¿Cumplirá Gmail con la HIPAA en 2026?

El correo electrónico es el punto más vulnerable de la tecnología de la información en el sector sanitario, y el más ignorado. El phishing y los ataques basados en el correo electrónico siguen estando entre los principales vectores de acceso inicial en las filtraciones de datos del sector sanitario. De media, una filtración en el sector sanitario cuesta la friolera de 9,77 millones de dólares. 

Para poner freno a esta amenaza, se han puesto en marcha normativas muy estrictas. Por ejemplo, si se descubre que su organización ha gestionado de forma inadecuada información médica protegida (PHI) a través del correo electrónico, las multas de la HIPAA oscilan entre 100 000 a 1,5 millones de dólares por categoría de infracción al año.

Para muchos profesionales sanitarios y sus equipos de TI, Gmail ya es la opción predeterminada. Es un servicio con el que están familiarizados, que cuenta con una amplia compatibilidad y que está profundamente integrado en las operaciones diarias. La pregunta lógica es: ¿se puede seguir utilizando sin poner a la organización en riesgo legal y financiero?

Esta guía responde a la pregunta «¿Cumple Gmail con la HIPAA?». En ella se tratan los siguientes temas:

• Requisitos de la HIPAA para el correo electrónico,
• ¿Qué planes de Gmail cumplen los requisitos?
• Cuatro requisitos que debe cumplir tu configuración, y
• Pasos para que tu cuenta de Gmail cumpla con la HIPAA.
  

Empecemos por la primera pregunta:

¿Cumple Gmail con la normativa HIPAA?

Respuesta rápida: La mayoría de las versiones de Gmail no cumplen con la HIPAA. A continuación, te ofrecemos un resumen sencillo por plan:

Las cuentas de Gmail para particulares y las cuentas de Gmail gratuitas (no «Gmail gratuito») no cumplen los requisitos de la HIPAA. Solo una suscripción de pago a Google Workspace (concretamente, el plan Enterprise) puede configurarse para cumplir con la HIPAA.

Google no ofrece un Acuerdo de socio comercial (BAA) para los planes Gmail gratuito, Business Standard o Business Plus, por lo que estos no cumplen los requisitos. Cualquier organización sanitaria u otras entidades cubiertas que gestionen información médica protegida (PHI) a través de un plan que no sea Enterprise opera fuera del cumplimiento normativo.

Las entidades sujetas a la normativa y sus socios comerciales deben asegurarse de que todos los servicios de Google Workspace utilizados para el tratamiento de información médica protegida (PHI) estén incluidos en el acuerdo de cuentaable (BAA). Esto significa que solo una suscripción de pago a Google Workspace puede configurarse para cumplir con los requisitos de la HIPAA.

Sin embargo, el simple hecho de pasar al plan Enterprise Workspace no basta para que Gmail cumpla con la HIPAA. Para que Gmail cumpla con la HIPAA, es necesario que se cumplan las cuatro condiciones siguientes:

• Tu organización debe tener el plan Enterprise de Google Workspace.
  
• Debes haber firmado un Acuerdo de socio comercial (BAA) con Google.
  
• Tu equipo de TI debe configurar los controles de seguridad necesarios en la consola de administración.
  
• Debe aplicar las políticas de correo electrónico de la organización a todos los usuarios de su dominio.

Cada una de estas condiciones tiene el mismo peso, y el incumplimiento de tan solo una de ellas expone a su organización a posibles infracciones. En los apartados siguientes se analizan en detalle cada una de las condiciones, indicando lo que ofrece Google de forma predeterminada, lo que requiere una configuración manual y en qué casos pueden ser necesarias medidas de seguridad adicionales.

