¿Google Forms cumple con HIPAA?
Antes de que el primer paciente llene tu formulario de Google Forms, necesitas saber si puede guardar sus datos de salud. Por defecto, no puede. Google Forms solo puede recopilar PHI con un plan Business o Enterprise de Google Workspace y un Business Associate Agreement (BAA) firmado con Google. La versión gratuita para consumidores no se puede usar para PHI en absoluto. Incluso con un BAA, eres responsable de los controles de acceso y de mantener la PHI fuera de cualquier uso compartido público y varias de las protecciones consisten en desactivar funciones. Formesign le da al mismo formulario un espacio de trabajo que cumple con HIPAA, respaldado por su propio BAA.
Este artículo cubre primero lo que exige Google. Para empezar en Formesign ahora, crea tu formulario. El método 2, cerca del final, muestra los pasos.
Cumplimiento de HIPAA: producto + proceso
El cumplimiento de HIPAA depende del producto (Google Forms) y también de cómo se usa ese producto (tú):
- Producto: la versión de Google Forms que uses debe tener funciones de seguridad y privacidad como el cifrado de datos en tránsito y en reposo, registros de auditoría, controles de acceso y permisos para compartir, las medidas necesarias para proteger la PHI.
- Proceso: debes definir el propósito del formulario e identificar y limitar la PHI que se debe recopilar en él. También debes definir cómo se maneja la PHI recopilada, quién tiene acceso a ella y reportar cualquier filtración de datos.
Además, debes capacitar a tus compañeros que manejan PHI sobre las normas de HIPAA y cómo usar el producto para garantizar el cumplimiento de HIPAA.
¿Cómo hacer que Google Forms cumpla con HIPAA?
Paso 1: Cambia a un plan de Google Workspace apto para HIPAA
Los formularios de Google Forms creados con una cuenta personal (@gmail.com) no pueden cumplir con HIPAA, porque Google no ofrece un BAA para cuentas personales. Puedes cambiar a un plan pago de Google Workspace que admita el cumplimiento de HIPAA, como Business Starter, Business Standard, Business Plus o cualquier plan Enterprise. Las ediciones gratuitas e individuales no califican.
Paso 2: Firma el Business Associate Agreement (BAA) de Google
Si tienes una suscripción a Google Workspace, firma el Business Associate Addendum con Google y configura el control de acceso de tus cuentas para cumplir los requisitos de HIPAA. Para revisar y aceptar el BAA,
- Inicia sesión en la consola del administrador con la cuenta de administrador de tu Google Workspace
- En la consola del administrador, haz clic en el ícono de menú > haz clic en Account > haz clic en Account settings
- En la página Account settings, haz clic en Legal and Compliance > haz clic en Security and Privacy Additional Terms
- Haz clic en Google Workspace/Cloud Identity HIPAA Business Associate Amendment para revisar la enmienda
- Haz clic en Review and Accept > responde las tres preguntas para confirmar que eres una entidad cubierta por HIPAA (covered entity) o un socio comercial (Business associate) de la entidad cubierta
- Para aceptar el BAA de HIPAA, haz clic en OK .
Paso 3: configura tus formularios para la Regla de Privacidad de HIPAA
La Regla de Privacidad de HIPAA define los usos y divulgaciones permitidos de la información de salud protegida (PHI). Cuando uses Google Forms para recopilar PHI, sigue estos pasos:
- Limita la recopilación de PHI. Debes configurar tus Google Forms para recopilar solo la PHI mínima necesaria. Evita pedir información sensible a menos que sea necesaria para el propósito específico del formulario.
- Define reglas de retención y eliminación de datos. Si debes recopilar datos sensibles de pacientes, establece políticas y procedimientos claros de retención para la PHI recopilada. Asegúrate de que los datos se eliminen de forma permanente de Google Forms y de las hojas de Google Sheets vinculadas cuando ya no se necesiten.
- Entrega un aviso de prácticas de privacidad. Entrega un aviso que informe a las personas sobre sus derechos de privacidad y cómo pueden ejercerlos, además de cómo se puede usar y divulgar su información médica. Puedes crear una sección con este aviso en Google Forms o publicarlo en tu sitio web y agregar el enlace en los Google Forms que uses para recopilar PHI.
- Obtén el consentimiento & la autorización. Configura tus Google Forms para obtener el consentimiento para el uso y la divulgación de PHI con fines de tratamiento, pago y operaciones de atención médica.
