Capacitación en HIPAA que trata las notas de psicoterapia como la categoría con protección adicional que realmente son.
Terapeutas, psiquiatras, psicólogos, consejeros y programas de tratamiento por consumo de sustancias manejan parte de la información más delicada que abarca HIPAA — y, en dos aspectos concretos, la ley la trata con más cuidado que un expediente médico común. Esta capacitación está escrita para un consultorio de salud conductual, no adaptada de un curso médico general.
Comodo Technology es un proveedor de servicios de TI administrados con sede en Sacramento. Hemos acompañado a consultorios de salud de California durante incidentes reales, y esta capacitación está escrita a partir de esa experiencia, no a partir de una plantilla.
- Dos programas, 17 lecciones
- Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness) y Concientización sobre HIPAA (HIPAA Awareness). Compre uno o ambos.
- Unos 10 a 15 minutos por lección
- Se completan entre un paciente y otro. El progreso se guarda sobre la marcha.
- Asignados según la función
- Recepción, facturación, personal clínico, proveedores de atención, gerentes, laboratorio, esterilización.
- Certificados verificables públicamente
- Número de serie, programa, módulos completados y fecha. Verifique cualquier número real más abajo.
- Notas de psicoterapia, tratadas por separado
- HIPAA las excluye de las reglas generales de tratamiento, pago y operaciones de atención médica. Su personal debe conocer la diferencia de memoria.
Salud conductual y mental, en todos los entornos
La misma capacitación básica que todos necesitan, más las dos protecciones propias de este campo en las que es fácil equivocarse.
Su empresa de facturación y su proveedor de expediente clínico electrónico (EHR) también necesitan esta capacitación — son socios comerciales (Business Associates) desde el momento en que tocan el expediente de un cliente. La página para socios comerciales está escrita para ellos.
Dos programas. Tome uno, o ambos.
Responden a dos preguntas distintas. Concientización sobre Seguridad de HIPAA trata de cómo proteger los sistemas — §164.308(a)(5). Concientización sobre HIPAA trata de qué se le permite decir, a quién, y qué pueden exigirle los pacientes — §164.530(b). La mayoría de los consultorios necesitan ambos, pero si ya tiene un certificado de HIPAA de otro proveedor, compre solo la parte de seguridad.
Capacitación en Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness Training)
9 lecciones por persona · unos 110 minutos · 8 preguntas por lección
- 01Phishing y amenazas por correo electrónico en un consultorio de salud
El truco del dominio parecido, los tres engaños que de verdad llegan y qué hacer en los primeros sesenta segundos después de un clic.
- 02Contraseñas, inicios de sesión y autenticación multifactor
Por qué la identificación única de usuario es un requisito de HIPAA, no una preferencia del departamento de TI.
- 03La llamada telefónica que no es lo que parece
Clonación de voz, identificador de llamadas falsificado y la única frase que pone fin a cada una de estas llamadas.
- 04Cómo proteger la información de los pacientes en el día a día
Pantallas, conversaciones, faxes y cámaras de teléfono — por dónde se filtra realmente.
- 05Estaciones de trabajo, dispositivos y la propia oficina
Expedientes abiertos, memorias USB prestadas, visitantes sin acompañante y el contenedor de basura.
- 06Trabajo fuera de la oficina: en casa, telesalud y dispositivos personales
Las reglas de telesalud posteriores a la emergencia, la sincronización con nubes personales y los papeles impresos en casa.
- 07Correo electrónico, mensajes de texto, buzón de voz y el portal del paciente
Incluido el error en el campo CC que ha provocado algunas de las sanciones más grandes impuestas a consultorios pequeños en cualquier lugar.
- 08Cuando algo sale mal: notificación y respuesta
Las tres cosas que debe hacer en los primeros cinco minutos, y por qué la rapidez lo decide todo.
- 09El módulo de su función
Uno de siete, asignado automáticamente según la función que cada persona elige al inscribirse.
Capacitación en Concientización sobre HIPAA (HIPAA Awareness Training)
8 lecciones por persona · unos 95 minutos · 8 preguntas por lección
- 01Concientización sobre HIPAA: qué puede compartir y qué pueden solicitar los pacientes
Tratamiento, pago y operaciones de atención médica — y todo lo que queda fuera de ellos.
