HIPAA y píxeles de seguimiento en sitios web médicos en 2026

Los píxeles de seguimiento y las etiquetas de analítica de Meta, Google y otras empresas pueden enviar a esas compañías información sobre los visitantes de su sitio web. En un sitio web médico, esa información puede ser información de salud protegida (PHI, por sus siglas en inglés). A octubre de 2026, HIPAA sigue restringiendo el seguimiento en los portales de pacientes, las páginas de inicio de sesión y los procesos para pedir cita, aunque un fallo judicial de 2024 limitó la guía federal sobre las páginas públicas.

¿Qué es una tecnología de seguimiento?

Tecnología de seguimiento es el término que usa el HHS para un script o código en un sitio web o una aplicación móvil que recopila información sobre los usuarios o sus acciones mientras interactúan con él. Algunos ejemplos son las cookies, los web beacons o píxeles de seguimiento, los scripts de reproducción de sesiones (session replay) y los scripts de huella digital del dispositivo (fingerprinting).

¿Qué dice la guía del HHS sobre el seguimiento en sitios web médicos?

La Oficina de Derechos Civiles (OCR) del HHS publicó un boletín sobre tecnologías de seguimiento en línea en diciembre de 2022 y lo revisó en marzo de 2024. Estas partes siguen vigentes:

El seguimiento en páginas que requieren iniciar sesión, como los portales de pacientes, generalmente tiene acceso a PHI. Esas herramientas solo pueden usar o divulgar datos en la medida en que HIPAA lo permite, lo que normalmente significa que el proveedor debe firmar un acuerdo de socio comercial (BAA, por sus siglas en inglés).
Algunas páginas públicas también pueden involucrar PHI: las páginas para agendar citas o para verificar síntomas donde los visitantes escriben su email o el motivo de la consulta, y las páginas de inicio de sesión o de registro.
Los datos que recopila la aplicación móvil de un consultorio generalmente son PHI.
Un aviso de cookies no constituye una autorización válida según HIPAA, y tampoco una declaración en su política de privacidad.

¿Qué anuló el tribunal en el caso AHA v. Becerra?

El 20 de junio de 2024, el Tribunal de Distrito de los Estados Unidos para el Distrito Norte de Texas, en el caso American Hospital Association v. Becerra, declaró ilegal y anuló una parte de la guía: la postura de que vincular la dirección IP de un visitante con su visita a una página pública, sin inicio de sesión, sobre afecciones o proveedores específicos bastaba para que esa información quedara protegida. El HHS retiró su apelación en agosto de 2024.

El resto de la guía sigue en pie. La página del HHS menciona el fallo e indica que el departamento está evaluando sus próximos pasos. En la práctica, usted tiene más margen en las páginas públicas generales, como un artículo de blog sobre migrañas. No tiene más margen en los portales de pacientes, las páginas de inicio de sesión ni los formularios donde las personas escriben sus propios datos.

¿La FTC también regula los datos de salud en los sitios web?

Sí, sobre todo en el caso de aplicaciones de salud, marcas de bienestar y otros negocios que HIPAA no cubre. Sus acciones recientes muestran en qué se fija:

En febrero de 2023, en su primera acción de cumplimiento bajo la Health Breach Notification Rule (regla de notificación de filtraciones de datos de salud), la FTC señaló que GoodRx compartió información sobre medicamentos y salud de sus usuarios con plataformas de publicidad como Facebook y Google. GoodRx aceptó pagar una multa civil de US$1.5 millones.
En marzo de 2023, BetterHelp aceptó pagar US$7.8 millones después de que la FTC alegara que había compartido direcciones de email, direcciones IP y respuestas a cuestionarios de salud con Facebook, Snapchat y otras empresas con fines publicitarios, pese a haber prometido limitar el uso de esos datos.
En abril de 2024, la FTC aprobó cambios definitivos a la Health Breach Notification Rule que confirman que la regla cubre aplicaciones de salud y tecnologías similares, y que una divulgación no autorizada, no solo un ataque informático, cuenta como filtración.

En julio de 2023, la FTC y el HHS también enviaron una carta conjunta a unos 130 sistemas hospitalarios y proveedores de telesalud para advertirles sobre los riesgos de privacidad del seguimiento en línea.

¿Qué leyes estatales se aplican a los datos de salud en los sitios web?

La My Health My Data Act de Washington entró en vigor el 31 de marzo de 2024 (el 30 de junio de 2024 para las pequeñas empresas). Exige un consentimiento expreso para recopilar datos de salud del consumidor y otro consentimiento, por separado, para compartirlos, y los consumidores pueden demandar. Su exención cubre la PHI que se maneja bajo HIPAA, no a organizaciones enteras, así que los datos del sitio web de un consultorio cubierto por HIPAA que no sean PHI pueden quedar sujetos a esta ley.
La SB 370 de Nevada entró en vigor el mismo día, con reglas de consentimiento similares y la prohibición de usar geocercas (geofencing) a menos de 1,750 pies de los lugares que prestan atención médica en persona. Excluye a las entidades sujetas a HIPAA y no permite demandas privadas, pero puede alcanzar a negocios de salud y bienestar que operan fuera de HIPAA.

Otros estados han aprobado sus propias normas sobre datos de salud, así que revise las leyes de los lugares donde viven sus pacientes.

¿Qué cambió en Meta para los anunciantes de salud?

Desde principios de 2025, Meta limita los datos que acepta de los sitios web que clasifica en una categoría de salud y bienestar. Según el nivel asignado, Meta elimina parámetros personalizados y partes de las URL, impide optimizar para eventos del final del embudo, como las compras, o bloquea por completo el envío de eventos. Enviar los datos mediante la API de conversiones no evita estos límites, y los términos de Meta indican a los anunciantes que no envíen información de salud. Revise la categoría de su píxel en el Administrador de eventos (Events Manager) antes de planear campañas basadas en el seguimiento de conversiones.

Lista de verificación de seguimiento para sitios web médicos

Haga un inventario de todas las etiquetas. Anote cada píxel, script de analítica, widget de chat, herramienta de grabación de sesiones y video incrustado en su sitio, qué datos recopila y a dónde los envía. Incluya las etiquetas que agregan sus proveedores del sitio web, de reservas y de marketing.
Quite los píxeles publicitarios de las áreas sensibles: portales de pacientes, páginas de inicio de sesión, solicitudes de cita, formularios de admisión y verificadores de síntomas.
Use una analítica que su proveedor cubra con un BAA. Google afirma que no ofrece BAA para Google Analytics y que sus etiquetas no deben colocarse en páginas cubiertas por HIPAA. El HHS describe la opción de usar un proveedor con BAA, como una plataforma de datos de clientes (CDP), para desidentificar los datos antes de que lleguen a proveedores que no firman uno. El etiquetado del lado del servidor puede ayudar, pero no es un atajo: si la PHI llega a un proveedor, HIPAA sigue aplicando.
Firme un BAA con cada proveedor que maneje PHI, incluidos los de citas, chat, seguimiento de llamadas, formularios y email. Nuestra guía de email marketing cubre la parte del email.
Agregue un aviso de consentimiento de cookies en las páginas públicas. Puede ayudarle a cumplir las reglas estatales de consentimiento, pero no reemplaza una autorización según HIPAA.
Haga que su política de privacidad refleje la realidad. El caso de la FTC contra BetterHelp giró en torno a la diferencia entre lo que la empresa prometía y lo que hacía.
Revise sus audiencias publicitarias y el seguimiento de conversiones con su asesor de cumplimiento normativo antes de lanzar campañas.
Repita la revisión cada trimestre, porque los plugins y las actualizaciones de los proveedores pueden agregar nuevas etiquetas.

El seguimiento es solo una parte de un sitio web que cumple las normas. Nuestra guía sobre lo esencial de un sitio web médico en 2026 cubre el resto.

Este artículo es información general, no asesoría legal. Las normas sobre seguimiento y datos de salud están cambiando; revise su sitio web con su asesor de cumplimiento normativo o su abogado.

Servicio relacionado: Diseño web

¿No está seguro de qué rastrea su sitio web?

La publicidad y la analítica que cumplen las normas de salud forman parte de nuestro servicio de marketing médico. Comience con un diagnóstico de marketing gratuito y le mostraremos en qué situación están su sitio web y sus campañas.