Paso 4: configura tus formularios para la Regla de Seguridad de HIPAA
La Regla de Seguridad de HIPAA define las medidas de protección administrativas, físicas y técnicas para proteger la PHI. Cuando uses Google Forms para recopilar PHI, sigue estos pasos:
- Usa inicios de sesión individuales y MFA. Implementa autenticación de usuarios y controles de acceso para evitar que personas no autorizadas accedan a la PHI. Exige que cada miembro del equipo inicie sesión con su propia cuenta y active la verificación en dos pasos. Nunca uses un inicio de sesión compartido. Si no, el acceso al sistema y la actividad no se podrán rastrear por usuario.
- Implementa controles de acceso. Comparte tus Google Forms y las hojas de Google Sheets vinculadas solo con las personas autorizadas para restringir el acceso a la PHI recopilada. A diferencia de Google Forms, Google Sheets ofrece controles de acceso detallados. Configura una autenticación adecuada, niveles de permisos y restricciones de acceso para proteger la confidencialidad de los datos usando Google Sheets para compartir datos con tu equipo.
- Mantén la PHI fuera de títulos y nombres de archivo. Nunca pongas información de pacientes en el título del formulario ni en el nombre de la hoja vinculada, porque son fáciles de exponer por accidente.
- Desactiva los recibos de respuesta. La Regla de Seguridad no prohíbe expresamente el uso del correo para enviar e-PHI, pero recomienda implementar políticas y procedimientos para restringir el acceso. Como la función de recibos de respuesta de Google Forms no permite personalizar el contenido, solo debes activar esta opción si es absolutamente necesaria.
- Nunca rellenes previamente PHI. Google Forms permite rellenar previamente respuestas pasando valores mediante parámetros de URL. No debes usar esta función para rellenar previamente PHI, porque quedaría expuesta.
Paso 5: capacita a tu personal
El cumplimiento es continuo, no una configuración de una sola vez. Capacita a todas las personas que manejan PHI en las reglas de HIPAA y en el uso correcto de estos formularios: definir los permisos y la visibilidad adecuados, mantener la PHI fuera de los títulos y de los enlaces prellenados y saber cómo reportar una sospecha de filtración. Actualiza esa capacitación periódicamente.
Brechas que quedan incluso con un BAA firmado
Firmaste el BAA, configuraste tus formularios para las reglas de Privacidad y Seguridad y capacitaste a tu personal. Aun así, la mayoría de esas medidas son soluciones improvisadas. Renuncias a funciones en lugar de protegerlas. El problema con estas restricciones es que limitan las funciones que puedes usar y empeoran la experiencia del paciente. Quedan varias brechas que Google Forms no puede cerrar por sí solo:
- Funciones perdidas, no funciones protegidas. Desactivar los recibos y evitar el rellenado previo protege la PHI eliminando funciones útiles. No hay una forma nativa de enviar una respuesta por correo o rellenar previamente los datos de un paciente conocido sin exponer PHI.
- Sin permisos por campo. El acceso es todo o nada: cualquiera con acceso de edición al formulario o a su hoja vinculada ve todas las respuestas, así que es difícil cumplir el estándar de "mínimo necesario".
- Sin firma electrónica ni registro de consentimiento. No hay una forma integrada de recopilar un acuse firmado de las prácticas de privacidad o una autorización de uso y divulgación.
- Sin versiones ni PDF para el paciente. No hay registro de auditoría de las respuestas editadas ni una copia en PDF de lo que se envió para el paciente.
- Los complementos quedan fuera del BAA de Google. El BAA de Google no cubre los complementos del Marketplace, así que cualquier complemento que maneje PHI debe ofrecer su propio BAA a tu organización.
Flujos clínicos que Google Forms no puede manejar
Más allá del cumplimiento, estas situaciones aparecen todo el tiempo en el sector salud y no tienen una solución nativa en Google Forms:
La carga de archivos obliga a los pacientes a iniciar sesión. La pregunta de carga de archivos de Google Forms exige que la persona que responde inicie sesión con una cuenta de Google, así que recopilar una tarjeta de seguro, una receta o una identificación con foto significa que cada paciente necesita una cuenta de Google, que muchos no tienen o no quieren usar.
Las autorizaciones no se pueden limitar por paciente. Una autorización o liberación suele ser válida para una persona específica y un período determinado, pero Forms no puede limitar un formulario de esa forma. El personal termina copiando el formulario para cada paciente y poniéndole su nombre a la copia, lo que pone el nombre del paciente (PHI) en el título del archivo, justo la práctica contra la que advierte la Regla de Privacidad.