- 02El Aviso de Prácticas de Privacidad: la promesa que hizo su consultorio
Por qué un acuse de recibo firmado no es un consentimiento, y los cinco hallazgos que los auditores encuentran una y otra vez.
- 03Mínimo necesario: cuánto es demasiado para compartir
El expediente completo enviado como adjunto, y por qué consultar la información cuenta como un uso.
- 04Expedientes, enmiendas y restricciones: los plazos que debe cumplir
30 días, 60 días, tarifas basadas en el costo y la única solicitud de restricción que no puede rechazar.
- 05Socios comerciales (Business Associates): los proveedores que guardan los datos de sus pacientes
Incluida la aplicación gratuita que nadie aprobó, que es el proveedor de mayor riesgo en la mayoría de los consultorios.
- 06Brecha o no: cómo se toma realmente esa decisión
La evaluación de riesgos de cuatro factores, las tres excepciones y el puerto seguro (safe harbor) del cifrado.
- 07Cuándo puede compartir sin pedir autorización: policía, familiares, tribunales y salud pública
Por qué la citación (subpoena) de un abogado no es una orden judicial, y por sí sola no autoriza divulgar nada.
- 08El módulo de su función
Las mismas siete funciones, escritas desde el punto de vista de la privacidad.
Siete módulos por función
Recepción y admisión · seguros, reclamaciones y facturación · personal clínico y sala de examen · proveedores de atención y prescriptores · gerentes de oficina y oficiales de HIPAA · laboratorios externos e imágenes diagnósticas · esterilización y entregas.
Calificado en el servidor
Se aprueba con el 80%. Las preguntas se presentan en orden aleatorio y la clave de respuestas nunca llega al navegador, así que un certificado significa que la persona realmente dominaba el material.
Registros durante seis años
Cada finalización se conserva durante todo el período de documentación que exige HIPAA, y el gerente de su oficina puede exportar los datos de todo el consultorio a una hoja de cálculo en cualquier momento.
Dos protecciones más estrictas que las reglas comunes de HIPAA
Es fácil suponer que todos los expedientes clínicos están sujetos a las mismas reglas de HIPAA. La salud conductual tiene dos excepciones reales, y equivocarse en ellas es uno de los errores más comunes que un curso general de HIPAA para medicina deja que cometan los consultorios.
Las notas de psicoterapia requieren su propia autorización
HIPAA define una categoría limitada llamada notas de psicoterapia (psychotherapy notes) — las notas privadas de sesión de un profesional clínico, que se guardan separadas del resto del expediente médico — y exige una autorización específica y separada del paciente antes de que puedan usarse o divulgarse, incluso para la mayoría de los fines de tratamiento, pago y operaciones de atención médica que de otro modo no necesitarían un permiso adicional.
Los expedientes de trastornos por consumo de sustancias pueden estar sujetos a una ley federal completamente distinta
Si su consultorio trata trastornos por consumo de sustancias, algunos de esos expedientes pueden regirse por el 42 CFR Part 2 (Título 42 del Código de Regulaciones Federales, Parte 2), un reglamento federal distinto con sus propios requisitos de consentimiento, generalmente más estrictos — actualizado recientemente para alinearse más con HIPAA, pero que sigue siendo una norma propia con sus propias reglas. Esta capacitación cubre el lado de HIPAA; si la Parte 2 se aplica a su consultorio, eso merece una conversación aparte.
Un certificado que cualquiera puede comprobar
Si lee con atención el §164.530(b), notará que el requisito no es solo capacitar a su personal (workforce). Es documentarlo y conservar esa documentación durante seis años. Lo que un consultorio compra en realidad es una prueba.
Cada certificado que emitimos lleva un número de serie, el programa al que pertenece, cuántos módulos de ese programa había completado la persona, la calificación, la fecha y el nombre del consultorio — tomado del registro del consultorio, nunca escrito por el participante. Cualquier persona que tenga el número de serie puede confirmar que es auténtico sin una cuenta y sin comunicarse con nosotros.
Por qué las cifras quedan fijas
"Módulo 4 de 9" queda grabado en el registro en el momento de su emisión; no se vuelve a calcular cuando alguien lo consulta más adelante. Cuando publiquemos un décimo módulo el próximo año, ese certificado seguirá indicando con veracidad lo que era cierto ese día. Un certificado que cambia sus propias cifras sin avisar no vale nada como evidencia.
