What are the 19 HRSA program requirements for FQHCs?

HRSA requires FQHCs to meet 19 program requirements covering: needs assessment, required/additional services, clinical staffing, accessible hours/locations, sliding fee scale, quality improvement/assurance, board authority, board composition, governance, financial management, billing/collections, budget, program data reporting, scope of project, federal/state requirements, health center controlled facilities, organizational structure, contracts/subawards, and conflict of interest policies. Noncompliance can result in conditions of award or loss of Section 330 funding.

How often do FQHCs receive HRSA Operational Site Visits (OSV)?

FQHCs receive an Operational Site Visit from HRSA approximately every 3 years. The OSV reviews compliance with all 19 program requirements. FQHCs should maintain continuous readiness by conducting internal audits and keeping documentation current rather than scrambling before a scheduled visit.

What are the HIPAA requirements for FQHCs?

FQHCs must comply with HIPAA Privacy, Security, and Breach Notification Rules including appropriate Business Associate Agreements with vendors handling PHI, an accurate and thorough security risk analysis under 45 CFR § 164.308, workforce training appropriate to role and policy, breach notifications within required timelines, and retention of HIPAA documentation for required periods. Many organizations review risk analysis and training annually, but timing should also reflect system, vendor, workflow, and material risk changes.

Can FQHCs bill two encounters on the same day?

Under Medicare PPS, FQHCs can bill 2 encounters on the same day if the patient sees two different providers for two different services (e.g., medical + behavioral health). Under Medi-Cal, generally only 1 PPS encounter per day is allowed, though some managed care plans may allow exceptions. FQHCs cannot bill 'incident-to' like private practices.

What is the False Claims Act penalty for FQHCs?

False Claims Act exposure can include inflation-adjusted per-claim penalties, treble damages, repayment, monitoring, and other consequences depending on the facts. Potential FQHC risk areas include unsupported billing, coding errors, documentation gaps, and 340B duplicate-discount issues. Organizations should verify current DOJ/OIG guidance and involve qualified counsel for specific matters.

What is required in a HIPAA Business Associate Agreement (BAA)?

Covered entities should have appropriate Business Associate Agreements with vendors that create, receive, maintain, or transmit PHI on their behalf. This can include EHR vendors, clearinghouses, cloud storage providers, billing services, and telehealth platforms. Missing or inadequate BAAs can create significant HIPAA risk, especially if PHI is exposed.

How quickly must FQHCs report a HIPAA breach?

FQHCs must notify affected individuals without unreasonable delay and no later than 60 days after discovering a breach. If 500+ individuals are affected in a state or jurisdiction, prominent media outlets and HHS OCR notice are also required on the applicable timeline. Breaches affecting fewer than 500 individuals must be logged and reported to HHS no later than 60 days after the end of the calendar year.

How often should FQHCs review HIPAA security risk analysis?

HIPAA requires an accurate and thorough assessment of potential risks and vulnerabilities to ePHI, not a one-size-fits-all annual-only schedule. Many FQHCs perform or refresh the analysis annually and whenever systems, vendors, workflows, facilities, or material risks change. The free HHS SRA Tool can help structure the review, and some organizations use outside support for validation.

Cumplimiento HIPAA para FQHCs

Proteja los datos del paciente. Evite multas de $100K+. Conozca las reglas.

Este resumen es información general y no es asesoría legal, de facturación, de privacidad ni médica. Las reglas cambian según el pagador, el estado y el contrato, y las guías de las agencias se actualizan. Lee la fuente y consulta a tu responsable de cumplimiento o a un abogado antes de confiar en él.

Los proveedores que crean, reciben, mantienen o transmiten PHI generalmente necesitan un BAA apropiado antes de recibir datos de pacientes. Esto suele incluir proveedores de EHR, almacenamiento en la nube, servicios de facturación y plataformas de telesalud. Un BAA faltante o incompleto puede crear exposición significativa de HIPAA.

Riesgos HIPAA Clave

CRITICAL (20)L:4 × I:5

Missing HIPAA Risk Assessment

La organización no ha realizado una evaluación de riesgos de seguridad HIPAA en 12+ meses.

Evaluación de riesgos anual en el calendario de cumplimiento con auditor externo

HIGH (16)L:4 × I:4

PHI Exposure via Email

Personal enviando información de pacientes sin encriptar por correo electrónico personal o no seguro.

Encriptación de correo electrónico aplicada para todos los mensajes salientes con PHI

HIGH (15)L:3 × I:5

Missing Business Associate Agreement

Proveedor manejando PHI sin BAA firmado. Violación automática de HIPAA si el proveedor tiene una violación.

