Uncategorized

Cumplimiento en sitios web de salud: el plazo de accesibilidad de HHS y los píxeles de rastreo

Si tu consulta recibe asistencia financiera federal de HHS, el Departamento de Salud de EE. UU., tu sitio y tus apps móviles deben cumplir WCAG 2.1 nivel AA antes del 11 de mayo de 2027 si tienes 15 empleados o más, o del 10 de mayo de 2028 si tienes menos. Aparte, los píxeles publicitarios en sitios de salud pueden crear riesgos de privacidad, se aplique o no HIPAA. Empieza por un inventario de lo que contiene tu sitio y de lo que envía a terceros.

Este artículo es información general, no asesoría legal. Tus decisiones de cumplimiento deben ser revisadas por un abogado calificado.

¿Cambió el plazo de accesibilidad web de HHS?

Sí. HHS publicó una norma final provisional el 11 de mayo de 2026, vigente desde el 7 de mayo, que extendió ambas fechas un año.

Tamaño del receptor Fecha original Fecha nueva
15 empleados o más 11 de mayo de 2026 11 de mayo de 2027
Menos de 15 empleados 10 de mayo de 2027 10 de mayo de 2028

Muchos artículos en línea aún indican las fechas anteriores. Se emitió como norma provisional con solicitud de comentarios, así que recomendamos buscar actualizaciones posteriores antes de cerrar tus planes.

La extensión no detiene todo. HHS escribe que, sin importar las fechas de cumplimiento, los receptores tienen una obligación continua de hacer accesibles a las personas con discapacidad los programas ofrecidos mediante contenido web y apps móviles.

¿A quién cubre esta norma?

Se aplica a receptores de asistencia financiera federal de HHS. HHS emite decenas de miles de subvenciones al año a una gran variedad de receptores. También alcanza el contenido web y las apps ofrecidos directamente o mediante acuerdos contractuales, de licencia u otros. Por eso tu portal de pacientes o tu proveedor de reservas puede ser parte de tu obligación, aunque no los hayas construido tú.

Si tu organización cuenta como receptora es una pregunta para tu abogado. Una consulta privada de pago directo puede quedar fuera de esta norma y aun así enfrentar las expectativas de la ADA como negocio abierto al público. Lo cubrimos en nuestra guía de la ADA para pequeñas empresas.

¿Qué exige el estándar en la práctica?

La norma adoptó WCAG 2.1 nivel AA. El W3C señala que el contenido que cumple WCAG 2.2 también cumple 2.1, así que un desarrollo nuevo orientado a 2.2 AA también debería cubrir este estándar.

Las fallas comunes son un buen punto de partida. El análisis 2026 de WebAIM sobre un millón de páginas de inicio encontró texto con bajo contraste en 83,9% y formularios sin etiquetas en 51%. En una clínica, daríamos prioridad a los lugares donde una barrera puede impedir la atención:

  • Solicitudes de cita y formularios de admisión
  • Acceso al portal de pacientes y pago de facturas
  • Directorios de proveedores y búsqueda de sedes
  • Instrucciones previas a la visita, consentimientos y PDF
  • Ventanas emergentes y widgets de chat que bloquean el teclado

Las herramientas automáticas no terminan el trabajo. WebAIM advierte que no todas las fallas se pueden detectar de forma automática. Recuerda también que una orden de la FTC contra un proveedor de widgets de accesibilidad surgió de afirmaciones sobre cumplimiento automático de WCAG que la agencia alegó que no tenían sustento.

¿Puede una clínica usar Google Analytics o un píxel de Meta?

Aquí es donde muchos sistemas de marketing de salud tienen problemas, y la respuesta requiere matices.

En julio de 2023, la FTC y la Oficina de Derechos Civiles de HHS enviaron cerca de 130 cartas a sistemas hospitalarios y proveedores de telesalud. Advirtieron que herramientas como el píxel de Meta y Google Analytics pueden enviar información sensible a terceros, como condiciones, diagnósticos, medicamentos y dónde busca atención una persona.

¿Qué decidió el tribunal?

En junio de 2024, un tribunal federal de Texas falló sobre parte de la guía de HHS. Anuló la llamada “Proscribed Combination”: la idea de que surgen obligaciones de HIPAA cuando una tecnología conecta la dirección IP de una persona con su visita a una página pública, sin autenticación, sobre condiciones de salud o proveedores específicos. El tribunal también señaló que el fallo no debe leerse como una limitación de otra orientación del documento. HHS retiró luego su apelación. Nuestra fuente es la opinión alojada por la American Hospital Association, que fue demandante.

