Respuesta corta: para una clínica que la HIPAA cubre, los formularios son solo una parte de la web a la que llega la HIPAA. En las páginas que piden iniciar sesión, como un portal de pacientes, el HHS dice que los rastreadores suelen tener acceso a PHI (información de salud protegida). Según la HIPAA, un servicio que crea, recibe, mantiene o transmite PHI por ti es, en general, un socio comercial, y necesitas un acuerdo de socio comercial (BAA) con él. Según el HHS, tienes que publicar tu aviso de prácticas de privacidad en un lugar destacado de toda web que tengas con información sobre tus servicios al cliente o beneficios.
Antes de leer: basamos esta guía en las páginas del HHS sobre la HIPAA, los socios comerciales, la nube, el seguimiento en línea y el aviso de prácticas de privacidad. Esas páginas están en inglés, y entre paréntesis va nuestra traducción de sus términos. Las consultamos el 10 de noviembre de 2026. Si la HIPAA se aplica, y lo que necesita tu web, depende de cómo trate tu clínica los datos de salud. Es información general, no asesoría legal.
Qué protege la HIPAA en la web de una clínica
Las reglas de la HIPAA se aplican a las entidades cubiertas y a sus socios comerciales. El HHS cuenta a médicos y clínicas como proveedores cubiertos solo si transmiten cualquier información electrónicamente en relación con una transacción para la que el HHS adoptó un estándar.
Añade que una organización que no es entidad cubierta ni socio comercial no tiene que cumplir las reglas de la HIPAA.
La Regla de Privacidad protege la información de salud que identifica a una persona y que una entidad cubierta o su socio comercial guarda o transmite. La llama información de salud protegida. El resumen del HHS la describe como información, datos demográficos incluidos, sobre la salud física o mental de una persona, la atención que recibe o el pago de esa atención.
Cuenta cuando identifica a la persona, o cuando hay una base razonable para creer que puede identificarla. El resumen dice que incluye muchos identificadores comunes, como el nombre, la dirección y la fecha de nacimiento.
En la propia web, la guía sobre las tecnologías de seguimiento en línea del HHS marca cuándo se aplican las reglas de la HIPAA. Se aplican cuando lo que recogen los rastreadores, o lo que llega a sus proveedores, incluye PHI.
Añade que la información de salud identificable que una clínica cubierta recoge en la web suele ser PHI, aunque la persona no tenga una relación previa con ella.
Los portales de pacientes y sus páginas de acceso
Las páginas que piden iniciar sesión, como un portal de pacientes o una plataforma de telemedicina, son páginas «user-authenticated» (con autenticación del usuario) en palabras del HHS. Los rastreadores que llevan suelen tener acceso a PHI.
Según la guía, esos rastreadores pueden llegar incluso al diagnóstico y al tratamiento, a las recetas o a los datos de facturación que hay dentro del portal.
La página de acceso del portal y la de registro suelen ser páginas sin autenticación, dice la guía, porque nadie ha introducido credenciales para llegar a ellas. Señala también que la página de acceso puede ser la página de inicio de la web.
Pero los datos de acceso que se escriben ahí, o los de registro como el nombre y el correo, son información de salud identificable, según la guía. Un rastreador que los recoge en esas páginas está divulgando PHI, y se aplican las reglas de la HIPAA.
A nuestro juicio, deja las etiquetas de anuncios y de analítica fuera del portal, de la página de acceso y de la de registro.
Las páginas públicas y la orden judicial sobre parte de la guía
Las páginas que cualquiera abre sin iniciar sesión son páginas sin autenticación. Los ejemplos del HHS son páginas con información general, como tu ubicación, el horario de visitas, las ofertas de empleo o tus políticas.
Según la guía, los rastreadores de muchas de esas páginas no tienen acceso a PHI, y entonces las reglas de la HIPAA no regulan su uso. En algunos casos sí pueden tener acceso a PHI, y entonces las reglas se aplican.
La guía pide a las clínicas que estudian usar rastreadores que miren si alguna PHI llegará a un proveedor de seguimiento.
