18 identificadores HIPAA que su herramienta pasa por alto
Actualizado para 2026.
HIPAA lista 18 categorías de identificadores PHI. La mayoría de las herramientas de anonimización detectan quizás seis. Las otras doce se escapan — y cada una es una brecha de cumplimiento.
La regla Safe Harbor
La Regla de Privacidad de HIPAA (45 CFR § 164.514) define el método de des-identificación Safe Harbor. Todas las 18 categorías de identificadores deben eliminarse. Elimínelas todas y los datos están des-identificados por ley. Por eso Safe Harbor es popular: es aprobado o reprobado, sin margen de criterio.
Las 18 categorías son:
- Nombres
- Datos geográficos menores que un estado — dirección, ciudad, condado, código postal
- Fechas excepto el año — nacimiento, ingreso, alta, defunción
- Números de teléfono
- Números de fax
- Direcciones de correo electrónico
- Códigos de seguridad social
- Identificadores de historia clínica (MRN)
- Códigos de beneficiario de plan de salud
- Identificadores de cuenta
- Códigos de certificado y licencia
- Identificadores de vehículo y números de serie
- Identificadores de dispositivo y números de serie
- URL web
- Direcciones IP
- Identificadores biométricos — huellas digitales, huellas de voz
- Fotografías de rostro completo e imágenes similares
- Cualquier otro código o valor de identificación único
La mayoría de las herramientas manejan bien las categorías 1, 4, 6 y 7. Pasan por alto con regularidad las categorías 8, 9, 10, 11, 13 y 18.
La brecha del MRN
Los identificadores de historia clínica están en la categoría 8. Los formatos MRN los define cada hospital. No existe un formato nacional estándar en los EE. UU.
El hospital A usa un entero de 7 dígitos. El hospital B usa "PT-AAAANNNN". El hospital C usa una cadena alfanumérica de 8 caracteres. El hospital D escribe "MRN:" antes de un código de 9 dígitos.
Una herramienta genérica no marcará "PT-2024-8847" como PHI. El documento supera las verificaciones de des-identificación. Pero no está des-identificado. No se activa ninguna alerta. El equipo cree que el trabajo está hecho. No lo está.
Este es el peor tipo de brecha: una silenciosa.
Tres formas de cerrarla
Codifíquela en Presidio. Esto requiere conocimientos de Python y mantenimiento continuo. Funciona pero cuesta tiempo.
Agregue revisión manual. Una persona revisa cada documento en busca de MRN. Esto no escala.
Use creación de entidades personalizadas asistida por IA. No se necesita código. El equipo proporciona valores de muestra. La IA construye el patrón.
Así funciona: un equipo proporciona cinco valores MRN de muestra: SVHS-0012345, SVHS-0987654, SVHS-1122334, SVHS-4455667, SVHS-8899001. La IA devuelve SVHS-\d{7} y lo verifica con las muestras. El equipo lo guarda en su preset HIPAA. Todas las sesiones futuras detectan el formato. El mismo enfoque funciona para códigos de beneficiario y códigos de serie de dispositivos.
Vea cómo funcionan los presets en la guía de detección MRN de HIPAA. Aprenda sobre el flujo de trabajo de patrones de IA.
El supuesto oculto
Muchos equipos prueban con un documento de muestra que tiene un nombre y un número de teléfono. La herramienta pasa. Asumen cobertura completa. Pero las muestras rara vez incluyen identificadores específicos de la institución. Los MRN y los códigos de beneficiario parecen cadenas aleatorias para una herramienta genérica. Pasan sin ser marcados.
Una auditoría Safe Harbor real asigna las 18 categorías a un método de detección. Para la categoría 8, verifique con muestras MRN reales de su propio hospital. No asuma que la herramienta conoce su formato.
Consulte el marco completo en nuestra descripción general de cumplimiento HIPAA.
Conclusión
Safe Harbor requiere eliminar las 18 categorías de identificadores. Las herramientas genéricas cubren muchas menos. Las brechas — MRN, códigos de beneficiario, códigos de serie de dispositivos — no tienen formato estándar, por lo que las herramientas genéricas las omiten. Las entidades personalizadas asistidas por IA cierran la brecha sin código ni revisión manual.
Fuentes
- HHS: HIPAA Safe Harbor, 45 CFR § 164.514 — hhs.gov. VERIFIED.
- Shaip: Tipos de identificadores PHI en des-identificación de salud — shaip.com. VERIFIED-EXTERNAL.
- HHS OCR: Guía de des-identificación actualizada en 2024 — hhs.gov. VERIFIED.