Robo de identidad médica: revisión de la EOB, derechos bajo HIPAA y cómo corregir sus registros

El robo de identidad médica ocurre cuando alguien usa su nombre, número de identificación del seguro, o número de Seguro Social para obtener atención médica, medicamentos recetados o equipo, o para facturar a un plan de salud, dejando información falsa mezclada en sus propios registros médicos y de facturación. A diferencia de un cargo fraudulento en una tarjeta de crédito, que usted puede disputar y dejar atrás, un registro médico falso puede afectar la atención que reciba más adelante, ya que un proveedor tratante puede confiar en una entrada que describe una condición, alergia o medicamento que en realidad nunca fue suyo.

Información verificada por última vez el 2026-08-13. Este artículo aún no ha sido revisado por un abogado con licencia.

Esta página cubre cómo detectar el robo de identidad médica usando su propia documentación, los dos derechos de HIPAA que hacen el trabajo más pesado una vez que lo ha encontrado, y cómo notificar a cada proveedor y asegurador que recibió los registros falsos. No cubre el congelamiento de su crédito, que es un paso separado cubierto en Congelamiento de crédito frente a alerta de fraude, ni el proceso general de reporte a la FTC, cubierto en Cómo reportar el robo de identidad.

Señales de advertencia del robo de identidad médica

IdentityTheft.gov enumera tres entradas específicas de lo médico entre sus señales de advertencia de robo de identidad:

• Un proveedor médico le factura por servicios o equipo que nunca recibió.
• Su plan de salud rechaza un reclamo legítimo porque sus registros muestran que usted ya alcanzó un límite de beneficios que en realidad no ha alcanzado.
• Su plan de salud se niega a cubrirlo porque sus registros muestran una condición de salud que usted en realidad no tiene.

Fuente: IdentityTheft.gov, Señales de advertencia de robo de identidad (verificado el 2026-08-13)

Cómo revisar su explicación de beneficios (EOB)

La Oficina del Inspector General de HHS, el organismo de vigilancia federal contra el fraude de Medicare y Medicaid, recomienda leer cada estado de cuenta de explicación de beneficios que le envíe su plan de salud, no solo los vinculados a una factura que realmente debe, como uno de sus pasos centrales de "Defensa" contra el robo de identidad médica:

"Revise todas sus facturas médicas, avisos resumidos de Medicare, explicaciones de beneficios y reportes de crédito: ¿Le cobraron por algún servicio médico o equipo que no recibió? ¿Las fechas de los servicios y cargos le resultan desconocidas? ¿Le facturaron dos veces por lo mismo? ¿Su reporte de crédito muestra facturas médicas sin pagar por servicios o equipo que no recibió? ¿Ha recibido avisos de cobranza por servicios médicos o equipo que no recibió?" Fuente: Oficina del Inspector General de HHS, ¡DEFIÉNDASE! Robo de identidad médica y fraude a Medicare (verificado el 2026-08-13)

Una EOB enumera el proveedor, la fecha de servicio, y lo que se facturó a su plan por una visita o procedimiento específico, incluso cuando su plan pagó el reclamo por completo y usted no debe nada. Si un proveedor, fecha o servicio listado no coincide con la atención que realmente recibió, o un reclamo es rechazado porque los registros de su plan muestran que ha agotado un beneficio que no ha usado, ese es exactamente el patrón que IdentityTheft.gov señala como señal de advertencia arriba. Guarde cada EOB que reciba; necesitará copias para mostrarle a un proveedor o asegurador qué reclamos específicos son fraudulentos una vez que inicie el proceso de corrección más abajo.

Su derecho bajo HIPAA a obtener una copia de sus registros

Antes de poder demostrar cuáles entradas son fraudulentas, necesita los registros reales. La Regla de Privacidad de HIPAA le otorga un derecho amplio a verlos:

"La Regla de Privacidad le otorga a usted, con pocas excepciones, el derecho a inspeccionar, revisar y recibir una copia de sus registros médicos y de facturación que estén en poder de planes de salud y proveedores de atención médica cubiertos por la Regla de Privacidad." Fuente: HHS, Sus registros médicos, 45 CFR §164.524 (verificado el 2026-08-13)

Un proveedor no puede negarle una copia por falta de pago de servicios. Puede cobrar una tarifa razonable por copiado y envío, pero no puede cobrar una tarifa separada solo por buscar o recuperar los registros.

