¿Cuál es el mejor correo electrónico que cumple HIPAA en 2026?
Ningún correo cumple HIPAA por sí solo: hace falta un acuerdo BAA firmado, cifrado y una buena configuración. En España, lo que manda para los datos de salud es el RGPD.
Una clínica envía un informe, un laboratorio un resultado, una plataforma de telemedicina un recordatorio de cita. Cada correo lleva un dato de salud, a veces solo el hecho de que alguien es paciente. En Estados Unidos, la ley HIPAA exige entonces un acuerdo escrito con el proveedor de correo, el BAA (el contrato de encargado propio de HIPAA), y medidas técnicas. Ninguna autoridad certifica una marca: «cumple HIPAA» significa que el proveedor firma ese BAA y te da las herramientas para proteger los mensajes.
En España, HIPAA no se aplica a una consulta o una clínica que atiende a sus pacientes. Lo que cuenta es el RGPD: los datos de salud son una categoría especial del artículo 9, y tu proveedor de correo es un encargado del tratamiento con el que necesitas un contrato. HIPAA solo te afecta si trabajas para un cliente sanitario estadounidense o si ejerces en Estados Unidos.
La respuesta corta. Google Workspace es la mejor opción global: BAA aceptado en la consola, almacenamiento posible en el Espacio Económico Europeo y 6,80 € por persona. Proton Mail tiene el cifrado más estricto y firma un BAA con cualquier cliente. Microsoft 365 incluye su BAA por defecto. Hushmail encaja en la consulta pequeña que quiere formularios. Paubox cifra cada correo sin portal. LuxSci cubre los grandes volúmenes. Virtru permite revocar un envío, desde 5 usuarios.
El ranking es editorial: una plaza patrocinada siempre se señala en su ficha, y ningún enlace de afiliado cambia una nota.
El mejor correo que cumple HIPAA según lo que necesitas
BAA en la consola, 6,80 € por usuario
El cifrado más estrictoAcceso cero, BAA para cualquier cliente
Para quien ya usa OutlookBAA incluido por defecto
Para la consulta pequeñaCorreo cifrado y formularios desde 11,99 $
Sin portal para el pacienteCada correo cifrado, BAA incluido
Para grandes volúmenesEnvíos masivos con BAA desde 99 $
Los 7 correos que cumplen HIPAA comparados
El ranking se dirige a quien envía datos de pacientes por correo: consulta, clínica, laboratorio, empresa de software sanitario, proveedor de un hospital estadounidense. Cada servicio clasificado publica su BAA, o cómo obtenerlo, en una página oficial, y muestra un precio público.
| Mejor para | Lo que lo distingue | Plan gratis | Tamaño del equipo | Ver | ||||
|---|---|---|---|---|---|---|---|---|
| 1 | Google Workspace | La mejor opción global | BAA aceptado en la consola, datos en el EEE | 4.5/5 | 6,80 € sin IVA/usuario/mes en anual | — | Consulta, clínica, pyme sanitaria | Ver → |
| 2 | Proton Mail | El cifrado más estricto | Cifrado de acceso cero, BAA para todos | 4.4/5 | 6,99 $/usuario/mes en anual | — | Equipo pequeño muy exigente | Ver → |
| 3 | Microsoft 365 | Para quien ya usa Outlook | BAA por defecto, centros de datos en la UE | 4.4/5 | 6,50 € sin IVA/usuario/mes en anual | — | Organización que ya usa Outlook | Ver → |
| 4 | Hushmail | Para la consulta pequeña | Correo cifrado, BAA y formularios | 4.3/5 | 11,99 $/mes para 1 usuario | — | Profesional solo, consulta pequeña | Ver → |
| 5 | Paubox | Sin portal para el paciente | Cifra cada correo, sin portal | 4.0/5 | 32 $/mes de 1 a 5 remitentes | — | Consulta con Gmail u Outlook | Ver → |
| 6 | LuxSci | Para grandes volúmenes | Envíos masivos y campañas con BAA | 3.8/5 | 50 $/mes hasta 5 usuarios | — | Proveedores, grandes volúmenes | Ver → |
| 7 | Virtru | Para controlar cada envío | Revocar y caducar envíos | 3.6/5 | 119 $/mes para 5 usuarios | — | Equipos que comparten archivos | Ver → |
Notas sobre cinco criterios ponderados, explicados en el método. Precios revisados en 2026 en las páginas oficiales. Proton, Hushmail, Paubox, LuxSci y Virtru solo publican sus precios en dólares.
