Nueva York vuelve a impulsar la ley de privacidad de la salud del consumidor: nuevos desafíos de cumplimiento de datos que las empresas deben tener en cuenta

Resumen del evento

A principios de 2025, la legislatura del estado de Nueva York volvió a presentar la Ley de Privacidad de la Salud del Consumidor de Nueva York (NYCHPA, por sus siglas en inglés), un nuevo intento tras la no aprobación de un proyecto de ley similar en 2023. El proyecto de ley tiene como objetivo llenar el vacío regulatorio de la Ley federal de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, por sus siglas en inglés), extendiendo la protección de la privacidad a los datos de salud personal procesados por entidades no cubiertas por HIPAA.

Según la ley actual, HIPAA solo cubre a proveedores de servicios de salud, planes de salud y entidades de compensación médica. Sin embargo, cada vez más empresas de tecnología, aplicaciones de fitness, fabricantes de dispositivos portátiles y empleadores recopilan y procesan información sobre la salud del consumidor, datos que actualmente carecen de una protección federal unificada. El proyecto de ley de Nueva York se inspira en la Ley "Mis Datos de Salud, Mi Derecho" (MHMDA, por sus siglas en inglés) aprobada en Washington en 2024, y busca establecer reglas más estrictas.

Análisis técnico y de riesgos

Requisitos centrales del proyecto de ley

• La NYCHPA cubre "datos de salud del consumidor", incluyendo cualquier información sobre la salud física o mental de una persona, o datos no públicos que infieran sobre la salud. El proyecto de ley exige que los controladores de datos:
• Obtengan consentimiento explícito antes de la recopilación;
• Implementen el principio de minimización de datos;
• Proporcionen un mecanismo de eliminación de datos;
• Prohíban la venta no autorizada de datos de salud;
• Ejecuten medidas de seguridad para proteger los datos.

Impacto en las empresas

Entidades afectadas: Cualquier empresa que opere en Nueva York o se dirija a residentes de Nueva York, siempre que recopile o procese datos de salud del consumidor, puede estar sujeta a la ley, independientemente de si la empresa es una entidad conforme a HIPAA. Esto incluye fabricantes de rastreadores de fitness, aplicaciones móviles de salud, planes de salud autoasegurados por empleadores, plataformas de telemedicina, etc.

Riesgos de cumplimiento: Las empresas deben revisar sus prácticas de recopilación de datos. Por ejemplo, plataformas de gestión de beneficios de salud para empleados, aplicaciones de desafíos de salud, e incluso sitios web de comercio electrónico que venden suplementos para la salud podrían estar incluidas. El incumplimiento puede conllevar multas civiles de hasta $10,000 por incidente y derechos de acción privada.

Requisitos de seguridad de datos: El proyecto de ley exige la implementación de "medidas de seguridad razonables", pero no las define explícitamente, lo que podría referirse a la Ley SHIELD de Nueva York o al Marco de Seguridad Cibernética del NIST. Las empresas deben evaluar si sus controles de seguridad de datos actuales cumplen con los requisitos.

Análisis del impacto empresarial

Riesgos operativos Las empresas necesitarán modificar las políticas de privacidad, establecer un mapeo de datos de salud e implementar plataformas de gestión de consentimiento. Para las empresas tecnológicas con grandes volúmenes de datos de salud, la arquitectura de datos podría necesitar ser rediseñada.

Riesgos financieros Los costos de cumplimiento incluyen modificaciones de sistemas, consultoría legal y capacitación del personal. En caso de incumplimiento, las posibles multas y costos de litigio podrían ser significativos.

Riesgos de cumplimiento normativo El proyecto de ley se superpone y entra en conflicto con HIPAA, la CCPA y la ley del estado de Washington. Las empresas que operan en múltiples estados enfrentan presiones de cumplimiento fragmentadas.### Riesgo de marca Las filtraciones o el uso indebido de datos de salud dañarán gravemente la confianza del consumidor. Nueva York, como centro mediático y financiero, permite que las noticias negativas de las empresas se difundan rápidamente.

Observación de tendencias del sector

El avance de la NYCHPA refleja la tendencia de explosión a nivel estatal en la regulación de la privacidad de la salud en EE. UU. Tras Washington, Nevada y Connecticut, la incorporación de Nueva York impulsará los llamados a una legislación federal nacional. Las empresas deben anticipar más regulaciones y establecer marcos de gobernanza de privacidad escalables.

Actualmente, las empresas dependen en general de las exenciones de HIPAA, pero la nueva ley considera los datos de salud como datos sensibles, similares a los datos genéticos y biométricos. Esta tendencia se alinea con la protección especial de los datos de salud en el Reglamento General de Protección de Datos (RGPD) de la Unión Europea.

Recomendaciones de defensa y respuesta

A nivel empresarial - Inventario de datos: Identificar y clasificar de inmediato todas las actividades de procesamiento de datos de salud, incluidos los datos de empleados, clientes y socios. - Evaluación de impacto en la privacidad: Realizar evaluaciones de cumplimiento para los nuevos proyectos de procesamiento de datos de salud. - Medidas técnicas: Implementar controles de acceso, cifrado y gestión del ciclo de vida de los datos.

A nivel de gestión - Crear un equipo de cumplimiento interdepartamental: Coordinar los equipos legal, de seguridad de la información y de producto. - Gestión de proveedores: Revisar los acuerdos de procesamiento de datos de terceros para garantizar el cumplimiento downstream. - Proceso de respuesta a derechos de los usuarios: Mejorar los procedimientos para gestionar las solicitudes de derechos de los titulares (como eliminación y acceso).

Estrategia legal - Seguir la evolución legislativa: La ley aún no se ha aprobado, pero las empresas deben comenzar a simular las brechas de cumplimiento. - Participar en la defensa del sector: Expresar preocupaciones a través de asociaciones industriales para conseguir plazos de transición razonables.

SecurityPost Insight

La Ley de Privacidad de la Salud del Consumidor de Nueva York no es un hecho aislado, sino un síntoma de la expansión de la protección de datos de salud en EE. UU. desde el sistema sanitario a toda la economía. Para los responsables de seguridad empresarial, la lección clave es: los datos de salud ya no son competencia exclusiva del sector sanitario. Cualquier aplicación que recopile frecuencia cardíaca, patrones de sueño, registros de medicación o encuestas de salud podría enfrentarse a una regulación estricta.

Los CISO deben tratar los datos de salud como la categoría más sensible, incluso si actualmente no están sujetos a HIPAA. Establecer una estrategia de seguridad basada en la clasificación de datos, implementar herramientas de gestión dinámica del consentimiento y anticipar los requisitos de cumplimiento multiestatales. Con el fortalecimiento de la aplicación de la ley de datos de salud por parte de la Comisión Federal de Comercio (FTC) y la propagación de leyes estatales, las empresas deben integrar el cumplimiento de la privacidad en el núcleo de la gestión de riesgos de ciberseguridad.

En los próximos 12 meses, se espera que al menos otros cinco estados presenten leyes similares. Invertir ahora en infraestructura de privacidad reutilizable resultará más económico que las remediaciones de emergencia. SecurityPost recomienda que todas las empresas tecnológicas orientadas al consumidor inicien una autoevaluación de cumplimiento de datos de salud, sin esperar a que las multas sean noticia de primera plana.