Inventario de PHI de proveedores revisado trimestralmente

HIGH (15)L:3 × I:5

Unencrypted Device with ePHI

Laptop, teléfono o unidad USB perdida o robada con datos de pacientes sin encriptar.

Encriptación de disco completo en todos los dispositivos que acceden al EHR o ePHI

HIGH (12)L:3 × I:4

Non-Compliant Telehealth Platform

Usando videoconferencia sin BAA para visitas de pacientes.

Lista de plataformas de telesalud aprobadas con BAAs verificados

MEDIUM (9)L:3 × I:3

Telehealth Licensing & Supervision Gaps

Expansión de telesalud aumenta riesgo: proveedores fuera del estado practicando sin licencia de CA, relaciones de supervisión no claras.

Verificación anual de licencia de proveedor; Auditoría de BAA y HIPAA de plataforma de telesalud antes del despliegue

Estudios de Caso HIPAA

NOT an FQHC — California optometry and ophthalmology provider enforcement case included as a covered-entity records-access workflow example • California (HHS Office for Civil Rights) • 2026-08-27

OCR resuelve una investigación del derecho de acceso HIPAA tras una solicitud que tardó casi dos años

Desafío: La OCR de HHS investigó una queja que alegaba que Azul Vision no brindó a una persona acceso oportuno a la información de salud protegida solicitada en enero de 2023. HHS indica que la persona recibió los expedientes en enero de 2025, después de que OCR iniciara la investigación. La norma HIPAA de derecho de acceso generalmente exige actuar dentro de 30 días, con una posible prórroga de 30 días.

Resolución: Azul Vision pagó $50,000 y aceptó un plan de acción correctiva de dos años. El plan exige revisar políticas y procedimientos, capacitar al personal y presentar informes periódicos a HHS con las solicitudes de acceso y las fechas en que se recibieron y completaron.

Costo: $50,000

Lección: Los centros de salud deben mantener un registro auditable de solicitudes con fecha de recepción, responsable, fecha legal de vencimiento, aviso de prórroga si corresponde, formato de entrega, fecha de finalización y estado de escalamiento. Capacite al personal para dirigir de inmediato las solicitudes de acceso y revise periódicamente las solicitudes vencidas y denegadas. Estos controles son una aplicación práctica del plan correctivo, no una afirmación de que un FQHC incurrió en esa conducta.

Nonprofit FQHC (NY), four sites in Erie/Niagara Counties • Buffalo, New York • 2026-06

El Community Health Center of Buffalo reporta una brecha de red que expuso números de Seguro Social y expedientes médicos de pacientes

Desafío: El Community Health Center of Buffalo, Inc. (CHCB) detectó actividad sospechosa en su red el 21 de abril de 2026 y determinó que un actor desconocido había accedido y/o adquirido archivos los días 20 y 21 de abril de 2026. Se espera que los datos afectados incluyan nombres, direcciones, fechas de nacimiento, números de Seguro Social, licencias de conducir e información médica y de seguro de salud detallada (diagnósticos, resultados de laboratorio, medicamentos, números de expediente y de póliza).

Resolución: CHCB aseguró su red con especialistas en informática forense y ciberseguridad, revisa los datos involucrados, notifica a los reguladores según lo requerido y enviará avisos con monitoreo de crédito y protección contra robo de identidad sin costo a las personas afectadas. CHCB publicó un aviso en su página de inicio y habilitó una línea de asistencia dedicada.

Lección: Los FQHC siguen siendo objetivos de alto valor para intrusiones de red. Un plan de respuesta a incidentes probado, la segmentación de la red, la autenticación multifactor, las copias de seguridad fuera de línea y la notificación oportuna de brechas a HHS/OCR son lo básico; el reloj de cumplimiento comienza en la detección, no en la confirmación de la exfiltración.

Multi-site FQHC network • Chicago, Illinois • 2026

Ciberataque a Erie Family Health Centers Expone 570,000 Registros de Pacientes

Desafío: Erie Family Health Centers informó que un tercero no autorizado accedió a sus sistemas entre el 10 de diciembre de 2025 y el 27 de enero de 2026, exponiendo información de salud protegida de hasta 570,000 personas, incluidos números de seguro social, datos financieros, registros médicos y biométricos.

Resolución: Erie notificó a las personas afectadas, ofreció monitoreo de crédito y reportó al OCR de HHS; una investigación del OCR está pendiente.

Lección: La latencia de detección es decisiva: siete semanas de acceso no detectado determinaron la magnitud. Invierta en EDR, segmentación de red y monitoreo de brechas de socios comerciales — un incidente de un proveedor cuenta como su brecha.