Sin puntuación clínica. Las evaluaciones validadas como el PHQ-9, el GAD-7, el AUDIT, etc. ponderan cada respuesta y asignan el total a un nivel de gravedad. Google Forms solo ofrece calificación de cuestionarios correcta/incorrecta, no puntuación ponderada, así que no puede calcular estos resultados y el personal tiene que calcularlos a mano en Google Sheets.
Sin datos compartidos entre varios formularios. La admisión suele implicar varios formularios seguidos (admisión del paciente, una evaluación y una autorización de divulgación) y Google Forms no puede pasar datos entre ellos. Los pacientes vuelven a escribir el mismo nombre, correo y datos en cada uno, lo que hace perder tiempo y provoca errores.
Sin programación ni recordatorios. Algunas evaluaciones deben repetirse según un calendario (un PHQ-9 cada dos semanas, por ejemplo) para seguir el progreso. Google Forms no puede enviar un formulario con una frecuencia fija ni insistir a los pacientes que no responden, así que el personal tiene que acordarse de reenviarlo y hacer el seguimiento a mano.
Para cerrar estas brechas entra en juego una herramienta hecha para esto. Hay dos opciones para hacerlo con Formesign, según si tus formularios ya están en Google Forms o si empiezas desde cero. Las dos opciones están respaldadas por nuestro propio BAA y nuestra atestación SOC 2 Type II.
Google Forms que cumplen con HIPAA con Formesign
Hay dos métodos y se adaptan a equipos distintos.
- ¿Ya creaste tus formularios en Google Workspace con un BAA y capacitaste a tu personal? Agrega el complemento Formesign HIPAA form y sigue trabajando donde estás.
- ¿Empiezas desde cero o creaste tu formulario con una cuenta personal? Importa el Google Form al espacio de trabajo de Formesign que cumple con HIPAA usando su URL.
Método 1: el complemento Formesign - HIPAA compliance for Google Forms
Tu formulario se queda en Google Forms; el complemento le agrega el cumplimiento. Marca campos como PHI para ocultarlos en los correos de notificación, las exportaciones a Sheets y los enlaces prellenados, define permisos por campo (editable, solo lectura u oculto), recopila firmas electrónicas para el consentimiento y la autorización y guarda registros de auditoría con versiones de las ediciones de respuestas, lo que cierra las brechas de arriba sin cambiar tu forma de trabajar.
- Instala el complemento Formesign - HIPAA compliance for Google Forms
- Marca campos como PHI: abre tu formulario en Google Forms > haz clic en el ícono de complementos > selecciona Formesign - HIPAA compliance for Google Forms > haz clic en Check HIPAA compliance y sigue las indicaciones para completar la revisión.
- Obtén el consentimiento: haz clic en el ícono de complementos > selecciona Formesign - HIPAA compliance for Google Forms > haz clic en Add e-signature y sigue las indicaciones para agregar una opción de firma a tu formulario para el consentimiento y la autorización.
- Recopila respuestas: usa el enlace para compartir de Formesign para recopilar respuestas de tus pacientes o usa la opción de correo que crea automáticamente un rellenado previo seguro, que completa el nombre y el correo del paciente sin exponerlos en la URL.
Método 2: importa tu Google Form a Formesign
- Formulario nuevo: crea tu formulario con las plantillas listas para usar de Formesign y adáptalo a lo que necesitas.
- Importar formulario: abre la opción de importación de Formesign - HIPAA form, pega la URL de tu Google Forms y haz clic en Make my form compliant.
- Cuando diga Verify your Google Forms setup meets HIPAA requirements with Formesign, haz clic en Proceed y haz clic en Next.
- En Select fields that contain PHI, marca cada campo que pueda incluir información de salud protegida y haz clic en Next.
- Haz clic en Sign BAA y sigue las indicaciones para crear tu formulario que cumple con HIPAA en Formesign. No puedes saltarte este paso.
- Recopila respuestas: usa el enlace para compartir de Formesign para recopilar respuestas de tus pacientes o usa la opción de correo que crea automáticamente un rellenado previo seguro, que completa el nombre y el correo del paciente sin exponerlos en la URL.
Por qué Formesign
Elijas el camino que elijas, Formesign también cierra las brechas de flujos clínicos de arriba:
Carga de archivos de pacientes sin iniciar sesión. Formesign convierte el campo de carga de archivos de Google Forms en una carga HTML, así los pacientes pueden adjuntar tarjetas de seguro, recetas o identificaciones sin una cuenta de Google. Los archivos se guardan de forma predeterminada en la infraestructura de Google Cloud de Formesign que cumple con HIPAA, con la opción de sincronizarlos con tu propio Google Drive (mantén ese Drive bajo el BAA de tu Workspace para que los archivos sincronizados sigan cubiertos).
