se acumulan y que superan con mucho la mayoría de las decisiones de inversión en tecnología.
Preguntas frecuentes
¿Dropbox cumple HIPAA para compartir archivos?
Dropbox Business firma un BAA en sus planes de pago y ofrece la base técnica para manejar ePHI. Que un despliegue concreto cumpla depende de la configuración: los valores por defecto de compartición, la caducidad, la 2FA y la retención del registro de auditoría tienen que estar bien ajustados. Los ajustes que el producto trae de fábrica no están alineados con HIPAA.
¿HIPAA exige cifrado de extremo a extremo?
HIPAA no menciona el cifrado de extremo a extremo como tal. Exige un cifrado adecuado al perfil de riesgo conforme al 45 CFR §164.312(a)(2)(iv) y al §164.312(e)(2)(ii). El cifrado del lado del servidor con claves en poder del proveedor satisface la letra de la norma cuando se combina con controles de acceso sólidos y un BAA. El cifrado de extremo a extremo elimina al proveedor como vía potencial de divulgación, que es la salvaguarda más fuerte.
¿Puedo usar Gmail u Outlook para enviar ePHI?
Las cuentas de consumo de Gmail y Outlook, no. Google Workspace y Microsoft 365 con un BAA firmado sí pueden usarse para ePHI si están correctamente configurados, lo que incluye desactivar las integraciones que enviarían el contenido a servicios no cubiertos por el BAA. El fallo de cumplimiento suele estar aguas abajo: una regla de reenvío, un complemento de terceros o un analizador de adjuntos fuera del alcance del BAA.
¿Cuánto tiempo hay que conservar los registros de auditoría de HIPAA?
HIPAA no fija un plazo único de conservación para los registros de auditoría. Exige que la documentación de políticas, procedimientos y registros obligatorios se conserve durante seis años desde la fecha de creación o desde su última fecha de vigencia, conforme al 45 CFR §164.316(b)(2). La mayoría de los programas de cumplimiento tratan los registros de acceso como sujetos a ese plazo de seis años.
¿Qué ocurre si un asociado comercial sufre una brecha?
El asociado comercial debe notificarlo a la entidad cubierta, que a su vez tiene obligaciones de notificación a los afectados, al Departamento de Salud y Servicios Humanos y, en algunos casos, a los medios, conforme a la Regla de Notificación de Brechas (45 CFR §164.400-414). La entidad cubierta sigue siendo responsable de la respuesta a la brecha, pero el BAA suele trasladar los costes y la indemnización aguas abajo, al asociado comercial.
¿Es la compartición de archivos de conocimiento cero mejor que un proveedor de nube conforme a HIPAA?
Una arquitectura de conocimiento cero significa que el operador de la plataforma no puede leer el contenido cifrado, ni siquiera ante un requerimiento judicial, porque no existen claves del lado del servidor. Para la ePHI, eso elimina toda una clase de riesgo de acceso del proveedor que, de otro modo, el BAA tiene que gestionar por vía contractual. La contrapartida es operativa: las funciones que requieren procesar el contenido en el servidor (búsqueda del lado del servidor, análisis antimalware, vistas previas de algunos formatos) o se desactivan o se ejecutan en el dispositivo del cliente.