¿Tu herramienta no está en esta página? Escríbenos: hello@hackceleration.com
Cómo hemos comparado y puntuado
Esta página es para quien envía datos de pacientes por correo: la clínica, la consulta de varios profesionales, el laboratorio, la empresa de software de salud, el proveedor de facturación de un hospital estadounidense. No cubre las historias clínicas ni las plataformas de teleconsulta, que tienen su propia mensajería.
El primer filtro es el BAA. Un servicio clasificado debe publicarlo, o decir cómo conseguirlo, en una página oficial. La promesa de un sitio de reseñas no basta. El segundo filtro es el precio: sin tarifa pública no hay comparación honesta, y la herramienta queda fuera del ranking. Para España hemos buscado además lo que cada proveedor dice sobre el RGPD y dónde guarda los datos.
La ponderación sigue el riesgo. La protección del mensaje pesa un 30 %: cifrado hasta el destinatario y acceso del proveedor al contenido. El marco legal pesa un 25 %. El precio real cuenta un 20 %, para 1 y 5 personas, con el mínimo facturado. La experiencia del destinatario pesa un 15 % y las herramientas de equipo un 10 %.
Una herramienta tiene la misma nota en todas las páginas de Labs: Google Workspace, Proton, Microsoft 365, Hushmail, Paubox y Virtru mantienen las notas de nuestras otras comparativas. Después hemos leído las opiniones de usuarios, empezando por las negativas. Hablan poco de cifrado. Hablan del paciente que no encuentra el código, del precio por usuario y del soporte al que no se llega por teléfono.
- Protección del mensajeCifrado hasta el destinatario, cifrado en reposo, acceso del proveedor a tus correos.30 %
- Marco legal documentadoBAA publicado y cómo obtenerlo, compromisos RGPD, ubicación de los datos.25 %
- Precio realPrecio para 1 y 5 personas, mínimo de usuarios facturado, módulos de pago.20 %
- Facilidad para el destinatario¿El paciente lee en su bandeja habitual, o abre un portal y escribe un código?15 %
- Herramientas de equipoFormularios, archivo, filtrado, prevención de fugas, envíos masivos.10 %
Ningún enlace de afiliado cambia una nota o un puesto.
Los BAA y los precios cambian. Recibe las novedades
Google Workspace
Google Workspace es la base más sencilla para un equipo sanitario. El superadministrador acepta el BAA en la consola, en Cuenta y luego Legal y cumplimiento. Google dice que esa aceptación electrónica vale tanto como un contrato en papel. Solo cubre los servicios de su lista «HIPAA Included Functionality», y deja fuera los complementos de terceros.
Para el RGPD, el certificado de alojamiento de datos de salud que Google tiene en Francia incluye Gmail y permite guardar los datos en el Espacio Económico Europeo. Es una certificación francesa: en España sirve como indicio, no como obligación legal.
El precio es bajo. Business Starter cuesta 6,80 € sin IVA por persona y mes en anual, Business Standard 13,60 €. Para 5 personas, cuenta 34 € al mes en Starter.
Su límite: sin ajustes, Gmail cifra el transporte (TLS) pero no el mensaje hasta el paciente. Si el servidor del otro lado no acepta TLS, el correo puede salir igual si no lo impides. Por eso muchas clínicas estadounidenses añaden Paubox o Virtru.
- BAA aceptado en la consola
- Datos en el EEE
- Precio por usuario bajo
- ✓6,80 € por persona
- ✓BAA sin coste
- ✓El paciente lee en su bandeja habitual
- ✗Sin cifrado de extremo a extremo por defecto
- ✗Complementos de terceros fuera del BAA
- ✗La configuración corre de tu cuenta
El mejor punto de partida para un equipo sanitario: un BAA en dos clics y un precio bajo. Activa el TLS obligatorio y bloquea los complementos no aprobados desde el primer día.
Proton Mail
Proton es una empresa suiza. Su cifrado de «acceso cero» impide al proveedor leer los correos guardados. Entre dos cuentas Proton, el mensaje va cifrado de extremo a extremo sin hacer nada.
Su BAA es el más abierto del ranking. Proton dice que lo ofrece a todos sus usuarios. Lo pides por correo a privacy@support.proton.me con el asunto «HIPAA BAA», y publica un modelo en su web.
Mail Essentials cuesta 6,99 $ por persona y mes en anual, Workspace Standard 12,99 $. La tarifa oficial solo muestra dólares.