Autorizaciones con fecha y por paciente desde un solo formulario. Usa fórmulas para definir automáticamente el período de autorización (TODAY() para la fecha de inicio y TODAY().add(2, "years") para el vencimiento) y agrega campos que registren los datos de cada paciente al enviar. Así un solo formulario sirve para todos los pacientes y cada envío lleva su propio período de validez. Sin copiar un formulario por paciente y sin nombres de pacientes en los títulos de archivo.
Puntuación automática de evaluaciones. Asigna puntos ponderados a cada respuesta: Formesign los suma en un total y lo asigna a un nivel de gravedad, puntuando instrumentos como el PHQ-9, el GAD-7 y el AUDIT sin conteo manual.
Formularios conectados, se llenan una sola vez. Vincula tus formularios de admisión para que, al enviar uno, aparezca un mensaje de agradecimiento con un enlace al siguiente y las respuestas compartidas pasen automáticamente en lugar de volver a escribirse. Los datos en común como el nombre y el correo pasan por enlaces prellenados seguros, así que nunca quedan expuestos en la URL.
Formularios programados y recordatorios. Programa un formulario para que se envíe con una frecuencia fija (diaria, semanal o mensual) y Formesign envía el enlace por correo automáticamente en cada ciclo, con recordatorios a quien no lo haya completado a tiempo. Así, las evaluaciones periódicas basadas en mediciones, como un PHQ-9 cada dos semanas, funcionan solas.
Comparación
De un vistazo, así se compara Google Forms con el HIPAA form de Formesign en las medidas de cumplimiento y los flujos clínicos que vimos arriba.
| Funciones | Google Forms | Formesign |
|---|---|---|
| BAA de HIPAA | No | Sí |
| Permisos por campo | No | Sí |
| Ocultar PHI en correos & exportaciones | No | Sí |
| Registro de auditoría por respuesta | Solo a nivel de archivo | Sí |
| Firmas electrónicas | No | Sí |
| PDF de respuestas & PDF firmados | No | Sí |
| Carga de archivos sin iniciar sesión | No | Sí |
| Puntuación de evaluaciones (PHQ-9, GAD-7 etc) | No | Sí |
| Formularios conectados & rellenado previo seguro | No | Sí |
| Formularios programados & recordatorios | No | Sí |
Preguntas frecuentes
¿Google Forms cumple con HIPAA de forma predeterminada?
No. Solo puede cumplir con HIPAA en un plan de pago de Google Workspace con un BAA firmado y la configuración correcta. Al final, el cumplimiento de HIPAA depende tanto del producto como de la forma en que lo usas.
¿Se puede hacer que Google Forms cumpla con HIPAA?
Sí. Necesitas un plan de Google Workspace compatible con HIPAA (Business Starter o superior o Enterprise), un Business Associate Agreement firmado y aceptado en la Consola del administrador y una configuración adecuada de los controles de acceso, la configuración para compartir y la capacitación del personal para cumplir los requisitos de HIPAA
¿La versión gratuita de Google Forms cumple con HIPAA?
No. Google no ofrece un BAA para las cuentas personales gratuitas (gmail.com), así que la versión gratuita no se puede usar legalmente para recopilar, almacenar o transmitir PHI.
¿Puedo usar Google Forms para formularios de admisión de pacientes?
Solo con un BAA firmado y medidas de protección bien configuradas. Como la admisión de pacientes casi siempre implica PHI y Forms no tiene controles de acceso por campo ni registros de auditoría por respuesta, muchas organizaciones agregan un complemento dedicado o usan una herramienta hecha para la admisión.
¿Enviar por correo las respuestas de Google Forms cumple con HIPAA?
No de forma predeterminada. Los correos de notificación y los recibos contienen la respuesta completa, incluida cualquier PHI, así que si uno llega a un buzón no cubierto por un BAA, es una divulgación no permitida. Para enviar respuestas por correo de forma segura, oculta o quita la PHI del mensaje o desactiva por completo las notificaciones por correo.
Resumen
Si recopilas datos de pacientes, Google Forms necesita un plan pago de Workspace, un BAA firmado y soluciones alternativas que te quitan funciones. Con Formesign, importas tu formulario a un espacio de trabajo que cumple con HIPAA, marcas los campos con datos de pacientes y firmas un BAA. Para hacerlo, crea tu formulario como muestra el Método 2. Si tienes alguna pregunta, escribe a soporte.
Última actualización: