Diseño de consultorios y salvaguardas físicas de HIPAA
Publicado el · Actualizado el
Resumen
El HHS no certifica edificios, productos ni cuartos bajo la Regla de Seguridad, ni reconoce certificaciones privadas de cumplimiento. Lo que una obra sí puede hacer es apoyar las salvaguardas físicas de la práctica según 45 CFR 164.310: puertas con control de acceso, un cuarto de red cerrado con llave y climatizado, estaciones de trabajo fuera de la vista del público, cámaras orientadas donde corresponde y cableado para redes separadas. Estas decisiones quedan fijas cuando se cierran las paredes, por lo que deben incluirse en el plano antes de instalar el drywall.
Qué abarca 45 CFR 164.310
Las salvaguardas físicas de la Regla de Seguridad (abre un sitio externo) comprenden cuatro estándares. Algunas especificaciones de implementación son obligatorias. Otras son evaluables (addressable) (abre un sitio externo): la práctica determina si cada una es razonable y apropiada para su consultorio y documenta la decisión. El edificio interviene en los cuatro.
| Estándar | Especificaciones de implementación | Lo que aporta la obra |
|---|---|---|
| Controles de acceso a las instalaciones, 164.310(a) | Operaciones de contingencia, plan de seguridad de las instalaciones, procedimientos de control y validación de acceso, registros de mantenimiento (todas evaluables) | Un local dividido por zonas, cerraduras electrificadas y lectores de credenciales, registros de entrada y constancia de los cambios en puertas, cerraduras y paredes |
| Uso de estaciones de trabajo, 164.310(b) | Sin especificaciones propias | Recepción y cuartos de examen distribuidos de modo que las pantallas queden fuera de la vista del público |
| Seguridad de estaciones de trabajo, 164.310(c) | Sin especificaciones propias | Cables de seguridad, soportes de CPU con cerradura, impresoras y faxes fuera de la sala de espera |
| Controles de dispositivos y medios, 164.310(d) | Eliminación y reutilización de medios (obligatorias); responsabilidad, respaldo y almacenamiento de datos (evaluables) | Almacenamiento bajo llave para discos y laptops retirados, y un lugar seguro para las copiadoras con disco duro |
Una cotización que presenta un producto o un cuarto como certificado para HIPAA describe una certificación que el HHS no emite (abre un sitio externo). El cumplimiento es el programa de la práctica: su análisis de riesgos, sus políticas, la capacitación del personal y los acuerdos con socios comerciales (business associate agreements). El diseño apoya ese programa, pero no lo sustituye.
Puertas, lectores y el cuarto de red
Dividimos el local en zonas públicas, semipúblicas, clínicas y restringidas. Los lectores de credenciales se colocan en los cuartos restringidos, que por lo general son el cuarto de red, el archivo de expedientes y el cuarto de medicamentos. El sistema de control de acceso registra las entradas, lo que apoya la validación del acceso, y la práctica lleva un registro de las reparaciones y los cambios en puertas, cerraduras, paredes y herrajes, que es lo que pide la especificación de registros de mantenimiento.
La salida de emergencia tiene prioridad. El control de acceso nunca impide salir libremente, y las cerraduras magnéticas en puertas de salida necesitan un mecanismo de liberación conforme al código, por lo general un sensor de movimiento y un botón, con liberación al activarse la alarma contra incendios. Si cada puerta queda cerrada o abierta al faltar la electricidad se decide con el arquitecto según el código de construcción, y el plan de contingencia de la práctica debe indicar cómo entrará el personal al local y al cuarto de red durante un apagón.
En los edificios antiguos, el cuarto de red suele terminar en el cuarto de limpieza, junto a un fregadero de servicio y sin enfriamiento. Nosotros lo planificamos como un cuarto propiamente dicho: con cerradura, circuito dedicado, extracción o un minisplit sin ductos, y espacio para el grabador de las cámaras, que debe estar dentro. Para los consultorios que alojan su EMR y sus datos en servidores propios, construimos cuartos de servidores dedicados.
Estaciones de trabajo y recepción
El diseño del mostrador define la orientación de los monitores en el registro de pacientes. Las pantallas miran hacia el personal y no hacia la sala de espera, los filtros de privacidad cubren lo que el ángulo no logra, y la sección accesible del mostrador que exige la norma ADA 904.4 se ubica donde no deje una pantalla a la vista. Los quioscos, las impresoras y los faxes se colocan donde los pacientes no puedan leer lo que sale de ellos.
En los cuartos de examen, la computadora del médico mira hacia el paciente y queda lejos de la puerta y de cualquier ventana. Las laptops necesitan un estante de entrega y devolución o un gabinete con cerradura.