Una pregunta que vale la pena hacerle a cualquier proveedor de capacitación
No existe ningún organismo federal que certifique a los capacitadores en HIPAA. El Departamento de Salud y Servicios Humanos de EE. UU. (HHS) lo dice claramente en su propio sitio. Así que cuando un sitio web le venda un certificado “certificado en HIPAA”, pregúnteles quién los certificó a ellos.
Lo que la norma realmente le exige conservar es la prueba de que una persona determinada recibió capacitación, en una fecha determinada, y que usted pueda seguir presentando seis años después. Eso es exactamente lo que es esto — y puede comprobar cualquiera de ellos desde esta página.
Cumplimiento de HIPAA y programas de capacitación
Verifique un certificado ahora mismo
Es el mismo servicio público que usaría un auditor o una aseguradora. No necesita una cuenta.
Autoevaluación de brechas de seguridad en cuatro factores
Algo salió mal. ¿Es una brecha de seguridad (breach) que debe notificar a los pacientes? Según el 45 CFR §164.402 (Código de Regulaciones Federales), se presume que lo es, a menos que su consultorio pueda demostrar que existe una baja probabilidad de que la información se haya visto comprometida — y demostrarlo con una evaluación por escrito, no con una impresión. Recorra aquí los cuatro factores.
Esta es una herramienta didáctica, no una determinación legal, y nada de lo que ingrese sale de su navegador. La evaluación real le corresponde a su Oficial de Privacidad (Privacy Officer), quien debe realizarla y dejarla por escrito.
¿Qué tan identificable es y qué tan delicada?
¿Quién terminó teniéndola en su poder?
No si pudo haber ocurrido — sino si ocurrió.
La mitigación cuenta — pero solo cuando puede demostrarla con evidencia.
Responda los cuatro factores y le mostraremos cómo se interpreta la evaluación y qué sigue en cualquiera de los casos.
El plazo ya empezó a correr
El descubrimiento es el primer día en que cualquier miembro de su personal lo supo, o razonablemente debió haberlo sabido — no el día en que llegó al gerente de la oficina. Un fax del que nadie habló hasta el lunes ya lleva tres días dentro del plazo.
(916) 740-1407Lléveselos, compre algo o no
Imprímalos, plastifíquelos y colóquelos donde trabaja su personal. Son útiles por sí solos y preferimos que los tenga.
Guía rápida de seguridad para estaciones de trabajo
Una página para la recepción y cada estación de trabajo clínica.
AbrirPlan de respuesta a incidentes
Dos páginas. Qué hacer en la primera hora, en orden, con los números de teléfono incluidos.
AbrirDerechos de los pacientes según HIPAA
Lo que pueden solicitar los pacientes y los plazos que corresponden a cada solicitud.
AbrirConstancia de capacitación del personal
El formulario firmado que va al archivo. Consérvelo durante seis años.
Abrir¿No es exactamente su caso?
La misma capacitación, al mismo precio, escrita para algunas otras situaciones: Socio comercial, Plan de salud grupal del empleador, Corredor o agente de seguros, y consultorios médicos y de especialidad. ¿Tiene un consultorio dental? Comience con la página principal de capacitación y el kit gratuito para consultorios dentales.
Cuatro pasos, y ninguno es difícil
-
1
Díganos el nombre de su consultorio y qué programas desea
Concientización sobre Seguridad de HIPAA, Concientización sobre HIPAA, o ambos.
-
2
Le enviamos un enlace de inscripción para su consultorio
Reenvíelo a todos. Cada persona ingresa su propio nombre y su función — el nombre de su consultorio viene del enlace, por lo que siempre aparece correctamente en su certificado y nadie puede escribirlo mal.
-
3
Cada persona avanza a su propio ritmo
Sin contraseñas — reciben por correo electrónico un enlace para iniciar sesión. El progreso se guarda, así que pueden detenerse entre un paciente y otro y continuar después.
-
4
El gerente de su oficina recibe el registro
Quién ha terminado, quién no, y cada número de certificado, exportable a una hoja de cálculo. Ese es el archivo que usted entrega a un auditor o adjunta a un cuestionario de seguros.
Hable con una persona
Nada de formularios que no llegan a ninguna parte. Estos medios sí nos llegan.