Su límite: hacia una dirección de Gmail o Hotmail, el correo no va cifrado de extremo a extremo salvo que le pongas una contraseña. El paciente lo abre en su navegador con esa contraseña, y su respuesta vuelve cifrada. Tienes que darle la contraseña por otro canal, como un SMS.
- Cifrado de acceso cero
- BAA para cualquier cliente
- Empresa suiza
- ✓6,99 $ por persona
- ✓Modelo de BAA publicado
- ✓Respuesta cifrada del paciente
- ✗Contraseña en cada correo externo
- ✗Más fricción para el paciente
- ✗Precio en dólares
El cifrado más fuerte con poco presupuesto. Elígelo si la confidencialidad pesa más que la comodidad del paciente, y acostúmbrate a la contraseña.
Microsoft 365
La ventaja de Microsoft 365 es que el BAA es automático. Forma parte por defecto de sus condiciones de protección de datos para los clientes sujetos a HIPAA. Exchange Online, Teams y OneDrive están dentro. Microsoft recuerda que usar sus servicios no basta, por sí solo, para cumplir.
Para Europa, Microsoft certifica sus servicios principales de Microsoft 365 prestados desde Francia y la Unión Europea, en centros de datos del Espacio Económico Europeo. Business Basic cuesta 6,50 € sin IVA por persona y mes en anual, Business Standard 13,10 €.
Su límite: el cifrado de mensajes Purview, el que protege el correo hasta el paciente, no está en todos los planes. Las guías de Microsoft lo sitúan en Business Premium y en E3 y E5. El paciente suele recibir un enlace y luego un código de un solo uso que caduca a los 15 minutos, a veces en la carpeta de spam.
- BAA por defecto
- Exchange, Teams y OneDrive cubiertos
- Centros de datos en el EEE
- ✓6,50 € por persona
- ✓Sin trámites para el BAA
- ✓Herramientas de cumplimiento muy completas
- ✗Cifrado Purview solo en planes altos
- ✗Código de un solo uso para el paciente
- ✗Configuración compleja
La opción lógica si ya vives en Outlook. Comprueba que tu plan incluye Purview y avisa al paciente del código antes del primer envío.
Hushmail
Hushmail es una empresa canadiense con una oferta pensada para sanitarios. Firma el BAA con los profesionales de la salud e incluye archivo.
Su punto fuerte son los formularios. Desde Essentials, a 14,99 $ al mes, creas formularios de admisión, consentimiento o cuestionario con firma electrónica, y las respuestas llegan cifradas. Basic, a 11,99 $ al mes, mantiene el correo y el BAA sin formularios.
Su límite: las opiniones critican la aplicación móvil, y perder la contraseña puede dejarte sin acceso a los mensajes antiguos. Algunos usuarios dicen que no consiguen hablar con una persona por teléfono. Hushmail no publica nada sobre dónde guarda los datos en Europa.
- Formularios cifrados
- BAA para sanitarios
- Pensado para la consulta pequeña
- ✓11,99 $ al mes para una persona
- ✓Firma electrónica desde Essentials
- ✓Archivo incluido
- ✗Aplicación móvil floja
- ✗Recuperar la cuenta es difícil
- ✗Nada publicado sobre datos en Europa
La mejor relación entre sencillez y precio para una consulta norteamericana. Elige Essentials si mandas formularios de admisión. Mira también nuestro ranking para terapeutas.
Paubox
Paubox no sustituye tu correo: se conecta a Google Workspace, Microsoft 365 o Exchange y cifra cada mensaje saliente. El paciente lo lee en su bandeja de siempre, sin portal ni contraseña. Es la gran diferencia con Virtru, LuxSci o el cifrado de Microsoft.
El BAA va incluido en todos los planes sin coste. Standard cuesta 32 $ al mes en anual para 1 a 5 remitentes. Plus, a 65 $, añade un filtro contra el phishing (suplantación) en los correos entrantes. Premium, a 75 $, añade prevención de fugas y archivo ilimitado. Para una aplicación que manda recordatorios, la Email API es gratis hasta 300 correos al mes y luego cuesta 104 $ al mes en anual hasta 9.999.
Su límite: sigues pagando Google Workspace o Microsoft 365, y la base de 5 remitentes hace pagar 32 $ a un profesional solo. En las opiniones de usuarios, el precio es la queja más repetida.
- Sin portal para el paciente
- BAA en todos los planes
- API para envíos automáticos
- ✓Cifra cada correo automáticamente
- ✓Funciona con Gmail y Outlook
- ✓Prueba de 14 días
- ✗Se paga encima de tu correo
- ✗Base de 5 remitentes
- ✗Precio criticado en las opiniones
La mejor experiencia para el paciente. Elige Standard si usas Gmail u Outlook en Estados Unidos y tus pacientes se pierden en los portales.
