Tu sitio web te delata: CCPA para quiroprácticos y clínicas en California

HIPAA no es un escudo mágico

Si eres quiropráctico o diriges una clínica en California, probablemente pienses: "Ya cumplo con HIPAA, estoy cubierto". Error. La CCPA (California Consumer Privacy Act) y su refuerzo, la CPRA, se aplican a datos que HIPAA no toca. Y ojo, las multas duelen: hasta $7,500 por infracción intencional.

La clave está en el origen de los datos. HIPAA protege la Información Médica Protegida (PHI) que manejas en tu práctica. Pero la CCPA cubre todo lo demás: desde cookies de seguimiento en tu web hasta datos de empleados. Y sí, los reguladores ya están mirando.

¿Qué datos de tu web caen bajo CCPA?

Imagina que un paciente visita tu sitio para pedir cita. Rellena un formulario de contacto: nombre, email, teléfono, motivo de consulta. Eso no es PHI hasta que tú lo vincules a su historial clínico. Pero mientras está en tu web, es un dato personal bajo CCPA.

Lo mismo pasa con las cookies de analytics o remarketing. Google Analytics, Facebook Pixel, etc. recopilan direcciones IP, comportamiento de navegación. Todo eso es información personal para la CCPA. Y si no lo declaras en un aviso de privacidad claro, estás incumpliendo.

El caso de los datos de empleados

Otra sorpresa: los datos de tus empleados (nóminas, evaluaciones, contactos de emergencia) también entran en la CCPA. Aunque hay una exención temporal hasta 2023, ya es recomendable tratarlos con los mismos derechos: acceso, eliminación, opt-out de venta.

¿Qué tienes que hacer? Checklist práctica

• Audita tu web: Identifica todas las cookies, píxeles y formularios que recogen datos personales.
• Actualiza tu aviso de privacidad: Incluye qué datos recoges, para qué, con quién los compartes y cómo ejercer derechos CCPA.
• Implementa un botón "Do Not Sell My Personal Information": Obligatorio si vendes datos (y ojo, compartir con Facebook puede considerarse venta).
• Gestiona el consentimiento de cookies: Usa un banner que permita rechazar todas las cookies no esenciales.
• Capacita a tu personal: Que sepan cómo responder a solicitudes de acceso o eliminación de datos.

Un ejemplo que duele (como una mala postura)

Pongamos que tu clínica usa un chatbot en la web para agendar citas. El chatbot recoge nombre, teléfono y motivo. Eso es CCPA. Si no tienes un aviso y un mecanismo para que el usuario pueda pedir que borres esos datos, estás en riesgo. Y no, HIPAA no te salva porque el chatbot no es un sistema de registros médicos.

La analogía: es como si limpiaras tu consultorio pero dejaras la puerta trasera abierta. HIPAA cuida el expediente clínico; la CCPA cuida todo lo demás. Y los pacientes de hoy son más conscientes de su privacidad. No cumplir puede costarte clientes y multas.

Recursos oficiales

Consulta la guía de la Procuraduría de California sobre CCPA y el sitio de HHS sobre HIPAA para entender los límites. También el reglamento de la CPRA.

No esperes a que te auditen. Revisa tu web hoy. La privacidad no es un gasto, es una ventaja competitiva. Y oye, mejor que leer términos y condiciones, ¿no? (Aunque casi tan divertido como limpiar las juntas de los azulejos con un cepillo de dientes).