Nonprofit community health center network (HRSA Health Center Program grantee), Riverside and San Diego counties • Palm Springs, California • 2026-08

DAP Health acuerda un fondo de $1.3 millones para resolver una demanda colectiva por la brecha de un servidor de correo en 2024, reportada con 129,048 personas afectadas

Desafío: DAP Health detectó actividad sospechosa en algunos de sus sistemas informáticos alrededor del 22 de julio de 2024. Su investigación determinó que un tercero no autorizado accedió a un servidor de correo electrónico y extrajo correos y archivos con nombres, datos de contacto, fechas de nacimiento, números de Seguro Social, de licencia de conducir y de pasaporte, números de cuentas financieras, números de Medicare/Medicaid, información de seguro médico e información médica. La brecha se reportó a la Oficina de Derechos Civiles de HHS con 129,048 personas afectadas, y las cartas de notificación comenzaron a enviarse en diciembre de 2024.

Resolución: Los demandantes de las demandas presentadas en enero y febrero de 2025 se unieron en una demanda enmendada, Crosslin y Paone contra DAP Health, Inc. (Tribunal Superior del Condado de Riverside, n.º CVRI2500186). Sin admitir irregularidades, DAP Health aceptó un fondo de $1.3 millones que cubre honorarios de abogados, costos de administración y reconocimientos a los representantes de la clase, y paga beneficios a sus miembros: reembolso de pérdidas documentadas de hasta $5,000, un pago en efectivo prorrateado estimado de $25, un pago adicional de $75 para quienes residían en California el 22 de julio de 2024 y dos años de monitoreo de crédito y protección contra robo de identidad.

Costo: $1,300,000 (class settlement fund; not a regulatory penalty)

Lección: Un solo servidor de correo comprometido expuso números de Seguro Social, de licencia de conducir y de pasaporte, junto con información de salud, de más de 129,000 personas. Mantener los identificadores fuera del correo, limitar cuánto tiempo los buzones conservan mensajes y adjuntos, cifrar los datos almacenados y exigir autenticación multifactor resistente al phishing en las cuentas de correo reducen lo que puede exponer un solo sistema vulnerado. Las demandas avanzaron rápido: las cartas de notificación comenzaron en diciembre de 2024 y la primera demanda colectiva se presentó en enero de 2025, al margen de cualquier revisión federal.

Regulaciones Clave

45 CFR § 164.500-534, 45 CFR § 160.103

Regla de Privacidad HIPAA (45 CFR Parte 160 y 164)

Establece estándares para la información de salud protegida (PHI). Define los derechos del paciente a acceder, enmendar y restringir el uso de sus registros.

HHS Office for Civil Rights

45 CFR § 164.308, 45 CFR § 164.310, 45 CFR § 164.312

Regla de Seguridad HIPAA (45 CFR § 164.302-318)

Requiere salvaguardas administrativas, físicas y técnicas para ePHI. Incluye análisis de riesgos, capacitación del personal, controles de acceso y encriptación.

HHS Office for Civil Rights

45 CFR § 164.404, 45 CFR § 164.406, 45 CFR § 164.408

Regla de Notificación de Violaciones HIPAA

Requiere notificación a individuos, HHS y medios (si 500+ afectados) dentro de 60 días del descubrimiento de una violación de PHI.

HHS Office for Civil Rights

45 CFR § 164.502(e), 45 CFR § 164.504(e)

Acuerdos de Asociado Comercial (Requisitos de BAA)

Cualquier entidad que cree, reciba, mantenga o transmita PHI en nombre de un FQHC debe firmar un BAA.

HHS Office for Civil Rights

CA Civil Code § 1798.100-199, CPRA effective Jan 2023

Ley de Privacidad del Consumidor de California / Ley de Derechos de Privacidad de CA

Leyes de privacidad del estado de California que pueden aplicarse a operaciones de FQHC más allá de HIPAA.

California Attorney General

Nuestro análisis no es asesoría legal, médica, financiera, fiscal ni regulatoria. Lee la fuente original y consulta a un profesional antes de actuar.

Riesgos HIPAA Clave

CRITICAL (20)L:4 × I:5

Missing HIPAA Risk Assessment

La organización no ha realizado una evaluación de riesgos de seguridad HIPAA en 12+ meses.

Evaluación de riesgos anual en el calendario de cumplimiento con auditor externo

HIGH (16)L:4 × I:4

PHI Exposure via Email

Personal enviando información de pacientes sin encriptar por correo electrónico personal o no seguro.

Encriptación de correo electrónico aplicada para todos los mensajes salientes con PHI

HIGH (15)L:3 × I:5

Missing Business Associate Agreement

Proveedor manejando PHI sin BAA firmado. Violación automática de HIPAA si el proveedor tiene una violación.

