# HIPAA para la mensajería: lo que los remitentes del sector sanitario deben saber

> La HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico de Estados Unidos) regula la Información de Salud Protegida (PHI, por sus siglas en inglés), es decir, cualquier información que vincule a una persona con su atención médica. En el caso de la mensajería, la HIPAA se activa en el momento en que un mensaje SMS o de WhatsApp contiene PHI (nombre de una clínica, especialidad de una cita, resultado de una prueba, receta médica). Las normas pertinentes son la Regla de Privacidad, la Regla de Seguridad y la Regla de Notificación de Incumplimientos.

- URL canónica: https://www.broadnet.me/es/answers/hipaa-for-messaging
- Idioma: es
- Última revisión: 2026-09-27
- Editor: BroadNet (https://www.broadnet.me)

## Cuando la mensajería activa la HIPAA

Tres patrones. Un recordatorio de cita que menciona la clínica especializada ("su cita de cardiología"): información de salud protegida (PHI). Una notificación de resultados de pruebas ("sus resultados de laboratorio están listos"): información de salud protegida (PHI). Recogida de recetas ("su resurtido de Lipitor está en la farmacia X"): información de salud protegida (PHI). Un recordatorio de cita genérico ("cita mañana a las 3 p. m.") sin mención de la especialidad podría considerarse información no protegida (no PHI), pero la mayoría de los equipos de cumplimiento lo tratan como tal por precaución.

## Acuerdo de Asociado Comercial (BAA)

Cualquier proveedor que gestione PHI en nombre de una entidad cubierta es un Business Associate. El Business Associate Agreement (BAA) es obligatorio; sin él, la entidad cubierta incurre en una infracción en el momento en que envía un solo mensaje que contenga PHI a través del proveedor. Si planea enviar PHI, consúltenos primero sobre sus requisitos de HIPAA; la disponibilidad del BAA se confirma durante la fase de contratación.

## Requisitos de cifrado

La Regla de Seguridad exige el cifrado en tránsito y en reposo para la información de salud protegida (PHI). Los mensajes SMS entre un centro de mensajes de texto (SMSC) y el teléfono no están cifrados de extremo a extremo (la ruta OTA está controlada por el operador y es confidencial, pero no está cifrada según el RGPD/HIPAA). Según las directrices del HHS: los SMS son aceptables para la PHI de HIPAA siempre que el paciente haya sido informado de que no está cifrada y haya dado su consentimiento. Para mayor confidencialidad, utilice WhatsApp (cifrado de extremo a extremo) o notificaciones push a un portal de pacientes compatible con HIPAA.

## Notificación de violación de seguridad

Si se produce una violación de la información de salud protegida (PHI), debe notificar al paciente en un plazo de 60 días, al HHS en un plazo de 60 días (o de inmediato en caso de violaciones que afecten a más de 500 pacientes) y, posiblemente, a los medios de comunicación locales. El CPaaS debe notificar a la entidad cubierta con la suficiente rapidez para que esta pueda cumplir con el plazo de 60 días. Nuestro acuerdo de nivel de servicio (SLA) de respuesta a incidentes para cuentas HIPAA establece un plazo de 4 horas para la notificación inicial y un análisis completo de la causa raíz en un plazo de 14 días.

## Relacionado

- [Todas las respuestas](https://www.broadnet.me/es/answers)
- [Glosario](https://www.broadnet.me/es/answers)
- [RGPD para la mensajería: lo que los remitentes empresariales deben saber](https://www.broadnet.me/es/answers/gdpr-for-messaging)
- [Healthcare solutions](https://www.broadnet.me/es/solutions/healthcare)