LuxSci
LuxSci es un proveedor estadounidense que cubre otra necesidad: el volumen. Su pasarela cifra el correo del equipo, pero su terreno son los envíos masivos y las campañas con datos de salud.
Los precios son públicos y cada producto incluye BAA. Secure Gateway cuesta 50 $ al mes hasta 5 usuarios. Secure High Volume Email empieza en 99 $ al mes hasta 9.999 correos. Secure Marketing empieza en 129 $ al mes hasta 4.999 contactos.
Su límite: las opiniones elogian el soporte, pero ven la interfaz anticuada y el precio alto. El destinatario pasa más a menudo por un portal que con Paubox. No publica nada sobre alojamiento en Europa.
- Envíos masivos con BAA
- Campañas sanitarias
- Precios públicos por volumen
- ✓BAA en cada producto
- ✓Soporte elogiado
- ✓Tramos claros por volumen
- ✗Interfaz anticuada
- ✗Portal más frecuente para el paciente
- ✗Nada publicado sobre datos en Europa
La buena elección cuando los correos sanitarios salen por miles desde una aplicación o una campaña. Para un equipo pequeño que escribe a mano, basta con Paubox o Google Workspace.
Virtru
Virtru añade cifrado a Gmail y Outlook con un control que los demás no tienen: puedes revocar un mensaje ya enviado o ponerle fecha de caducidad. El BAA firmado aparece desde Starter.
Starter cuesta 119 $ al mes en anual para 5 usuarios, Business 219 $, Compliance 499 $.
Su límite: el precio de entrada es el más alto del ranking, y el destinatario sin Virtru a veces tiene que iniciar sesión para leer. Son las dos quejas principales en las opiniones, a menudo de pacientes mayores que no consiguen abrir el mensaje o el adjunto.
- Revocar mensajes enviados
- Caducidad de envíos
- Funciona con Gmail y Outlook
- ✓Control después del envío
- ✓BAA desde Starter
- ✓Adjuntos cifrados
- ✗119 $ al mes como mínimo
- ✗Inicio de sesión a veces exigido
- ✗Excesivo para un profesional solo
Útil cuando debes poder recuperar un archivo enviado por error. Para el correo habitual con pacientes, Paubox cuesta menos y molesta menos.
Qué correo elegir según tu situación
El correo adecuado depende de dónde atiendes y de quién lee tus mensajes. Esta es nuestra elección por perfil, a precios oficiales.
Consulta o clínica en España
HIPAA no te afecta. Necesitas un contrato de encargado del tratamiento con tu proveedor y datos en el Espacio Económico Europeo. Google Workspace o Microsoft 365 cumplen esas dos condiciones desde 6,50 € por persona; nombra un responsable de la configuración.
Empresa española con cliente sanitario en EE. UU.
Aquí sí: tu cliente te pedirá un BAA, y tú necesitas uno con tu propio correo. Google Workspace y Microsoft 365 lo permiten por unos euros por persona, y Proton con un simple correo.
Consulta pequeña en EE. UU.
Hushmail Essentials, a 14,99 $ al mes, reúne correo cifrado, BAA y formularios de admisión. Si ya usas Gmail, Google Workspace con Paubox Standard evita el portal al paciente.
Clínica o grupo de 20 personas o más
Microsoft 365 o Google Workspace como base, y Paubox Plus para filtrar la suplantación entrante. Virtru si necesitas revocar envíos de archivos.
Software sanitario o envíos automáticos
Paubox Email API, gratis hasta 300 correos al mes, o LuxSci Secure High Volume desde 99 $ al mes. Para recordatorios sin datos de salud basta un servicio de correo transaccional.
Equipo que quiere la máxima confidencialidad
Proton Mail: el proveedor no puede leer tus correos, el BAA se pide por correo, 6,99 $ por persona. Prevé una contraseña en cada correo externo.
¿Quieres enviar recordatorios a pacientes desde tu software sin exponer datos? Recibe nuestras guías
Otras opciones que conviene conocer
Aparecen en las búsquedas. No entran en el ranking porque no firman BAA, no publican precio o sirven para otra cosa. Esto es cuándo cuentan.
Tuta: correo cifrado europeo, sin BAA
EuropaTuta es un proveedor alemán de correo cifrado. Su plan Essential para empresas cuesta 6 € por usuario y mes en anual, Advanced 8 € y Unlimited 12 €. No hemos encontrado ningún BAA en su web: sirve para una consulta española que prioriza el RGPD, no para HIPAA.