Una nota al principio de la página de seguimiento del HHS se refiere a una orden judicial del 20 de junio de 2024. En ella, un tribunal federal de distrito en Texas declaró ilegal parte de la guía y la anuló.
La parte anulada liga las obligaciones de la HIPAA a una tecnología en línea que une la IP de una persona con su visita a una página pública sin autenticación. Según la orden, esa página trata sobre problemas de salud concretos o sobre proveedores de atención médica.
El HHS dice que sus próximos pasos están en evaluación a la luz de esa orden.
Hay páginas públicas donde se pide cita o se usa un verificador de síntomas sin iniciar sesión. Según la guía, sus rastreadores pueden tener acceso a PHI en ciertos casos. Nuestra guía de formularios y HIPAA trata esas páginas y las etiquetas que llevan.
Chat, reservas y otros servicios en la web
Según el HHS, un socio comercial es, en general, una persona u organización que hace ciertos trabajos para una entidad cubierta que implican crear, recibir, mantener o transmitir PHI. También puede serlo quien presta ciertos servicios que implican revelarle PHI.
Entre los ejemplos del HHS está un «super intelligence (SI) chatbot» (chatbot de superinteligencia) de un proveedor externo en el portal de pacientes de un proveedor de salud. Cuenta cuando presta servicios con la PHI del paciente, como la evaluación de síntomas, los recordatorios médicos y la programación de citas.
La lista nombra a un contratista o proveedor de TI, como un proveedor de servicios gestionados, cuyo mantenimiento o soporte le exige crear, recibir, mantener o transmitir PHI electrónica (ePHI).
Un socio comercial necesita un BAA con sus propios subcontratistas antes de darles PHI, dice el HHS, y esos subcontratistas también son socios comerciales.
Añade que no hace falta un BAA con alguien cuyos servicios no implican PHI, como un servicio de limpieza o un electricista. Vale si cualquier acceso a PHI sería solo incidental y hay medidas de protección razonables.
Nuestra guía de chat en vivo trata cómo añadir un widget de chat, y nuestra guía de páginas de reservas online, qué configurar en una página de reservas.
Nuestra guía sobre los mensajes a pacientes y la HIPAA trata el correo, los textos y WhatsApp.
A nuestro juicio, si el proveedor de un chat o de las reservas no firma un BAA, déjalo fuera de las páginas donde el paciente habla de su salud.
El hosting que guarda datos de pacientes
Cuando una clínica cubierta usa un servicio en la nube para crear, recibir, mantener o transmitir ePHI por ella, como almacenarla, ese servicio es un socio comercial. Lo dice la guía sobre la computación en la nube del HHS.
A la pregunta de qué proveedores en la nube son «HIPAA-compliant», la Oficina de Derechos Civiles (OCR) del HHS responde que no respalda, certifica ni recomienda tecnologías ni productos concretos.
Según la guía, un acuerdo de nivel de servicio (SLA) con el proveedor es habitual y puede cubrir temas de la HIPAA. Sus ejemplos son la disponibilidad y fiabilidad del sistema, las copias de seguridad y la recuperación de datos, y cómo vuelven los datos cuando termina el servicio.
La lista nombra también la responsabilidad de la seguridad y los límites de uso, conservación y divulgación. La guía añade que conviene que los términos del SLA sean coherentes con el BAA y con las reglas de la HIPAA.
También dice que el BAA tiene que exigir al socio comercial que devuelva o destruya toda la PHI cuando termine el acuerdo, si es factible. Los servidores fuera de Estados Unidos están permitidos con un BAA y siguiendo el resto de las reglas de la HIPAA. Aun así, la OCR señala que los riesgos para la ePHI pueden variar mucho según el lugar.
Un proveedor que recibe y guarda solo información desidentificada según los procesos de la Regla de Privacidad no es un socio comercial, añade la guía. Nuestra guía sobre qué es un hosting explica cómo funciona y cómo elegirlo.
A nuestro juicio, compra el hosting a nombre de la clínica, para que el acuerdo y los datos queden en sus manos.
Lo que dice un acuerdo de socio comercial
El HHS enumera lo que exige un contrato escrito con un socio comercial. Entre otros puntos, fija los usos y las divulgaciones de PHI permitidos y obligatorios. El socio comercial no usa ni divulga la PHI más allá de eso, salvo lo que exija la ley.
Exige medidas de protección adecuadas, la Regla de Seguridad incluida para la ePHI. El socio comercial informa de cualquier uso o divulgación que el contrato no prevé, incluidas las brechas de PHI no protegida.
También cubre las peticiones de los pacientes de copias, enmiendas y registros de divulgaciones, y el acceso del HHS a las prácticas, los libros y los registros del socio comercial.
Cuando termina el contrato, el socio comercial devuelve o destruye la PHI si es factible. Sus subcontratistas con acceso a la PHI aceptan las mismas restricciones y condiciones, y la clínica puede terminar el contrato si el socio comercial incumple una condición sustancial.
El HHS publica unas cláusulas de ejemplo para los acuerdos de socio comercial y dice que usarlas no es obligatorio para cumplir las reglas de la HIPAA.
Un proveedor de seguimiento que encaja en la definición de socio comercial lo es, dice el HHS, haya o no un BAA firmado.
Firmar un acuerdo con los elementos de un BAA no convierte a un proveedor de seguimiento en socio comercial si no encaja en la definición.
La seguridad de la web, empezando por el análisis de riesgos
La Regla de Seguridad exige una evaluación precisa y completa de los posibles riesgos y vulnerabilidades para la confidencialidad, la integridad y la disponibilidad de la ePHI. Según el HHS, ese análisis de riesgos afecta a todas las demás medidas, porque muestra cuáles son razonables y adecuadas.
Las medidas técnicas de la Regla incluyen el control de acceso, los controles de auditoría, las medidas contra la alteración o destrucción indebida de la ePHI y la autenticación. La seguridad en la transmisión protege contra el acceso no autorizado a la ePHI que se envía por una red electrónica.
Algunas especificaciones son «addressable» (abordables), y el HHS dice que eso no significa que sean opcionales. Si una no es razonable y adecuada para ti, la Regla permite una alternativa que logre el propósito del estándar, si es razonable y adecuada, dejando escrita la razón.
Para los rastreadores con acceso a PHI, la guía de seguimiento dice que el análisis y la gestión de riesgos tienen que tenerlos en cuenta. Entre sus ejemplos de medidas está cifrar la ePHI que se envía al proveedor de seguimiento.
También incluyen controles de autenticación, acceso, cifrado y auditoría sobre la ePHI guardada en la infraestructura del proveedor.
La OCR dice que prioriza el cumplimiento de la Regla de Seguridad de la HIPAA en sus investigaciones sobre el uso de tecnologías de seguimiento en línea.
A nuestro juicio, usa HTTPS en todas las páginas, no solo en las que llevan formularios.
Tu aviso de prácticas de privacidad en la web
El HHS trata la web en su página sobre el aviso de prácticas de privacidad. Una entidad cubierta tiene que publicar el aviso en un lugar destacado, y tenerlo disponible, en toda web que mantenga con información sobre sus servicios al cliente o sus beneficios.
El aviso explica en lenguaje sencillo cómo puede la clínica usar y divulgar la PHI. También cubre los derechos del paciente, cómo ejercerlos y cómo presentar una queja.
Indica además las obligaciones legales de la clínica, a quién contactar para saber más y una fecha de entrada en vigor.
La página añade una regla para un primer servicio prestado por internet, por correo electrónico o por otra vía electrónica. El proveedor envía un aviso electrónico de forma automática y en el momento, en respuesta a la primera solicitud de servicio del paciente.
El HHS publica también modelos de aviso de prácticas de privacidad.
A nuestro juicio, enlaza el aviso desde el pie de todas las páginas.
Nuestra guía de política de privacidad trata la política de privacidad de la web.
Cuando la PHI llega a un rastreador sin permiso
Según el HHS, se presume una brecha de PHI no protegida en un caso concreto. Es cuando la PHI llega a un proveedor de seguimiento sin un requisito o permiso de la Regla de Privacidad y sin un BAA.
La presunción vale salvo que puedas demostrar una baja probabilidad de que la PHI se haya visto comprometida. El aviso va entonces a los pacientes afectados, al secretario del HHS y, cuando corresponde, a los medios.
