Notificación de brechas HIPAA: playbook para clínicas boricuas

Brecha de PHI en clínica de Guaynabo — laptop robada, EHR vendor comprometido, empleado envió records a email personal — activa obligaciones HIPAA Breach Notification Rule. OCR exige evaluación de riesgo documentada en 60 días si breach confirmado, notificación a pacientes afectados sin unreasonable delay, HHS portal si >500 individuos, y prensa local en jurisdicción. NIST SP 800-61 complementa con process de respuesta técnica.

Playbook pre-incidente: equipo breach response (provider, legal, IT), template carta paciente ES/EN, contacto forense retainer, y log de decisiones. Cuatro factores OCR para determinar si notificable: naturaleza PHI, persona no autorizada, adquisición real vs acceso, y mitigación de riesgo. Documente análisis aunque concluya no breach — auditoría pregunta por diligence.

Comunicación pacientes: claro, sin jerga legal, acciones recomendadas (credit monitoring si aplica), contacto para preguntas. Prensa local en PR amplifica incidentes de salud — prepare statement con legal antes de leak. Krebs on Security cubre healthcare breaches continentales; mismos patrones de exfiltración ransomware aplican a practices boricuas.

Forense: preserve evidence, scope de datos afectados, timeline para OCR. Business Associate breach en vendor EHR — su obligation de notificación y contract terms determinan split de responsabilidad. Bruce Schneier recomienda transparencia calibrada — ocultar breach descubierto externamente multiplica daño legal y reputacional.

Post-incidente: remediación documentada, lessons learned, actualización BAA y controles. Seguro cyber cyber liability puede cubrir notification costs — reporte timely al carrier. Clínicas PR compiten con systems mainland; breach mal manejado pierde referrals y contracts.