Su derecho bajo HIPAA a corregir entradas fraudulentas

Una vez que ha encontrado las entradas creadas por quien usó su identidad, HIPAA le otorga un mecanismo directo para solicitar una corrección, llamada enmienda:

"Una persona tiene derecho a que una entidad cubierta enmiende información de salud protegida o un registro sobre la persona en un conjunto de registros designado, mientras dicha información se mantenga en el conjunto de registros designado." Fuente: 45 CFR §164.526(a)(1), eCFR (verificado el 2026-08-13)

Un proveedor puede negar su solicitud de enmienda, pero solo por uno de cuatro motivos específicos: la información no fue creada por ese proveedor, a menos que el creador original ya no esté disponible para actuar sobre ella; no forma parte de su conjunto de registros designado; no estaría disponible para que usted la inspeccionara bajo el derecho de acceso descrito arriba; o el proveedor determina que el registro "es exacto y está completo". Ese último motivo es el más relevante para un caso de robo de identidad médica: si el sistema de un proveedor cree genuinamente que la visita del impostor fue suya, puede negar la enmienda exactamente por esa razón. Típicamente necesitará documentación, una EOB que no coincida, un informe policial, o un informe de robo de identidad de la FTC, para sustentar su caso.

Hay dos cosas que HIPAA no hace aquí. No permite que un proveedor borre por completo la entrada fraudulenta; una enmienda concedida es una adición o una marca vinculada al registro original, no una eliminación. Y no es incondicional; una negación tiene que llevarse más allá en lugar de simplemente aceptarse, como se explica en la sección siguiente.

Si le niegan su solicitud de enmienda

Una negación no es el final del proceso, y una queja ante la OCR no es su única opción. Bajo 45 CFR §164.526(d)(1)(ii), la propia negación por escrito debe informarle que puede presentar una declaración en desacuerdo con ella y cómo hacerlo. Bajo §164.526(d)(2), la entidad cubierta debe permitirle presentar una declaración escrita en desacuerdo con la negación, exponiendo el fundamento de ese desacuerdo.

Esa declaración cumple una función real. La entidad cubierta la anexa a la información en disputa, junto con su propia refutación por escrito si prepara una bajo §164.526(d)(3), y bajo §164.526(d)(5) debe incluir ese material anexado, o un resumen exacto de él, con cualquier divulgación posterior de la información de salud protegida que usted disputó. En la práctica, el siguiente proveedor o plan que reciba el registro también recibe su explicación de por qué la entrada no es suya.

Si prefiere no redactar una declaración, §164.526(d)(5) también le permite solicitar que la entidad cubierta incluya su solicitud de enmienda y la negación, o un resumen exacto de ellas, con cualquier divulgación futura de la información en disputa.

Mantenga la declaración objetiva y específica: qué entradas son falsas, las fechas de servicio, y qué documentación proporcionó. Presentar una no reemplaza una queja ante la Oficina de Derechos Civiles de HHS, que hace cumplir HIPAA; asegura que la disputa viaje junto con el registro mientras todo lo demás avanza.

Rastreando adónde fueron los registros fraudulentos

Una corrección presentada ante un proveedor no llega automáticamente a cada otro proveedor, asegurador o empleador que ya recibió los registros del impostor. HIPAA pone la mayor parte de esa responsabilidad en el proveedor que concede la enmienda.

Bajo 45 CFR §164.526(c)(3), una entidad cubierta que acepta una enmienda debe hacer esfuerzos razonables para informar, y proporcionar la enmienda, dentro de un plazo razonable, a: las personas que la persona identifique como receptoras de la información de salud protegida y que necesiten la enmienda, y las personas, incluidos los asociados comerciales, que la entidad cubierta sepa que tienen la información y que "pueden haber confiado, o razonablemente podrían confiar, en dicha información en perjuicio de la persona".

Esa primera categoría es la razón por la que la solicitud misma importa tanto. Bajo §164.526(c)(2), se supone que el proveedor debe obtener de usted la identificación de las personas relevantes a notificar, así que nómbrelas usted mismo y por escrito: el plan de salud que pagó el reclamo del impostor, cualquier especialista u hospital al que se enviaron los registros, la farmacia, el laboratorio. Una lista que usted proporcione es la ruta más confiable que tiene una corrección.