Lo que la HIPAA exige realmente en relación con el correo electrónico

La HIPAA (Ley de Portabilidad y Responsabilidad del Seguro Médico) establece las normas legales que rigen la forma en que las organizaciones deben gestionar la información sanitaria protegida. En lo que respecta al correo electrónico, se aplican siete requisitos específicos:

• Cifrado en tránsito: Todos los correos electrónicos que contengan información médica protegida (PHI) deben cifrarse mediante Protocolo de seguridad de la capa de transporte (TLS) mientras se transmiten entre servidores de correo. Esto protege los datos contra la interceptación durante el envío. TLS cifra la conexión entre servidores, pero no garantiza el cifrado de extremo a extremo del contenido del mensaje en sí.
• Cifrado en reposo: La información médica protegida (PHI) almacenada en bandejas de entrada, archivos o servidores debe cifrarse para que personas no autorizadas no puedan leerla en caso de que el almacenamiento se vea comprometido. Este es un requisito independiente del cifrado en tránsito y se aplica incluso cuando no se están enviando ni recibiendo correos electrónicos de forma activa.
• Controles de acceso: Solo el personal autorizado debe poder acceder a la información médica protegida (PHI). Esto implica implementar permisos basados en funciones, en lugar de buzones compartidos de acceso libre. El acceso debe concederse según la necesidad de conocer la información y revocarse de inmediato cuando un empleado cambie de función o abandone la organización.
• Registros de auditoría: Su sistema debe registrar quién accedió a qué información, cuándo y desde dónde. Estos registros deben conservarse y estar disponibles para su revisión durante las auditorías o las investigaciones de infracciones. Las deficiencias en el registro son un hallazgo habitual en las medidas coercitivas de la OCR.
• Integridad de los datos: La información médica protegida (PHI) no debe modificarse ni destruirse sin autorización. El sistema debe ofrecer protecciones contra la manipulación accidental o maliciosa. Esto incluye controles de versión, restricciones de acceso y sumas de comprobación cuando sea apropiado.
• Acuerdo de socio comercial (BAA): Cualquier proveedor que gestione información médica protegida (PHI) en su nombre, incluido su proveedor de correo electrónico, debe firmar un acuerdo formal en el que acepte las obligaciones de la HIPAA. Esto hace que su proveedor sea legalmente responsable de cómo procesa, almacena y protege sus datos.
• Notificación de violaciones de seguridad: Si se produce una exposición de la información médica protegida (PHI), debe notificarlo a los pacientes afectados y al Departamento de Salud y Servicios Humanos (HHS) en un plazo de 60 días desde el descubrimiento de la violación. La notificación contractual que le envía su proveedor de correo electrónico no cumple este requisito en su nombre.

A continuación se muestra cómo se ajusta Google Workspace Enterprise a cada requisito:

Las cuatro condiciones de Gmail para el cumplimiento de la HIPAA

Google ha creado la infraestructura necesaria para dar respuesta a estos requisitos dentro de Workspace Enterprise. Sin embargo, para garantizar el cumplimiento normativo, su organización debe cumplir cuatro condiciones distintas relacionadas con el nivel de su plan, los acuerdos legales, la configuración técnica y las políticas internas.

Condición 1: Debes estar en Google Workspace Enterprise

Tal y como se indica en la comparación de planes anterior, Google Workspace Enterprise es el único nivel que cumple los requisitos para un acuerdo de negocios (BAA). Ningún otro plan, independientemente de su precio o conjunto de funciones, cumple los requisitos para un uso conforme a la HIPAA. Google Workspace Enterprise no tiene un precio de catálogo publicado, por lo que su organización deberá negociar el precio directamente con el departamento de ventas de Google Cloud en función del número de usuarios y de los requisitos.

Condición 2: Debe firmar un acuerdo de colaboración comercial

Un BAA (Acuerdo de Colaboración Empresarial) es un contrato legalmente vinculante que define cómo gestiona su proveedor de correo electrónico la información médica protegida (PHI) y qué ocurre en caso de una violación de la seguridad. Sin él, su proveedor de correo electrónico no es legalmente responsable en virtud de la HIPAA, y tampoco lo es su marco de cumplimiento.

El BAA va más allá de una simple aceptación de responsabilidad. En él se especifica cómo Google utilizará y divulgará la información médica protegida (PHI) en su nombre, qué medidas de seguridad aplica Google, las obligaciones de Google de notificarle cualquier violación o incidente de seguridad, las restricciones aplicables a los subcontratistas que puedan tratar sus datos y las condiciones en las que se puede rescindir el acuerdo. Revisar estos términos detenidamente con su asesor jurídico es fundamental, no una mera formalidad.

