20 Preguntas de Práctica de Privacidad HIPAA, seguridad y cumplimiento con Respuestas

1. 1. Un médico de otro hospital que está tratando actualmente al paciente llama y solicita el expediente completo. El especialista teme que enviar todo el expediente infrinja el estándar de mínimo necesario. ¿Cuál afirmación es correcta?

   • A.El estándar de mínimo necesario no se aplica a las divulgaciones a un profesional para tratamiento✓ Respuesta
   • B.El estándar de mínimo necesario se aplica a toda divulgación que decida hacer la entidad cubierta
   • C.El estándar de mínimo necesario se aplica salvo que el paciente firme otra autorización adicional
   • D.El estándar de mínimo necesario se aplica al expediente en papel pero no al registro electrónico

   La Regla de Privacidad enumera situaciones en las que el estándar de mínimo necesario no rige, y la primera es la divulgación a un profesional de la salud con fines de tratamiento; las demás incluyen la divulgación al propio paciente, la hecha bajo autorización firmada, la entregada a HHS en una investigación de cumplimiento y la exigida por ley. Como el tratamiento está exceptuado, entregar el expediente que pide el médico tratante es permisible.

   Ref. QB-FK48ZPFuente: HIPAA Privacy Rule, 45 CFR 164.502(b) minimum necessary standardReportar un problema con esta pregunta

2. 2. Una consulta planea participar en un programa federal de incentivos de EHR y pregunta al especialista qué se exige del software que utiliza. ¿Qué debe ser el sistema EHR de la consulta?

   • A.Estar acreditado por la sociedad médica estatal a la que pertenecen los profesionales
   • B.Estar registrado ante la aseguradora de responsabilidad profesional que cubre a la consulta
   • C.Estar aprobado por escrito por el mayor pagador comercial al que factura la consulta
   • D.Estar certificado por el programa federal de certificación de tecnología de la información sanitaria✓ Respuesta

   Los programas federales de incentivos de EHR siempre se han basado en tecnología de registro electrónico certificada: el sistema debe estar certificado por el programa nacional de certificación de tecnología sanitaria, que comprueba que puede realizar las funciones que el programa mide, como la prescripción electrónica, el intercambio de información y el acceso electrónico del paciente a su expediente. Las aseguradoras, los pagadores y las sociedades profesionales no intervienen en esa certificación.

   Ref. QB-X3X2EPFuente: ONC Health IT Certification Program; NHA CEHRS Test Plan, Regulatory ComplianceReportar un problema con esta pregunta

3. 3. Se está desidentificando un conjunto de datos por el método de puerto seguro. Un paciente del archivo tiene 94 años. ¿Cómo debe tratarse esa edad?

   • A.Se informa sin cambios porque la edad no es un identificador
   • B.Se informa como una franja de diez años que cubre esa década
   • C.Se informa como la edad exacta una vez eliminada la fecha de nacimiento
   • D.Se informa en una sola categoría combinada de 90 años o más✓ Respuesta

   Bajo el puerto seguro, las edades y cualquier elemento de fecha que indique una edad mayor de 89 años deben agruparse en una sola categoría de 90 años o más, porque las edades muy avanzadas son tan poco frecuentes que pueden señalar a una sola persona. Las edades de 89 años o menos pueden conservarse, y las fechas distintas del año vinculadas al individuo siguen debiendo eliminarse.

   Ref. QB-EKRVTNFuente: HIPAA Privacy Rule, 45 CFR 164.514(b) Safe Harbor de-identificationReportar un problema con esta pregunta

4. 4. Un investigador pide al especialista un archivo de expedientes que conserva las fechas de ingreso y los códigos postales, pero del que se han quitado identificadores directos como nombres y números de cuenta. ¿Qué es cierto de ese archivo?

   • A.Son datos desidentificados y pueden compartirse sin condiciones adicionales
   • B.Es un conjunto de datos limitado y puede entregarse para cualquier fin del negocio
   • C.Es un conjunto de datos limitado y exige un acuerdo de uso de datos firmado✓ Respuesta
   • D.Son datos desidentificados porque las fechas y los códigos postales no identifican

   Un conjunto de datos limitado sigue siendo información de salud protegida: elimina dieciséis identificadores directos, pero puede conservar ciudad, estado, código postal, todas las fechas y las edades, y por eso no se considera desidentificado. Solo puede divulgarse para investigación, salud pública u operaciones de atención médica, y únicamente tras firmar el receptor un acuerdo de uso de datos que limite el uso y prohíba la reidentificación.

   Ref. QB-24Z2XSFuente: HIPAA Privacy Rule, 45 CFR 164.514(e) limited data set and data use agreementReportar un problema con esta pregunta

5. 5. Llega una autorización que nombra al solicitante, describe los expedientes pedidos y lleva la firma y fecha del paciente, pero no indica fecha ni suceso de vencimiento. ¿Qué debe hacer el especialista?

   • A.Entregar solo el resumen de la visita porque el formulario está incompleto
   • B.Devolver el formulario y pedir al paciente una autorización completa✓ Respuesta
   • C.Entregar los expedientes y archivar el formulario con una nota de la omisión
   • D.Anotar una fecha de vencimiento de un año y entregar los expedientes

   La fecha o el suceso de vencimiento es uno de los elementos esenciales que exige la Regla de Privacidad, junto con la descripción específica de la información, quien divulga, el destinatario, el propósito y la firma y fecha del paciente. Una autorización a la que le falta un elemento esencial es inválida de por sí, así que no puede hacerse la divulgación ni puede el personal completar el dato por su cuenta.

   Ref. QB-HKTVBSFuente: HIPAA Privacy Rule, 45 CFR 164.508(c) core elements of a valid authorizationReportar un problema con esta pregunta

6. 6. Una paciente pide copia de todo su expediente y menciona expresamente las notas de psicoterapia que guarda su terapeuta. ¿Cómo debe tratar el especialista esas notas?

   • A.Se entregan a la paciente solo como un resumen redactado por el personal
   • B.Se entregan a la paciente después de que el terapeuta refrende la solicitud
   • C.Se entregan junto con el resto del expediente al pagarse la cuota de copia
   • D.Se entregan sin las notas de psicoterapia, que quedan fuera del derecho de acceso✓ Respuesta

   El derecho de acceso abarca el conjunto de registros designado, pero la Regla de Privacidad excluye por completo dos categorías: las notas de psicoterapia, es decir, las notas de sesión que el terapeuta guarda por separado, y la información recopilada en previsión razonable de un litigio. El resto del expediente sí debe entregarse, y las notas solo pueden compartirse mediante una autorización válida.

   Ref. QB-Z3NQRRFuente: HIPAA Privacy Rule, 45 CFR 164.524 right of accessReportar un problema con esta pregunta

7. 7. Un paciente solicita un registro de las divulgaciones de su información de salud protegida. ¿Cuál de las siguientes divulgaciones debe figurar en ese registro?

   • A.Una copia enviada a un empleador bajo una autorización firmada por el paciente
   • B.Un informe de enfermedad transmisible enviado a salud pública por exigirlo la ley✓ Respuesta
   • C.Un resumen del expediente enviado a un especialista que trata al paciente
   • D.Una reclamación con detalle clínico presentada al plan de salud del paciente

   El registro abarca los seis años anteriores a la solicitud, pero excluye expresamente las divulgaciones para tratamiento, pago y operaciones, las hechas bajo autorización firmada, las hechas al propio paciente, las incidentales y algunas más. Un informe exigido por ley a una agencia de salud pública no encaja en ninguna exclusión, así que se anota con su fecha, el destinatario, una descripción de la información y el propósito.

   Ref. QB-GKFJ6RFuente: HIPAA Privacy Rule, 45 CFR 164.528 accounting of disclosuresReportar un problema con esta pregunta

8. 8. Quien llama dice ser el abogado del paciente y pide que hoy mismo se envíe por fax el expediente completo a su oficina. ¿Qué debe hacer primero el especialista?

   • A.Transferir la llamada al médico que atendió al paciente por última vez
   • B.Verificar su identidad y su autoridad escrita para recibir el expediente✓ Respuesta
   • C.Enviar el expediente al número que indique y documentar después la llamada
   • D.Enviar hoy un resumen de la visita y remitir por correo el resto mañana

   La Regla de Privacidad exige que la entidad cubierta verifique la identidad de quien pide información de salud protegida y su autoridad para recibirla antes de divulgar nada. En el caso de un abogado, eso significa una autorización firmada válida u otra documentación legal en el archivo, y la entrega se limita después a los expedientes que la autorización describe.

   Ref. QB-YAR392Fuente: HIPAA Privacy Rule, 45 CFR 164.514(h) verification requirementsReportar un problema con esta pregunta

9. 9. Una enfermera con la cuenta bloqueada pide al especialista usar su usuario para documentar y no atrasarse. ¿Cuál es la acción apropiada?