Inventario de PHI de proveedores revisado trimestralmente

HIGH (15)L:3 × I:5

Unencrypted Device with ePHI

Laptop, teléfono o unidad USB perdida o robada con datos de pacientes sin encriptar.

Encriptación de disco completo en todos los dispositivos que acceden al EHR o ePHI

HIGH (12)L:3 × I:4

Non-Compliant Telehealth Platform

Usando videoconferencia sin BAA para visitas de pacientes.

Lista de plataformas de telesalud aprobadas con BAAs verificados

MEDIUM (9)L:3 × I:3

Telehealth Licensing & Supervision Gaps

Expansión de telesalud aumenta riesgo: proveedores fuera del estado practicando sin licencia de CA, relaciones de supervisión no claras.

Verificación anual de licencia de proveedor; Auditoría de BAA y HIPAA de plataforma de telesalud antes del despliegue

Estudios de Caso HIPAA

OCR resuelve una investigación del derecho de acceso HIPAA tras una solicitud que tardó casi dos años

Costo: $50,000

Nonprofit FQHC (NY), four sites in Erie/Niagara Counties • Buffalo, New York • 2026-06

El Community Health Center of Buffalo reporta una brecha de red que expuso números de Seguro Social y expedientes médicos de pacientes

Multi-site FQHC network • Chicago, Illinois • 2026

Ciberataque a Erie Family Health Centers Expone 570,000 Registros de Pacientes

Resolución: Erie notificó a las personas afectadas, ofreció monitoreo de crédito y reportó al OCR de HHS; una investigación del OCR está pendiente.

Nonprofit community health center network (HRSA Health Center Program grantee), Riverside and San Diego counties • Palm Springs, California • 2026-08

DAP Health acuerda un fondo de $1.3 millones para resolver una demanda colectiva por la brecha de un servidor de correo en 2024, reportada con 129,048 personas afectadas

Costo: $1,300,000 (class settlement fund; not a regulatory penalty)

Cumplimiento HIPAA para FQHCs

Acuerdos de Asociado Comercial

Derechos del Paciente

Protocolo de Notificación de Violaciones

Requisitos de Capacitación del Personal

Análisis de Riesgos de Seguridad

Riesgos HIPAA Clave

Missing HIPAA Risk Assessment

PHI Exposure via Email

Missing Business Associate Agreement

Unencrypted Device with ePHI

Non-Compliant Telehealth Platform

Telehealth Licensing & Supervision Gaps

Estudios de Caso HIPAA

OCR resuelve una investigación del derecho de acceso HIPAA tras una solicitud que tardó casi dos años

El Community Health Center of Buffalo reporta una brecha de red que expuso números de Seguro Social y expedientes médicos de pacientes

Ciberataque a Erie Family Health Centers Expone 570,000 Registros de Pacientes

DAP Health acuerda un fondo de $1.3 millones para resolver una demanda colectiva por la brecha de un servidor de correo en 2024, reportada con 129,048 personas afectadas

Regulaciones Clave

Regla de Privacidad HIPAA (45 CFR Parte 160 y 164)

Regla de Seguridad HIPAA (45 CFR § 164.302-318)

Regla de Notificación de Violaciones HIPAA

Acuerdos de Asociado Comercial (Requisitos de BAA)

Ley de Privacidad del Consumidor de California / Ley de Derechos de Privacidad de CA

Aviso de cookies

Cumplimiento HIPAA para FQHCs

Acuerdos de Asociado Comercial

Derechos del Paciente

Protocolo de Notificación de Violaciones

Requisitos de Capacitación del Personal

Análisis de Riesgos de Seguridad

Riesgos HIPAA Clave

Missing HIPAA Risk Assessment

PHI Exposure via Email

Missing Business Associate Agreement

Unencrypted Device with ePHI

Non-Compliant Telehealth Platform

Telehealth Licensing & Supervision Gaps

Estudios de Caso HIPAA

OCR resuelve una investigación del derecho de acceso HIPAA tras una solicitud que tardó casi dos años

El Community Health Center of Buffalo reporta una brecha de red que expuso números de Seguro Social y expedientes médicos de pacientes

Ciberataque a Erie Family Health Centers Expone 570,000 Registros de Pacientes

DAP Health acuerda un fondo de $1.3 millones para resolver una demanda colectiva por la brecha de un servidor de correo en 2024, reportada con 129,048 personas afectadas

Regulaciones Clave

Regla de Privacidad HIPAA (45 CFR Parte 160 y 164)

Regla de Seguridad HIPAA (45 CFR § 164.302-318)

Regla de Notificación de Violaciones HIPAA

Acuerdos de Asociado Comercial (Requisitos de BAA)

Ley de Privacidad del Consumidor de California / Ley de Derechos de Privacidad de CA