Para formalizar un acuerdo de procesamiento de datos (BAA) con Google, ponte en contacto directamente con el departamento de ventas de Google Cloud, solicita la plantilla del BAA, revísala con tu equipo jurídico y fírmala. Ten en cuenta que este proceso puede tardar entre 2 y 4 semanas. Una vez firmado, guarda una copia firmada en tus registros de cumplimiento, junto con la documentación que acredite la fecha de inicio de la cobertura.

Condición 3: Debes configurar correctamente los controles de seguridad

La actualización a Enterprise y la firma del BAA sientan las bases legales y estructurales, pero el cumplimiento normativo no se activa por sí solo. Tu equipo de TI debe habilitar y aplicar manualmente los siguientes controles en la Consola de administración de Google:

• Activa la autenticación de dos factores (2FA) para todas las cuentas
  
• Aplicar políticas de contraseñas seguras en toda la organización
  
• Habilite el registro de auditoría para realizar un seguimiento del acceso y la actividad
  
• Configure reglas de prevención de pérdida de datos (DLP) para evitar que la información médica protegida salga de su entorno
  
• Limita el intercambio de archivos para evitar el acceso externo no autorizado
  
• Desactivar el reenvío a cuentas de correo electrónico externas

Ninguna de estas opciones está activada de forma predeterminada, y si falta tan solo una, se crea una laguna que los auditores y las autoridades competentes señalarán.

Condición 4: Debes aplicar las políticas de la organización

La configuración técnica solo cubre la mitad de los requisitos de cumplimiento. La HIPAA también exige medidas de seguridad administrativas documentadas que regulen la forma en que su equipo gestiona la información médica protegida (PHI) en el día a día. Su organización debe contar con las siguientes políticas:

• Documentar por escrito los procedimientos de gestión de datos
  
• Impartir formación a todo el personal sobre los requisitos de la HIPAA y el uso adecuado del correo electrónico, con formación continua para prevenir los errores humanos: una causa habitual de incumplimientos de la HIPAA, como los correos electrónicos enviados a destinatarios equivocados o las deficiencias en el cifrado
  
• Implemente controles de acceso basados en funciones para que los empleados solo puedan acceder a la información médica protegida (PHI) relevante para sus funciones laborales
  
• Supervise continuamente cualquier actividad sospechosa y los errores humanos
  
• Establezca un procedimiento documentado de respuesta ante infracciones antes de que se produzca un incidente

Sin estas políticas, incluso un entorno de Gmail perfectamente configurado no cumple los requisitos de medidas de seguridad administrativas de la HIPAA en caso de una auditoría o una revisión de cumplimiento.

Lo que aún le falta a Gmail, incluso con un acuerdo de confidencialidad (BAA) firmado

El cumplimiento de las cuatro condiciones sitúa a Google Workspace Enterprise en un nivel básico de cumplimiento de la HIPAA, pero siguen existiendo diferencias notables en comparación con las plataformas de correo electrónico diseñadas específicamente para la HIPAA. Su organización debe tener en cuenta las siguientes limitaciones antes de optar por Gmail como su principal canal de comunicación de PHI:

• Sin cifrado de extremo a extremo: Gmail cifra los datos en tránsito y en reposo, pero no ofrece un verdadero cifrado de extremo a extremo en el que solo el remitente y el destinatario puedan leer el contenido del mensaje.
  
• No hay cifrado automático: El cifrado de los mensajes salientes requiere una configuración manual, en lugar de aplicarse de forma predeterminada a todos los correos electrónicos que contengan información médica protegida (PHI).
  
• Sin portal para destinatarios: Los destinatarios externos no tienen forma de recuperar la información médica protegida (PHI) a través de un portal seguro y protegido con contraseña, tal y como ofrecen las plataformas específicas de la HIPAA.
  