- Precio
- Desde 6 € por usuario en anual
- BAA
- Ninguno publicado
Zoho Mail: BAA a petición, por verificar
BAAZoho ofrece un modelo de BAA que se pide en legal@zohocorp.com. Su página HIPAA no dice qué planes de Zoho Mail cubre, y Zoho advierte que no todos sus servicios están pensados para HIPAA. Comprueba que Zoho Mail figura en el BAA firmado.
- BAA
- Modelo a petición
- Por verificar
- Zoho Mail incluido en el acuerdo
Gmail gratis y Outlook.com: nunca para pacientes
ErrorLas cuentas gratuitas @gmail.com y Outlook.com no tienen BAA ni contrato de encargado adaptado a una clínica. La AEPD ya examinó el caso de un hospital que envió informes de un menor por correo sin cifrar ni contraseña.
- BAA
- Ninguno
- Alternativa
- Google Workspace desde 6,80 €
Lo que hace fallar un correo que cumple
Estos errores aparecen en las guías oficiales y en las opiniones. Ninguno se ve en la página de precios.
Pagar el correo sin firmar el BAA
ContratoEn Google, el BAA no se activa solo: el superadministrador debe aceptarlo en la consola. En Proton se pide por correo. Sin ese paso, pagas un correo seguro que no está cubierto.
- Consola, Legal y cumplimiento
- Proton
- Correo «HIPAA BAA»
Conectar complementos de terceros
AlcanceEl BAA de Google no cubre los complementos de su tienda de aplicaciones. Una herramienta de firma, de seguimiento de aperturas o de IA que lee tus correos queda fuera. Haz la lista de lo que toca Gmail antes de firmar.
- Cubierto
- La lista oficial de Google
- No cubierto
- Complementos de terceros
Creer que el BAA vale para el RGPD
LeyUn BAA no sirve ante la AEPD. Para un paciente en España necesitas un contrato de encargado del tratamiento (artículo 28 del RGPD) y saber dónde se guardan los datos. Revisa las transferencias fuera del Espacio Económico Europeo antes de firmar.
- Texto
- Artículos 9 y 28 del RGPD
Escribir a varios pacientes en copia visible
FugaUna lista de direcciones visibles revela quién más es paciente del centro. Usa copia oculta o, mejor, un correo por paciente.
- Regla
- Un correo por paciente
Hacer que tu correo cumpla de verdad
Ajustes sacados de la documentación oficial y de las opiniones de usuarios. La mayoría están en la consola de administración.
Exige el cifrado del transporte
AjusteEn Google Workspace y en Microsoft 365, una regla puede bloquear el envío si el servidor del destinatario no acepta TLS. Sin ella, el correo puede salir sin cifrar hacia un servidor antiguo.
- Dónde
- Consola, reglas de enrutamiento
Avisa al paciente del código
PacienteCon el cifrado Purview, el paciente recibe un código que caduca a los 15 minutos y a veces acaba en spam. Díselo en la cita para que lo busque ahí.
- Duración
- 15 minutos
Nunca pongas datos de salud en el asunto
FugaEl asunto no siempre va cifrado, aunque el cuerpo sí lo esté. Escribe «Documento disponible», no el nombre de una prueba o un tratamiento.
- Regla
- Asuntos neutros
Manda la contraseña de Proton por SMS
PacienteUn correo protegido con contraseña no sirve si la contraseña viaja en el mismo correo. Acuerda una regla sencilla con el paciente o envíala por SMS.
- Canal
- Cualquiera menos el correo
Para ir más lejos
Estas páginas completan esta, del lado de la consulta y del correo.
El ranking pensado para el profesional solo.
Quieres mensajería dentro de la historia clínicaSoftware de gestión de consultaHistoria, agenda y mensajes en un sitio.
Quieres ordenar el RGPD de tu centroSoftware de cumplimiento RGPDRegistro, contratos y brechas.
Tus preguntas sobre el correo que cumple HIPAA
¿HIPAA se aplica en España?
No a una consulta o clínica que atiende a sus pacientes en España: ahí mandan el RGPD y la LOPDGDD. HIPAA te afecta si tratas datos de salud por cuenta de un cliente sanitario estadounidense. En ese caso te pedirá firmar un BAA.
¿Qué es un BAA y cómo se consigue?
Es el contrato con el que un proveedor se compromete a proteger los datos de salud según HIPAA. