Una guía práctica de Analítica web compatible con HIPAA

Esta guía explica Analítica web compatible con HIPAA de forma práctica, con un enfoque en decisiones de analítica respetuosas con la privacidad.

La analítica de los sitios web sanitarios tiene mucho en juego porque los datos ordinarios de navegación pueden revelar contexto clínico. Una visita a una página de tratamiento del cáncer, a un formulario de cita, a un portal de pacientes o a una página de servicios de adicciones puede decir algo sensible sobre el visitante incluso antes de que se envíe un formulario.

HIPAA no prohíbe la analítica. Exige que las entidades reguladas por HIPAA traten correctamente la información de salud protegida. El problema es que muchas herramientas estándar de analítica y publicidad se construyeron para marketing, no para la privacidad sanitaria.

Matiz importante de 2024: HHS señala que un tribunal federal anuló parte del boletín de OCR sobre rastreo en línea en lo relativo a la teoría de que una dirección IP más una visita a determinadas páginas públicas no autenticadas activa automáticamente las obligaciones de HIPAA. Ese matiz importa para las páginas públicas de educación, pero no convierte los portales, las citas, la admisión, el pago, las páginas autenticadas ni los flujos que divulgan PHI en páginas de marketing ordinarias.

Lo que dice HHS sobre las tecnologías de rastreo

La Oficina de Derechos Civiles del Departamento de Salud y Servicios Humanos de Estados Unidos ha publicado orientación sobre tecnologías de rastreo. HHS explica que las obligaciones de HIPAA aplican cuando las entidades reguladas usan tecnologías de rastreo y la información recopilada o divulgada incluye información de salud protegida. Consulta la guía de HHS sobre tecnologías de rastreo en línea.

La idea clave es el contexto. La dirección IP de un visitante, los detalles del dispositivo, la URL de la página, una acción de cita o la actividad en el portal pueden convertirse en PHI cuando se conectan con una entidad regulada y con contenidos o servicios sanitarios. Una página pública genérica no autenticada merece un análisis distinto al de una solicitud de cita, un portal de pacientes, un formulario de admisión, un flujo de pago o una página autenticada.

Dónde la analítica genera riesgo

Las áreas de riesgo habituales incluyen:

• Páginas de solicitud de cita.
• Portales de pacientes.
• Comprobadores de síntomas.
• Páginas de aterrizaje específicas por condición.
• Páginas de búsqueda de profesional.
• Páginas de pago.
• Contenidos sobre adicción, salud mental, salud reproductiva o enfermedades crónicas.
• Píxeles de retargeting en páginas sanitarias.
• Analítica de formularios que captura los valores de los campos.

Aunque un proveedor diga que solo recibe identificadores seudónimos, la combinación de URL, marca de tiempo, dirección IP y datos del dispositivo puede seguir siendo sensible.

Google Analytics y HIPAA

La propia ayuda de Analytics de Google indica que los clientes no deben enviar a Google datos que Google pudiera reconocer como información personalmente identificable y no deben recopilar con Analytics datos que revelen información sensible sobre un usuario o lo identifiquen. Consulta la página HIPAA y Google Analytics de Google.

Para las organizaciones sanitarias, la cuestión práctica es si Google Analytics está recibiendo PHI y si existen la relación HIPAA y las salvaguardas necesarias. Si un proveedor no firma un acuerdo de socio comercial para el servicio relevante, una entidad regulada no debería divulgar PHI a ese proveedor mediante rastreo.

No te apoyes en la anonimización de IP, el borrado de cookies ni una mención en la política de privacidad como sustituto del análisis HIPAA.

Diseño de una medición más segura

Los sitios sanitarios deberían separar la medición pública de bajo riesgo de los flujos regulados.

Páginas públicas de educación

Usa analítica agregada y sin cookies. Evita identificadores personales, píxeles publicitarios, grabaciones de sesión, mapas de calor y rastreadores entre sitios. Elimina las cadenas de consulta. Evita las URLs completas si las rutas revelan categorías altamente sensibles.

Páginas de cita y admisión

Trátalas como de alto riesgo. No cargues analítica de marketing general ni píxeles publicitarios. Si la medición es necesaria, usa registro en el servidor de primera parte con controles de acceso estrictos, retención corta y sin divulgación a terceros salvo revisión.

Portales de pacientes

Asume que la analítica del portal autenticado puede implicar PHI. Usa proveedores listos para HIPAA, BAA, registros de acceso, controles basados en roles y la mínima recopilación necesaria.

Páginas de aterrizaje de campañas

Evita los píxeles de retargeting en páginas específicas por condición. Si necesitas medición de campaña, usa parámetros UTM y conversiones agregadas, no audiencias publicitarias a nivel de visitante.

Una lista de verificación HIPAA para analítica

1. Identifica si la organización es entidad cubierta o socio comercial.
2. Lista cada script de rastreo, píxel, gestor de etiquetas, widget de chat y SDK de analítica.
3. Clasifica las páginas por sensibilidad sanitaria.
4. Retira los píxeles publicitarios de las páginas con contexto clínico.
5. Impide que los valores de los campos de formulario entren en la analítica.
6. Elimina datos personales y tokens de las URLs.
7. Confirma si los proveedores firman BAA para el servicio exacto utilizado.
8. Aplica la mínima recopilación necesaria.
9. Configura una retención corta para logs y eventos de analítica.
10. Actualiza los avisos de privacidad y de HIPAA cuando proceda.

Lo que puede hacer la analítica con privacidad por delante

Una herramienta de analítica con privacidad por delante puede medir el rendimiento agregado del sitio sin identificar visitantes. Para muchos sitios de marketing sanitario, eso es suficiente:

• Visualizaciones de página por página.
• Fuentes de tráfico y campañas.
• Geografía general.
• Categorías de dispositivo y navegador.
• Recuento de envíos de formulario sin valores de campo.
• Caída de embudo agregada.

Este enfoque no elimina todas las preguntas de HIPAA, pero reduce la probabilidad de que se divulgue PHI a un ecosistema externo de publicidad o analítica.

Conclusión

La analítica sanitaria debería partir de los datos mínimos necesarios. Si una página o acción puede revelar el interés clínico de alguien, no trates el rastreo como una infraestructura ordinaria de marketing. Mide lo que necesites, evita identificadores personales, mantén limpios los flujos sensibles y usa proveedores que puedan asumir el rol legal que se les pide.

El contexto de página puede crear PHI

Una visita genérica a la página de inicio de un hospital puede tener menos riesgo que una visita a una página sobre tratamiento oncológico seguida de una solicitud de cita. Los elementos de datos pueden parecer técnicamente iguales: dirección IP, agente de usuario, URL, marca de tiempo. El significado cambia porque el contexto de la página revela un interés clínico.

Por eso las revisiones de analítica sanitaria deberían clasificar las páginas por sensibilidad y no las herramientas solo por el nombre de la marca.

Evita el retargeting por defecto

El retargeting de visitantes sanitarios es especialmente arriesgado. Aunque una plataforma publicitaria nunca reciba un campo de diagnóstico, un píxel en una página específica por condición puede divulgar interés en esa condición. Los responsables de marketing sanitario deberían preferir campañas contextuales, medición de conversiones agregadas y reportes de cita en primera parte por encima de la construcción de audiencias.

Preguntas para la contratación

Pregunta a los proveedores de analítica si firmarán un BAA para el producto exacto, dónde se aloja la información, si los datos se utilizan para publicidad o mejora del producto, cómo se manejan los identificadores y si pueden excluirse las páginas de formulario. Si las respuestas son vagas, no pongas la herramienta en páginas reguladas.

En sanidad, "solo usamos analítica" no es defensa. El tema de la página, la identidad de la organización y la interacción del visitante pueden hacer sensible un dato técnico ordinario.

Comprobaciones de medición segura para HIPAA

Separa la medición de la educación pública de los flujos de cita, portal, admisión, pago, específicos por condición y autenticados. Mantén las cargas de analítica libres de nombres, correos, números de paciente o de historial, detalles de cita, texto de formulario, cadenas de consulta sensibles e identificadores que puedan vincular a un visitante con la atención.

Si un proveedor recibe PHI, confirma el rol HIPAA, el BAA, los controles de acceso, la retención, los subprocesadores y el flujo de notificación de brechas antes de que se despliegue la etiqueta. Si el proveedor no puede asumir ese rol para el producto y conjunto de funciones exactos, mantenlo fuera de las páginas reguladas.