• Registros de auditoría limitados: Los registros están disponibles, pero carecen de la granularidad y la profundidad que ofrecen las plataformas de cumplimiento diseñadas específicamente para la investigación y la elaboración de informes.
  
• Informes de cumplimiento generados manualmente: Gmail no genera informes de cumplimiento de la HIPAA de forma automática, por lo que su equipo debe recopilar la documentación manualmente.
  
• Solo detección básica de amenazas: El filtro integrado de Gmail no está diseñado para proporcionar inteligencia sobre amenazas de nivel sanitario y puede pasar por alto intentos de phishing sofisticados y dirigidos.
  
• Carece de funciones completas para una comunicación segura por correo electrónico: Gmail no ofrece todas las funciones necesarias para una comunicación segura por correo electrónico, como la supervisión avanzada, los controles de acceso y las herramientas de cumplimiento normativo que ofrecen las soluciones de correo electrónico específicas para la HIPAA con el fin de proteger información confidencial como la ePHI.

Cómo hacer que Gmail cumpla con la HIPAA

Si su organización ha decidido que Gmail es la plataforma adecuada, siga estos seis pasos para implementar correctamente las medidas de cumplimiento normativo. Prevea entre 6 y 8 semanas y entre 40 y 60 horas para la configuración y la formación.

Paso 1: Evalúa tu configuración actual (Semana 1)

Antes de realizar cualquier cambio, averigüe qué es lo que tiene. Realice una auditoría del uso de Gmail en toda su organización: identifique qué cuentas gestionan información médica protegida (PHI) y cuáles no. 

Preste especial atención a las bandejas de entrada compartidas a las que acceden varios miembros del personal, a las reglas de reenvío automático que puedan estar enviando datos de pacientes a cuentas externas, a las aplicaciones de terceros conectadas a Gmail que puedan estar procesando información médica protegida sin autorización, y a cualquier flujo de trabajo heredado que utilice el correo electrónico sin cifrar para las comunicaciones clínicas. 

Documente los controles de seguridad que ya tiene implantados y compare cada deficiencia con los siete requisitos de la HIPAA mencionados anteriormente. Esta auditoría pasará a formar parte de su historial de cumplimiento.

Paso 2: Actualización a Google Workspace Enterprise (Semanas 1-2)

Póngase en contacto con el equipo de ventas de Google Cloud para iniciar la actualización a Enterprise. Durante este proceso, puede solicitar asistencia al equipo técnico de Google, que le ayudará a garantizar que Gmail cumpla los requisitos de conformidad con la HIPAA y le orientará sobre las funciones de seguridad necesarias durante la transición. Aproveche esta conversación para negociar los precios en función de su número de usuarios y para iniciar simultáneamente la solicitud del BAA. Asegúrese de aclarar qué servicios de Google están cubiertos por el BAA, ya que no todos los servicios de Workspace se incluyen automáticamente. Solicite una confirmación por escrito antes de proceder con cualquier migración de PHI.

Paso 3: Firmar el acuerdo de divulgación de información (semanas 2 a 4)

Solicite la plantilla del acuerdo de servicios (BAA) al departamento de ventas de Google Cloud. Revísela detenidamente con su asesor jurídico, prestando especial atención a los plazos de notificación de infracciones, las obligaciones de Google en relación con los subcontratistas y los encargados del tratamiento externos, las cláusulas de responsabilidad, el alcance de los servicios cubiertos y lo que se considera un incidente de seguridad notificable en virtud del acuerdo. 

Busque cualquier excepción que excluya determinadas funciones de Workspace de la cobertura del acuerdo de confidencialidad (BAA), ya que estas podrían generar lagunas en su cumplimiento normativo. Una vez aprobado, firme el acuerdo y guarde una copia firmada en sus registros de cumplimiento.

Paso 4: Configurar los controles de seguridad (semanas 4-5)

Revisa cada medida de control técnico de forma sistemática. Activa la obligación de utilizar la autenticación de dos factores (2FA) y considera la posibilidad de exigir el uso de llaves de seguridad físicas para las cuentas con mayor exposición a información médica protegida (PHI). Establece requisitos mínimos de complejidad de contraseñas que se ajusten a las directrices del NIST. 