Un socio comercial, a su vez, es responsable de avisar a la clínica de las brechas de PHI no protegida, añade el HHS.
Antes de publicar la web de una clínica
- Hiciste la lista de cada página, etiqueta y servicio externo de la web, y de lo que recibe cada uno.
- El portal, la página de acceso y la de registro no llevan etiquetas de anuncios ni de analítica.
- Cada servicio que es socio comercial de la clínica firmó un BAA.
- Tu análisis de riesgos cubre la web, sus rastreadores y sus proveedores.
- Tu aviso de prácticas de privacidad está publicado en un lugar destacado de la web.
- Sabes qué pasa si la PHI llega a un rastreador sin un BAA.
RecuerdaLos datos de pacientes pueden llegar a la web de una clínica por el portal, los rastreadores y cada servicio externo, no solo por los formularios. Según la HIPAA, un servicio que crea, recibe, mantiene o transmite PHI por ti es, en general, un socio comercial y necesita un BAA. Tu aviso de prácticas de privacidad va en un lugar destacado de la web.
Con nuestro diseño web para clínicas de cirugía estética, escribimos la web en español y en inglés y la montamos en WordPress, para que tu equipo la edite sin código. El hosting y el dominio los compras a tu nombre, y nosotros los configuramos.
Preguntas sobre la web y la HIPAA
¿Hay una certificación oficial de HIPAA para una web o su hosting?
La Oficina de Derechos Civiles del HHS dice que no respalda, certifica ni recomienda tecnologías ni productos concretos. Da esa respuesta cuando le preguntan qué proveedores en la nube son «HIPAA-compliant». Lo que describe el HHS es un BAA con cada proveedor que crea, recibe, mantiene o transmite PHI por ti.
¿Necesita la web de una clínica un BAA con su empresa de hosting?
Sí, cuando el hosting crea, recibe, mantiene o transmite ePHI por la clínica, por ejemplo al almacenarla. El HHS dice que ese proveedor es un socio comercial, y guardar ePHI con él sin un BAA infringe las reglas de la HIPAA. Un proveedor que guarda solo información desidentificada no es un socio comercial.
¿Los rastreadores de las páginas públicas de una clínica entran en la HIPAA?
Según el HHS, los rastreadores de muchas páginas públicas, como las de ubicación u horario de visitas, no tienen acceso a PHI, así que la HIPAA no regula su uso. En algunos casos sí pueden tenerlo, y entonces la regula. Según el HHS, un tribunal anuló el 20 de junio de 2024 la parte de las IP unidas a visitas a páginas públicas sobre problemas de salud concretos o proveedores.
¿Dónde va el aviso de prácticas de privacidad en la web de una clínica?
Según el HHS, una entidad cubierta tiene que publicar su aviso en un lugar destacado de toda web con información sobre sus servicios al cliente o sus beneficios. Si el primer servicio es en línea, el proveedor también envía un aviso electrónico automático, en respuesta a la primera solicitud.
¿Qué pasa si un rastreador envía PHI a un proveedor sin un BAA?
Si no hay un requisito o permiso de la Regla de Privacidad ni un BAA, el HHS dice que se presume una brecha de PHI no protegida. Vale salvo que puedas demostrar una baja probabilidad de que la PHI se haya visto comprometida. El aviso va entonces a los pacientes afectados, al secretario del HHS y, cuando corresponde, a los medios.
Fuentes
Todas se consultaron el 10 de noviembre de 2026 en HHS.gov, la web del Departamento de Salud y Servicios Humanos de EE. UU. Están en inglés, también con el navegador en español. Las reglas: Summary of the HIPAA Privacy Rule y Summary of the HIPAA Security Rule. A quién cubren: Covered Entities and Business Associates. Los socios comerciales: Business Associates Frequently Asked Questions (FAQs) y Business Associate Contracts. Las guías: Guidance on HIPAA & Cloud Computing y Use of Online Tracking Technologies by HIPAA Covered Entities and Business Associates. El aviso: Notice of Privacy Practices for Protected Health Information.