   • A.Darle la contraseña y cambiarla al terminar el turno de trabajo
   • B.Iniciar sesión por ella y permanecer en la estación mientras documenta
   • C.Registrar en el expediente su documentación bajo la cuenta del especialista
   • D.Remitirla a la mesa de ayuda para que restablezcan su propia cuenta✓ Respuesta

   La Regla de Seguridad exige un identificador de usuario único para cada miembro del personal precisamente para que cada acción del sistema pueda atribuirse a una persona concreta. Documentar con el usuario de otro destruye esa atribución, falsea la pista de auditoría y deja al titular de la cuenta como responsable de entradas que no hizo, así que lo correcto es restablecer el acceso de la enfermera.

   Ref. QB-KKHJPUFuente: HIPAA Security Rule, 45 CFR 164.312(a) unique user identificationReportar un problema con esta pregunta

10. 10. Una especialista con acceso a todo el sistema abre el expediente de la visita reciente de su hermano adulto porque está preocupada, y nunca cuenta a nadie lo que leyó. ¿Cómo se valora esa acción?

    • A.Una infracción, porque no tenía motivo laboral para abrir el expediente✓ Respuesta
    • B.Aceptable, porque no divulgó a nadie más nada de lo que leyó allí
    • C.Aceptable, porque los familiares directos pueden ver sus expedientes mutuos
    • D.Una infracción solo si la visita fue por un tratamiento especialmente protegido

    Los privilegios de acceso se otorgan para que el empleado haga su trabajo asignado, y usarlos por curiosidad o preocupación personal es acceso no autorizado aunque no se copie, imprima ni repita nada. El parentesco no da derecho de entrada; el hermano tendría que pedir su propio expediente o firmar una autorización, y el registro de auditoría mostrará el usuario de ella en el expediente.

    Ref. QB-8YHXVSFuente: HIPAA Privacy Rule, 45 CFR 164.502; HIPAA Security Rule, 45 CFR 164.308(a)(4) information access managementReportar un problema con esta pregunta

11. 11. Un usuario se traslada del departamento de facturación al mostrador de admisión. ¿Qué debe hacerse con su cuenta del EHR?

    • A.Suspender la cuenta hasta que el usuario repita la formación de ingreso
    • B.Añadir los nuevos privilegios y conservar los anteriores para cubrir turnos
    • C.Ajustar los privilegios al nuevo puesto y retirar los del puesto anterior✓ Respuesta
    • D.Dejar la cuenta sin cambios hasta la próxima revisión anual de accesos

    La gestión del acceso a la información exige establecer, revisar y modificar los privilegios para que correspondan al puesto actual del usuario, que es el sentido práctico del control de acceso por rol y del mínimo necesario aplicado a los permisos. Dejar que los privilegios de facturación se acumulen con los de admisión permite al usuario llegar a datos que su trabajo actual no necesita.

    Ref. QB-RFQ4GTFuente: HIPAA Security Rule, 45 CFR 164.308(a)(4) access establishment and modificationReportar un problema con esta pregunta

12. 12. Tras un análisis de riesgos, una clínica concluye que cifrar la información de salud protegida electrónica de un servidor no es razonable ni apropiado en su entorno. Según la Regla de Seguridad, ¿qué debe hacer?

    • A.Documentar el razonamiento e implantar una medida alternativa equivalente✓ Respuesta
    • B.Enviar la decisión a la oficina federal de cumplimiento y esperar su aprobación
    • C.Anotar la decisión en el análisis de riesgos y no hacer nada más al respecto
    • D.Descartar del todo la especificación, pues las medidas direccionables son opcionales

    Una especificación direccionable no es opcional: la entidad debe evaluar si es una salvaguarda razonable y apropiada y, si no lo es, documentar por qué e implantar una alternativa equivalente que cumpla el estándar. El cifrado de la información almacenada y el cierre automático de sesión son direccionables, mientras que el identificador de usuario único y el procedimiento de acceso de emergencia son obligatorios.

    Ref. QB-7Y6MQRFuente: HIPAA Security Rule, 45 CFR 164.306(d) addressable implementation specificationsReportar un problema con esta pregunta

13. 13. Se instala un filtro de privacidad en el monitor de un mostrador concurrido para que quienes están cerca no lean la pantalla. Según la Regla de Seguridad, ¿a qué categoría de salvaguarda corresponde?

