Mínimo necesario y acceso a historias

El estándar del mínimo necesario (45 CFR 164.502(b) y 164.514(d)) obliga a limitar los usos, las divulgaciones y las solicitudes de información de salud a lo razonablemente necesario para el fin. Dentro de la entidad se traduce en acceso por rol: la política define qué sección de la historia necesita cada función y el sistema se configura igual.

El estándar tiene excepciones. No se aplica, entre otras, a las divulgaciones a otro prestador para tratamiento, a las que se hacen a la propia persona o con su autorización, ni a las exigidas por la ley. Por eso un médico remitente puede enviar la historia completa al especialista, pero un auxiliar de facturación no necesita las notas clínicas para facturar.

La política de acceso es el papel; permisos_en_el_sistema es la realidad. Un hallazgo típico es un permiso heredado de una configuración antigua que nadie revisó. Las dos tablas tienen las mismas columnas, así que se comparan celda a celda. Te interesa la columna de las notas de evolución: texto libre del médico, la parte más sensible de la historia.

Un rol correcto en la tabla de roles puede estar mal puesto a una persona. La política de acceso trae la columna cargos_que_lo_justifican, que dice qué cargos pueden tener cada rol. Cruzando con usuarios, se ve quién tiene un rol que su cargo no justifica, que es una señal de acumulación de permisos al cambiar de función o de un favor administrativo.

Un permiso de más no es un riesgo abstracto: es un número de personas que pueden leer lo que no deberían. Para dimensionarlo, cuenta cuántos usuarios de la tabla usuarios tienen el rol que hallaste en la tarea anterior. El número va en el informe y sirve para priorizar la corrección.

La Regla de Seguridad exige un procedimiento de acceso de emergencia (164.312(a)(2)(ii), requerido): cuando un paciente llega en urgencia y quien lo atiende no tiene asignación, no se le puede negar el acceso. La solución no es quitar el control, sino permitir el acceso con un motivo escrito, avisar a la jefatura y revisarlo después en el registro de accesos.