Dónde van las cámaras
Las cámaras cubren las entradas, la sala de espera, el lado del paciente en la recepción y las puertas del cuarto de medicamentos y del cuarto de red. No tienen lugar en cuartos de examen, áreas de tratamiento, baños ni vestidores, y la Ley General de Negocios de Nueva York 395-b (abre un sitio externo) prohíbe los dispositivos usados para observar a escondidas baños, inodoros, cuartos de aseo, lavabos, duchas y probadores.
Una cámara orientada hacia la recepción por seguridad suele grabar las pantallas y la hoja de registro, así que la dirigimos al lado del paciente del mostrador. El audio es una cuestión legal aparte. Según los artículos 250.00 y 250.05 del Código Penal (abre un sitio externo) de Nueva York, escuchar por medios mecánicos una conversación sin el consentimiento de al menos una de las partes, por alguien que no está presente, constituye escucha ilegal (eavesdropping), un delito grave de clase E. Instalamos sistemas solo de video en las áreas públicas, salvo que el abogado de la práctica apruebe el audio. Los plazos de conservación y quién puede ver las grabaciones son decisiones de política de la práctica.
Redes separadas y privacidad acústica
El programa 405(d) del HHS (abre un sitio externo) recomienda a las organizaciones de salud pequeñas que la red Wi-Fi de invitados dé solo acceso a internet y esté separada de la red del personal. Una clínica suele necesitar cuatro segmentos: sistemas clínicos, sistemas administrativos del personal, Wi-Fi de invitados y sistemas del edificio, como cámaras, control de acceso, controles de climatización y registradores de temperatura de vacunas. Los dispositivos del edificio conectados a la red clínica son un punto débil conocido. Las enmiendas a la Regla de Seguridad propuestas el 6 de enero de 2025 harían de la segmentación de redes un requisito explícito, y el proveedor de TI de la práctica debe verificar su estado actual en el Federal Register.
La parte que corresponde al edificio es física: suficientes puntos de datos, paneles de conexión separados, cableado rotulado y una canalización para un segundo proveedor de internet. La configuración de VLAN, cuentas, registros y respaldos corresponde al proveedor de TI o de servicios administrados de la práctica, y coordinamos la preinstalación según su diseño.
La privacidad acústica también forma parte de las salvaguardas razonables. Las puertas huecas con mucha holgura inferior dejan pasar más conversación que las paredes. Los cuartos de examen y de consulta llevan puertas de núcleo sólido y tabiques con aislamiento, y en los cuartos de consulta las paredes llegan hasta la losa.
Preguntas frecuentes
¿Se pueden poner cámaras de seguridad en los cuartos de examen de un consultorio?
Las cámaras deben quedar fuera de los cuartos de examen, las áreas de tratamiento, los baños y los vestidores. La Ley General de Negocios 395-b prohíbe observar a escondidas baños y cuartos similares, y grabar a los pacientes durante la atención plantea cuestiones de privacidad que debe evaluar el abogado de la práctica. Las entradas, la sala de espera y las puertas de los cuartos restringidos son los lugares adecuados.
¿Quién es responsable del cumplimiento de HIPAA en una clínica nueva?
La práctica. El contratista instala puertas, herrajes, dispositivos y cableado según el plano. El proveedor de TI o de servicios administrados configura las redes, las cuentas, los registros y los respaldos. La práctica realiza el análisis de riesgos, redacta las políticas, capacita al personal y firma los acuerdos con socios comerciales.
Fuentes
- 45 CFR § 164.310 - Physical safeguards (abre un sitio externo)Cornell Law School, Legal Information Institute
- HIPAA Security Series: Security Standards: Physical Safeguards (abre un sitio externo)U.S. Department of Health and Human Services
- Are we required to certify our organization's compliance with the standards? (abre un sitio externo)U.S. Department of Health and Human Services
- Technical Volume 1: Cybersecurity Practices for Small Health Care Organizations (abre un sitio externo)HHS 405(d) Program
- General Business Law 395-B (abre un sitio externo)New York State Senate
- Penal Law 250.00 (abre un sitio externo)New York State Senate
Esta guía refleja nuestra experiencia y nuestra interpretación de las normas a la fecha de su publicación o última actualización. Los reglamentos, los códigos, los incentivos y la forma en que las agencias los aplican cambian con frecuencia, y nuestra interpretación puede ser incompleta o errónea. Se trata de información general y no constituye asesoría legal, de ingeniería, fiscal ni financiera. Consulte a la agencia correspondiente y a un profesional licenciado antes de planificar, comprar o iniciar cualquier trabajo. La lectura de esta guía no lo convierte en nuestro cliente ni crea ninguna relación de contratista, consultoría o asesoría. Outstanding Construction Inc no se hace responsable de ninguna pérdida derivada del uso de este contenido o de la confianza depositada en él, y solo responde por los trabajos realizados conforme a un contrato escrito firmado con nosotros.