    • A.Una salvaguarda física✓ Respuesta
    • B.Una salvaguarda administrativa
    • C.Una salvaguarda técnica
    • D.Un requisito organizativo

    Las salvaguardas físicas protegen los equipos, los soportes y el espacio que los rodea, y la seguridad de la estación de trabajo, que abarca cómo se coloca y se resguarda de la vista un dispositivo, pertenece a esa categoría junto con el control de acceso a las instalaciones y la eliminación de soportes. Las técnicas son los controles del propio sistema, como el usuario único, la auditoría y el cierre automático, y las administrativas son las políticas, la formación y la gestión de riesgos.

    Ref. QB-QFCSASFuente: HIPAA Security Rule, 45 CFR 164.310 physical safeguardsReportar un problema con esta pregunta

14. 14. Un proveedor de transcripción que trabaja bajo un acuerdo de socio comercial descubre que una carpeta de archivos dictados quedó expuesta en internet. ¿A quién debe notificar el incidente?

    • A.A la agencia estatal que expide la licencia de la entidad cubierta
    • B.A la oficina federal de derechos civiles que vigila el cumplimiento
    • C.A la entidad cubierta cuyos expedientes estuvieron implicados✓ Respuesta
    • D.A las personas afectadas y a los medios de comunicación locales

    Según los requisitos de notificación de brechas añadidos por la Ley HITECH, el socio comercial que descubre una brecha notifica a la entidad cubierta, y es esta la que asume el deber de avisar a las personas, a los medios cuando corresponda y al gobierno federal. Canalizar el aviso por la entidad cubierta mantiene a una sola parte responsable de la evaluación del riesgo y de probar que se hicieron las notificaciones.

    Ref. QB-6YT9JQFuente: HITECH Act breach notification; 45 CFR 164.410 notification by a business associateReportar un problema con esta pregunta

15. 15. Roban del auto de un empleado una laptop con información de salud protegida electrónica. ¿Qué hecho determina más directamente si hay que notificar la brecha?

    • A.Si la información contenida estaba cifrada según estándares federales reconocidos✓ Respuesta
    • B.Si el robo se denunció con prontitud ante el departamento de policía local
    • C.Si la laptop pertenecía a la clínica o era propiedad personal del empleado
    • D.Si la pantalla estaba protegida por una contraseña de inicio de sesión robusta

    La notificación de brechas solo se activa con información de salud protegida no asegurada, es decir, la que no se ha vuelto inutilizable, ilegible o indescifrable mediante cifrado o destrucción conforme a la guía federal. Una laptop robada cifrada a ese nivel por lo general no es una brecha notificable, mientras que una sin cifrar se presume brecha salvo que una evaluación de cuatro factores muestre baja probabilidad de compromiso.

    Ref. QB-PFZE5RFuente: HITECH Act breach notification; 45 CFR 164.402 definition of unsecured protected health informationReportar un problema con esta pregunta

16. 16. El sistema de un centro registra fielmente cada acceso a la información de salud protegida electrónica, pero nadie revisa nunca los registros. ¿Cómo se valora esta práctica bajo la Regla de Seguridad?

    • A.Incumple, porque los registros de actividad del sistema deben revisarse con regularidad✓ Respuesta
    • B.Cumple, porque el mecanismo de registro exigido está instalado y funcionando bien
    • C.Incumple, porque los registros deben imprimirse y archivarse en soporte de papel
    • D.Cumple, porque revisar los registros es un paso direccionable y no obligatorio

    Los controles de auditoría exigen mecanismos que registren y examinen la actividad en los sistemas con información de salud protegida electrónica, y el requisito administrativo aparte de revisar la actividad del sistema hace que ese examen sea obligatorio, no opcional. Unos registros que nadie lee no detectan fisgoneo, no sostienen una evaluación de riesgo de brecha y dejan a la entidad sin prueba de que vigiló los accesos.

    Ref. QB-5YFXCPFuente: HIPAA Security Rule, 45 CFR 164.312(b) audit controls and 45 CFR 164.308(a)(1) information system activity reviewReportar un problema con esta pregunta

17. 17. Un especialista descubre que ayer se registraron unos signos vitales en el expediente del paciente equivocado. ¿Cómo debe tratarse esa entrada errónea?

    • A.Borrar la entrada errónea para que el expediente muestre solo datos exactos
    • B.Sobrescribir los valores y anotar el cambio en un registro aparte del servicio
    • C.Pedir al administrador que purgue la entrada de la base de datos subyacente
    • D.Añadir una corrección fechada que deje visible en el expediente la entrada original✓ Respuesta

    El expediente de salud es un documento legal, así que un error se corrige añadiendo una entrada fechada, con hora y autor, mientras la original sigue siendo recuperable, que es también como funciona una enmienda cuando el paciente la pide. Borrar o sobrescribir rompe la integridad del expediente y de la pista de auditoría, y destruye la prueba necesaria para explicar la atención basada en el dato equivocado.