Fue, por tanto, una victoria acotada. No vuelve seguros para el rastreo los portales con sesión iniciada, los flujos de citas ni los formularios.

¿Y si HIPAA no se aplica a mí?

Entonces puede aplicarse la FTC. La agencia dice que las empresas no cubiertas por HIPAA deben igualmente protegerse contra la divulgación no autorizada de información de salud, aunque un tercero haya construido su sitio o app. En el caso GoodRx, la FTC alegó que la empresa compartió datos de medicamentos y salud con plataformas como Facebook y Google pese a prometer que no lo haría. GoodRx aceptó una sanción civil de $1,5 millones, sujeta a aprobación judicial.

La norma actualizada de notificación de brechas de salud de la FTC también trata una divulgación no autorizada como una posible brecha de seguridad para los proveedores cubiertos de registros personales de salud y entidades relacionadas.

¿Qué deberías revisar en tu sitio?

Recomendamos esta revisión. Pide a tu abogado que valide las conclusiones.

  1. Lista cada etiqueta y script. Usa tu gestor de etiquetas y una revisión en el navegador. Incluye lo que añaden plugins y proveedores. Las herramientas de marketing se suelen olvidar al terminar una campaña.
  2. Mapea dónde se activa cada uno. Presta especial atención a páginas de condiciones, verificadores de síntomas, búsqueda de proveedores, formularios de cita, páginas de agradecimiento y cualquier cosa tras un inicio de sesión.
  3. Mira qué se envía. Revisa la URL de la página, los campos del formulario y los nombres de eventos. Una URL o un evento como “cita-cancer-reservada” puede revelar mucho por sí solo.
  4. Quita lo que no puedas justificar. Mantén los rastreadores fuera de formularios y áreas con sesión iniciada, salvo que tu abogado apruebe la configuración y existan los acuerdos necesarios.
  5. Alinea tu política de privacidad. El caso GoodRx giró en parte sobre promesas incumplidas, así que lo que dices debe coincidir con lo que hace el sitio.
  6. Define un calendario de revisión. Vuelve a revisar tras un rediseño y tras cualquier proveedor nuevo de marketing.

¿Se puede seguir anunciando una consulta médica?

Sí, pero planifica primero la medición. Pregunta a tu abogado sobre analítica centrada en la privacidad, configuraciones del lado del servidor con los acuerdos adecuados y formas de medir campañas sin enviar datos a nivel de paciente a las plataformas de anuncios. Revisa las políticas vigentes de cada plataforma sobre publicidad de salud antes de lanzar. Ten cuidado también con el remarketing basado en la página de condición que alguien leyó. Es exactamente la inferencia sensible sobre la que han advertido los reguladores.

Preguntas frecuentes

¿Sigue vigente el plazo de mayo de 2026?

No. Para los receptores con 15 empleados o más, la fecha pasó al 11 de mayo de 2027. Las obligaciones anteriores de la Sección 504 siguen aplicándose.

¿Esto cubre mi app móvil?

Sí, si eres un receptor cubierto. La norma aborda el contenido web y las apps móviles que ofreces directamente o a través de otros.

¿Está prohibido Google Analytics en sitios de salud?

No encontramos una prohibición general en las fuentes revisadas. El riesgo depende de qué datos se envían, desde qué páginas y bajo qué acuerdos. Busca una revisión legal de tu configuración.

¿Puede mi diseñador web tomar esta decisión?

Un diseñador puede encontrar etiquetas y corregir problemas de accesibilidad, pero las conclusiones legales corresponden a tu responsable de cumplimiento y a tu abogado. En su advertencia, la FTC dejó claro que usar un tercero para construir el sitio no elimina tu responsabilidad.

¿Diriges una clínica o una consulta de salud?

JONTI Code Design trabaja con profesionales de la salud y el deporte en sitios web, marca y marketing, desde San José, Costa Rica, en inglés y español y en GMT-6. Si necesitas ayuda para auditar la accesibilidad y mapear los scripts de tu sitio para tu equipo legal, escribe a info@jonti.co.cr.

Fuentes