Active el registro de auditoría y compruebe que el periodo de conservación sea suficiente para las necesidades de su organización. Cree reglas de DLP que detecten patrones habituales de información médica protegida (PHI), como números de la Seguridad Social e identificadores de historiales médicos, y pruébelas con datos de muestra antes de ponerlas en producción. 

Restrinja la configuración de uso compartido de archivos externos y desactive el reenvío no autorizado de correos electrónicos a nivel de dominio. Cada medida de control debe someterse a prueba tras su activación para confirmar que funciona según lo previsto.

Paso 5: Aplicar las políticas de la organización (semanas 5 y 6)

Redacte y publique sus procedimientos escritos de gestión de datos, especificando el uso aceptable de Gmail para la información médica protegida (PHI), las prácticas de cifrado obligatorias y las acciones prohibidas, como el reenvío de datos de pacientes a cuentas personales. 

Imparte formación sobre la HIPAA a todo el personal que utilice el correo electrónico y documenta la asistencia y la finalización del curso. Configura controles de acceso basados en roles en la Consola de administración de Google, asegurándote de que cada empleado solo pueda acceder a la información médica protegida (PHI) relevante para sus funciones laborales. 

Realice un simulacro de incidente de seguridad (un ejercicio teórico) para poner a prueba su procedimiento de respuesta e identificar las deficiencias antes de que se produzca un incidente real.

Paso 6: Implementación y supervisión (en curso)

El cumplimiento de la HIPAA no es algo que se haga una sola vez. Revise periódicamente los registros de auditoría y configure alertas para detectar actividades sospechosas, como descargas de gran volumen, intentos de inicio de sesión desde ubicaciones geográficas inusuales o incumplimientos de las reglas de prevención de pérdida de datos (DLP). 

Realice revisiones periódicas de seguridad para detectar desviaciones en la configuración. Revise sus ajustes cada vez que Google publique actualizaciones de Workspace que puedan afectar a los controles de seguridad. Programe cursos de actualización anuales sobre la HIPAA y la cumplimentación de la documentación. 

Mantener un inventario actualizado de todos los sistemas, cuentas e integraciones de terceros que manejen información médica protegida (PHI).

Plazo total de implementación: entre 6 y 8 semanas.

Antes de comprometerse con este calendario de implementación, conviene analizar cómo se compara Gmail con las plataformas de correo electrónico diseñadas específicamente para cumplir con la HIPAA.

Gmail frente a soluciones de correo electrónico dedicadas que cumplen con la HIPAA

Gmail no es la única opción para el correo electrónico conforme a la HIPAA. Las plataformas de correo electrónico diseñadas específicamente para cumplir con la HIPAA ofrecen una relación calidad-precio diferente. A continuación, se muestra una comparación directa:

El principal argumento a favor de Gmail es la familiaridad. Si tu personal ya utiliza Gmail y tu equipo de TI se siente cómodo con la administración de Google Workspace, el coste de transición que supone cambiar de plataforma es considerable. Sin embargo, hay que tener en cuenta que Gmail Enterprise tiene un coste de 30 dólares o más por usuario al mes una vez que se tienen en cuenta los costes totales de implementación, lo que a menudo resulta más caro que las soluciones específicas que ofrecen más funciones de cumplimiento normativo desde el primer momento.

Si su organización maneja grandes volúmenes de información médica protegida (PHI) o opera en un ámbito de especialidad de alto riesgo, las deficiencias en las capacidades de cifrado y auditoría de Gmail deben tenerse muy en cuenta a la hora de tomar una decisión.

Sea cual sea la plataforma que elijas, hay un nivel de seguridad que ni Gmail ni una solución de correo electrónico específica para la HIPAA ofrecen por sí solos.

El papel de PowerDMARC en la seguridad del correo electrónico en el sector sanitario

Existe una laguna crítica que ni el acuerdo de servicios de Gmail (BAA) ni tu configuración de seguridad interna abordan: la suplantación de dominio.

Ni siquiera una configuración perfecta de Gmail Enterprise impide que un atacante envíe correos electrónicos que parezcan proceder de su dominio, suplantando la identidad de sus médicos, su departamento de facturación o su equipo directivo para dirigirse a pacientes, socios o personal. No se trata de un riesgo teórico. Los ataques de phishing que suplantan dominios del sector sanitario constituyen una de las principales vías de acceso a las filtraciones que generan esos costes medios de 9,77 millones de dólares.

DMARC (Autenticación, notificación y conformidad de mensajes basados en dominio) es el protocolo de autenticación de correo electrónico que cubre esta laguna. Funciona junto con SPF (Sender Policy Framework) y DKIM (DomainKeys Identified Mail) para verificar que los correos electrónicos que afirman provenir de tu dominio realmente se originan en tus servidores de correo autorizados, y para indicar a los servidores de correo receptores que rechacen o pongan en cuarentena los mensajes que no superen esa comprobación. Configurar la política política DMARC es el mecanismo que hace que su dominio pase de ser vulnerable a estar protegido.

PowerDMARC ofrece a su organización sanitaria una solución gestionada de autenticación de correo electrónico de nivel empresarial, diseñada específicamente para complementar su plataforma de correo electrónico actual, incluido Gmail:

• Supervisión y aplicación de DMARC: Pase de una política permisiva de «ninguna» a una aplicación activa de cuarentena o rechazo sin interrumpir el flujo de correo legítimo.
• Configuración y validación de SPF y DKIM: Asegúrese de que todas las fuentes de envío estén correctamente autenticadas.
• BIMI (Indicadores de marca para la identificación de mensajes): Muestra el logotipo de tu organización en las bandejas de entrada de los pacientes, lo que genera confianza y reduce la eficacia de los correos electrónicos falsos que se hacen pasar por los auténticos.
• Informes de cumplimiento: Genere automáticamente informes que cumplan con los requisitos de HIPAA, PCI-DSS y SOC 2.
• Información sobre amenazas: Identifica en tiempo real a los remitentes no autorizados que hacen un uso indebido de tu dominio.
• Gestión multidominio: Gestiona la autenticación en todos los dominios de tu consulta desde un único panel de control.

El impacto en las organizaciones sanitarias es directo:

• Evita los ataques de phishing dirigidos a los pacientes que utilizan la identidad de su dominio
• Reduce el riesgo de violaciones de seguridad derivadas de la suplantación de dominios, un vector que la BAA por sí sola no puede abordar
• Aumenta la confianza de los pacientes gracias a la autenticación visible de la marca (logotipo BIMI en la bandeja de entrada)
• Le ayuda a mantener el cumplimiento de la HIPAA mediante la generación automática de informes
• Ofrece una protección eficaz por 8 $ al mes por usuario, una cantidad muy inferior al coste de una sola filtración

Qué podemos esperar de la seguridad del correo electrónico en 2026

El marco normativo y las amenazas que rodean al correo electrónico en el sector sanitario se están endureciendo. Esto es lo que su organización debe tener en cuenta de cara a 2026:

• Una aplicación más estricta de la HIPAA: El HHS ha anunciado un aumento de las auditorías y unos umbrales de sanciones más elevados. Las deficiencias de cumplimiento que antes se pasaban por alto son ahora objeto de medidas coercitivas.
• Detección de amenazas basada en IA: Los autores de amenazas están utilizando la IA para crear correos electrónicos de phishing más convincentes; los defensores necesitan una detección basada en IA para mantenerse al día. El filtrado básico ya no es suficiente.
• Endurecimiento de los requisitos de notificación de violaciones de seguridad: Es probable que los plazos de notificación se reduzcan aún más, lo que aumentará la presión operativa sobre las organizaciones que no cuenten con sistemas automatizados de detección y respuesta ante violaciones de seguridad.
• La autenticación multifactorial se convierte en obligatoria: La autenticación multifactorial (MFA) ya es una práctica recomendada por la HIPAA; es de esperar que se convierta en un requisito explícito a medida que los reguladores respondan al volumen de violaciones de seguridad basadas en credenciales.
• La autenticación del correo electrónico se está convirtiendo en la norma: DMARC, SPF y DKIM están pasando de ser buenas prácticas a convertirse en un requisito básico. Tanto los organismos reguladores como los grandes proveedores de correo electrónico están impulsando su adopción universal, ya que la suplantación de dominios es una amenaza real y activa para las organizaciones sanitarias, y la aplicación de DMARC es el mecanismo que la detiene.