    Ref. QB-NFN4YPFuente: HIPAA Privacy Rule, 45 CFR 164.526 amendment of protected health information; NHA CEHRS Test Plan, Regulatory ComplianceReportar un problema con esta pregunta

18. 18. Tras una caída imprevista de dos horas, las notas en papel escritas durante la interrupción se están cargando al EHR. ¿Cómo deben fecharse y horarse esas entradas?

    • A.Con la hora en que se tecleó la nota, pues entonces cambió el expediente
    • B.Con la hora real en que se dio la atención, marcadas como entrada tardía✓ Respuesta
    • C.Con la hora real de la atención, de modo que no se note ningún retraso
    • D.Con la hora en que el sistema volvió a funcionar, para todo el paquete

    La documentación cargada tras la caída debe reflejar dos verdades a la vez: la entrada lleva la fecha y hora reales de la atención, para que la secuencia clínica sea exacta, y se marca como entrada tardía, para que conste cuándo se hizo realmente. Fechar la entrada para ocultar el retraso es antedatar, lo que falsea el expediente legal aunque los hechos clínicos sean correctos; después se escanean los originales y se auditan los expedientes conciliados.

    Ref. QB-CYX9KXFuente: HIPAA Security Rule, 45 CFR 164.308(a)(7) contingency plan; NHA CEHRS Test Plan, Regulatory ComplianceReportar un problema con esta pregunta

19. 19. ¿Qué elemento del plan de contingencia de la Regla de Seguridad consiste en crear y mantener copias exactas y recuperables de la información de salud protegida electrónica?

    • A.El plan de operación en modo emergencia
    • B.El plan de respaldo de datos✓ Respuesta
    • C.El análisis de criticidad de datos
    • D.El plan de recuperación ante desastres

    El estándar del plan de contingencia separa tres piezas obligatorias que los candidatos suelen confundir: el plan de respaldo crea copias exactas recuperables, el plan de recuperación ante desastres restaura los datos perdidos y el plan de operación en modo emergencia mantiene funcionando y protegidos los procesos críticos mientras los sistemas están caídos. El análisis de criticidad, que jerarquiza aplicaciones y datos, es direccionable y no obligatorio.

    Ref. QB-VF5F6YFuente: HIPAA Security Rule, 45 CFR 164.308(a)(7) contingency planReportar un problema con esta pregunta

20. 20. Una orden de medicación escrita en texto libre en el EHR indica administrar ".5 mg" de un fármaco. ¿Por qué debe corregirse antes de ejecutarla?

    • A.Una dosis debe llevar siempre un cero final después del último decimal
    • B.Una dosis menor que uno debe escribirse como fracción y no como decimal
    • C.Una dosis debe escribirse con palabras en lugar de con cifras numéricas
    • D.Una dosis menor que uno debe llevar un cero delante del punto decimal✓ Respuesta

    Una dosis sin cero inicial figura en la lista de abreviaturas y notaciones prohibidas de la norma de acreditación, porque si se pasa por alto el punto decimal, .5 mg se lee 5 mg, una sobredosis diez veces mayor; la orden debe decir 0,5 mg. La regla espejo prohíbe el cero final en una dosis, ya que 5,0 mg puede leerse 50 mg, y ambas rigen tanto para órdenes manuscritas como para texto libre electrónico.

    Ref. QB-5WHSCPFuente: The Joint Commission Do Not Use List of abbreviations, acronyms and symbolsReportar un problema con esta pregunta

Preguntas de práctica basadas en el Test Plan de CEHRS de NHA, las Reglas de Privacidad y Seguridad de HIPAA (45 CFR Parte 164) y la Ley HITECH. Este sitio no está afiliado ni respaldado por la National Healthcareer Association. Cada sistema de registros electrónicos organiza sus propias pantallas y menús, así que los flujos de trabajo aquí se describen en términos generales: sigue la documentación de tu sistema y las políticas de tu institución. Los períodos de conservación de registros, las abreviaturas permitidas y muchos detalles de la divulgación de información los fijan la ley estatal y la política institucional, no la normativa federal, y los importes de las sanciones se ajustan con el tiempo; verifica todo eso en fuentes vigentes y no en un examen de práctica. Confirma con NHA los requisitos de elegibilidad y de examen vigentes antes de presentarte. Sobre la certificación CEHRS →