La contabilidad de divulgaciones bajo 45 CFR §164.528 ayuda, pero no es el mapa completo que a menudo se describe. La sección 164.528(a)(1)(i) exceptúa expresamente las divulgaciones hechas "para llevar a cabo tratamiento, pago y operaciones de atención médica según lo dispuesto en el §164.506". Esas son exactamente las divulgaciones que llevan un reclamo fraudulento a su plan de salud y una entrada fraudulenta de expediente a otro proveedor tratante, por lo que esos destinatarios normalmente no aparecerán en la contabilidad en absoluto. Solicítela para las divulgaciones que sí cubre, como compartir con una autoridad de salud pública o en respuesta a una citación, y construya el resto de su lista de destinatarios a partir de sus propias EOB, cartas de referencia y registros de farmacia.

Bajo §164.528(c), una entidad cubierta debe actuar sobre su solicitud a más tardar 60 días después de recibirla, ya sea entregando la contabilidad o, si necesita más tiempo, dándole una explicación por escrito y tomando una extensión de hasta 30 días. La primera contabilidad que solicite en cualquier período de 12 meses debe entregarse de forma gratuita; pregunte directamente a la oficina de privacidad sobre cualquier tarifa por una solicitud adicional dentro del mismo período de 12 meses.

Notificación a proveedores y aseguradores: un flujo de corrección

1. Obtenga copias de los registros afectados usando su derecho de acceso bajo §164.524, para poder identificar exactamente qué entradas son falsas.
2. Elabore su propia lista de destinatarios a partir de esa documentación: el plan de salud que pagó el reclamo, cada proveedor tratante mencionado en el expediente, la farmacia, el laboratorio, cualquier empleador o plan que haya recibido una copia. Esta lista es lo que hace posibles los dos pasos siguientes.
3. Presente una solicitud de enmienda por escrito a cada proveedor o plan bajo §164.526, describiendo exactamente qué entradas son fraudulentas y por qué, con documentación de respaldo como EOB que no coinciden, e identificando a las personas que desea que se notifiquen si se concede la enmienda, que es lo que contempla §164.526(c)(2).
4. Exija al proveedor que cumpla con §164.526(c)(3). Una entidad cubierta que acepta una enmienda debe hacer esfuerzos razonables para informar y proporcionar la enmienda a los destinatarios que usted identificó y a cualquier persona que sepa que tiene la información y que podría confiar en ella en su perjuicio. Pida confirmación por escrito, y contacte directamente a cualquier destinatario que el proveedor no alcance.
5. Solicite una contabilidad de divulgaciones bajo §164.528 como complemento, recordando que excluye las divulgaciones de tratamiento, pago y operaciones de atención médica. Úsela para detectar destinatarios que su propia documentación pasó por alto, no como un mapa completo.
6. Si le niegan una solicitud, presente una declaración de desacuerdo bajo §164.526(d)(2) para que su objeción viaje con el registro, y luego escale. Puede presentar una queja ante la Oficina de Derechos Civiles de HHS, que hace cumplir HIPAA, y buscar los remedios más amplios contra el robo de identidad en Cómo reportar el robo de identidad, incluido un informe de robo de identidad de la FTC o un informe policial, particularmente si la negación de un proveedor se basa en registros que el impostor creó y no en atención que usted realmente recibió.

Recursos relacionados

• Leyes de robo de identidad cubre los derechos de las víctimas, las señales de advertencia y el estatuto federal de robo de identidad en general.
• Cómo reportar el robo de identidad cubre el informe de robo de identidad de la FTC y el proceso de bloqueo de la FCRA para cuentas de crédito fraudulentas.
• Congelamiento de crédito frente a alerta de fraude cubre las protecciones separadas del lado del crédito que no alcanzan a los registros médicos.
• Robo de identidad infantil cubre un riesgo relacionado cuando se usa el número de Seguro Social de un niño para obtener atención médica.
• Robo de identidad sintética cubre cómo una identidad robada puede combinarse con detalles fabricados para construir un nuevo perfil de crédito.
• Cómo congelar su crédito después de una filtración de datos cubre los pasos de congelamiento si una filtración de datos expuso su información junto con un incidente de robo de identidad médica.
• Qué hacer después de una filtración de datos cubre la lista de verificación de respuesta más amplia para un aviso de filtración específico, incluida una filtración de un plan de salud.

Descargo de responsabilidad

Este artículo ofrece información general sobre el robo de identidad médica y los derechos relevantes de HIPAA. No constituye asesoría legal ni crea una relación abogado-cliente. Los plazos de respuesta, tarifas y procedimientos pueden variar según el proveedor y cambiar con el tiempo; confirme las cifras vigentes directamente con la oficina de privacidad de su proveedor o plan de salud, o con la Oficina de Derechos Civiles de HHS, antes de basarse en algo aquí.

---

Última actualización: 13 de agosto de 2026.