HIPAA y el formulario de contacto: qué es información de salud protegida

El formulario de contacto de un sitio es un asunto de HIPAA solo cuando recoge información de salud ligada a una persona: un síntoma, un diagnóstico, un medicamento, una visita. Nombre, teléfono, correo y una hora para llamar son identificadores, no información protegida. La regla es más acotada de lo que se teme.

Esto no es asesoría legal, y tu oficial de cumplimiento o tu abogado tienen la última palabra para tu consultorio. Es el entendimiento de trabajo con el que construimos sitios web, en lenguaje llano.

¿Qué es la información de salud protegida?

HIPAA protege la información de salud individualmente identificable que guarda o transmite una entidad cubierta, o sus socios comerciales. Un consultorio que factura a las aseguradoras por vía electrónica es una entidad cubierta. Dos cosas tienen que cumplirse a la vez: la información tiene que identificar a una persona y tiene que relacionarse con su salud, su atención o el pago de esa atención.

La columna izquierda es una consulta de marketing. La columna derecha, recibida por una entidad cubierta, es PHI, aunque haya llegado por una página web pública. El formulario no cambió la regla. El contenido sí.

¿Cuándo cruza la línea un formulario de contacto?

Un formulario de contacto cruza hacia la PHI de tres maneras comunes, y las tres son decisiones de diseño que tú controlas.

• Un cuadro de texto libre sin guía. “¿En qué podemos ayudarte?” invita a un párrafo sobre síntomas. En el momento en que un paciente lo escribe, estás guardando PHI en el sistema que lo recibió.
• Entrega al lugar equivocado. Envíos reenviados a un correo personal, a una bandeja compartida sin control de acceso o a un proveedor de formularios que no firma un acuerdo de socio comercial.
• Campos que solo tienen sentido para pacientes actuales. Fecha de nacimiento, número de afiliado, motivo de la visita. Eso pertenece a un sistema de admisión construido para PHI, no al formulario de marketing.

¿Cómo se construye un formulario que se quede del lado correcto?

Pide lo que necesita quien agenda, y nada más

Un paciente potencial quiere que le devuelvan la llamada. Nombre, teléfono, correo y una buena hora para llamar bastan para que eso ocurra. Todo lo clínico puede esperar a la llamada o al formulario previo a la consulta en una plataforma que el consultorio controla, que es donde pertenece.

Dile a la gente que no escriba datos médicos

Una línea junto al cuadro de mensaje, en ambos idiomas: “Por favor, no incluyas información médica aquí; te preguntaremos lo que necesitemos cuando te llamemos.” Cambia lo que la gente escribe, y documenta que lo intentaste.

Entrega a una bandeja controlada

Los envíos deben llegar a un lugar con acceso limitado al personal que lo necesita, no a un correo personal. Si tu proveedor de formularios o tu proveedor de correo puede ver el contenido, debería poder firmar un acuerdo de socio comercial. Si no, ese contenido nunca debería contener PHI. Los dos caminos funcionan; “nunca lo pensamos” no.

Cifra en tránsito, conserva poco

HTTPS en todo el sitio, siempre. Después decide cuánto tiempo viven los envíos del formulario y dónde. Una consulta de marketing de hace tres años no tiene por qué seguir existiendo en una bandeja.

Mantén la admisión real donde pertenece

Los cuestionarios de síntomas, las historias clínicas, los portales y los sistemas de citas que capturan datos médicos son sistemas de PHI. Pertenecen a una infraestructura conforme, con los acuerdos correctos, diseñada para eso desde el principio. No pertenecen al mismo constructor de formularios genérico que tu boletín. Nuestra guía de plataformas seguras para consultorios las lista por necesidad, y las citas en línea para consultorios cubren el formulario de cita en concreto.

¿Y la analítica y los píxeles publicitarios?

Esta es la parte que la mayoría de los consultorios nunca ha considerado. Los píxeles publicitarios y algunas herramientas de analítica envían lo que un visitante hace en tu sitio a un tercero, a veces con suficiente detalle para identificarlo.

Las guías federales han advertido que eso puede involucrar PHI en dos casos: en páginas detrás de un inicio de sesión de paciente, y en páginas donde los visitantes comparten información de salud. Un tribunal federal acotó parte de esa guía en 2024, y el terreno sigue moviéndose.

No necesitas seguir los litigios para tomar una decisión segura. Mantén los píxeles publicitarios fuera de las páginas donde los pacientes describen condiciones o solicitan atención. Usa una analítica que no identifique a visitantes individuales, y revisa qué envía cada script de tu sitio y a quién. Si un proveedor de marketing no puede responder esa pregunta, esa es la respuesta.

Los errores que encontramos en sitios de médicos

• Un cuadro de “cuéntanos sobre tu condición” en la página pública de contacto, entregado a un Gmail personal.
• Un formulario previo a la consulta completo construido en una herramienta genérica, sin acuerdo y sin control de acceso.
• Píxeles publicitarios en las páginas de “síntomas” y “reserva ahora”.
• Una insignia de privacidad o una promesa de cumplimiento en el sitio sin nada detrás. No existe tal certificación para un sitio web, y afirmarla invita al escrutinio.
• Un desarrollador web que nunca preguntó qué recoge el formulario ni a dónde va.

En resumen

HIPAA no prohíbe un formulario de contacto. Te pide saber qué recoge, a dónde va y quién puede verlo, y mantener la información de salud fuera de lugares que nunca se construyeron para ella.

Cada plataforma que construimos para médicos empieza con esa decisión: el sitio de marketing no recoge PHI, y todo lo que sí la recoge se diseña para eso desde el primer día. Mira cómo abordamos el diseño de sitios web médicos, o lee la guía del sitio web de un médico, que trata HIPAA junto con todo lo demás.

Artículo escrito por

Roger de Oca

Diseñador web, desarrollador y fundador de DEOCAs. Roger construye y mantiene plataformas web para médicos y organizaciones médicas, incluida la del presidente 2025-2026 de una sociedad médica nacional, y escribe sobre lo que de verdad funciona para los consultorios en internet.

rogerdeoca.com LinkedIn

Este artículo es información general para médicos y administradores de consultorios, no asesoría legal, médica ni financiera. Las reglas y los precios cambian; confirma con tus propios asesores cualquier cosa que afecte a tu consultorio.