Preguntas frecuentes

¿Cumple Gmail con la normativa HIPAA? 

No exactamente. La versión gratuita de Gmail no se considera compatible con la HIPAA. Solo Google Workspace Enterprise puede cumplir con la HIPAA, y únicamente si se cumplen las cuatro condiciones descritas en esta guía.

¿Cuánto cuesta que Gmail cumpla con la HIPAA? 

Google Workspace Enterprise aplica tarifas personalizadas negociadas con el departamento de ventas de Google Cloud. El acuerdo de socios de negocios (BAA) en sí es gratuito. La configuración y la formación requieren entre 40 y 60 horas de trabajo del personal interno, a lo que hay que añadir los posibles costes de asesoramiento jurídico externo para revisar el BAA. Los costes totales, todo incluido, suelen superar los 30 dólares al mes por usuario.

¿Puedo usar Gmail sin un acuerdo de responsabilidad (BAA)? 

No. Si maneja información médica protegida (PHI), debe tener un acuerdo de confidencialidad (BAA) firmado con su proveedor de correo electrónico. Operar sin él constituye una infracción directa de la HIPAA, independientemente de lo segura que sea su configuración técnica.

¿Qué pasaría si se produjera una filtración en Gmail? 

Aunque su configuración haga que Gmail cumpla con la HIPAA, Google está obligado por contrato a notificárselo según los términos del BAA. No obstante, usted es responsable de notificar a los pacientes afectados y de comunicar la violación de datos al Departamento de Salud y Servicios Humanos en un plazo de 60 días desde su detección.

¿Es Gmail mejor que un servicio de correo electrónico específico para la HIPAA? 

Gmail resulta más familiar, pero requiere una configuración mucho más compleja para cumplir con la normativa y sigue presentando carencias en cuanto al cifrado de extremo a extremo y la profundidad de las auditorías. El correo electrónico específico para la HIPAA es más sencillo de configurar para cumplir con la normativa, pero supone que su personal tenga que familiarizarse con una nueva interfaz. La elección adecuada depende de los flujos de trabajo existentes en su organización y de su tolerancia al riesgo en materia de cumplimiento normativo.

¿Cuál es la diferencia entre el cifrado en tránsito y el cifrado en reposo? 

El cifrado en tránsito significa que los correos electrónicos se cifran mientras se transmiten entre servidores de correo, lo que los protege contra posibles interceptaciones durante el envío. El cifrado en reposo significa que los correos electrónicos se cifran mientras están almacenados en los servidores, lo que los protege contra el acceso no autorizado en caso de que los sistemas de almacenamiento se vean comprometidos. La HIPAA exige ambos.

• Acerca de
• Últimas publicaciones

Ahona Rudra

Experto en seguridad de dominios y correo electrónico de PowerDMARC

Ahona es la Directora de Marketing de PowerDMARC, con más de 5 años de experiencia escribiendo sobre temas de ciberseguridad, especializada en seguridad de dominios y correo electrónico. Ahona tiene un posgrado en Periodismo y Comunicaciones, consolidando su carrera en el sector de la seguridad desde 2019.

Últimas publicaciones de Ahona Rudra (ver todas)

• Caso práctico de DMARC para MSP: Cómo Digital Infinity IT Group optimizó la gestión de DMARC y DKIM para sus clientes con PowerDMARC - 21 de abril de 2026
• ¿Qué es DANE? Explicación de la autenticación de entidades con nombre basada en el DNS (2026) - 20 de abril de 2026
• Introducción a la seguridad de las VPN: prácticas recomendadas para proteger tu privacidad - 14 de abril de 2026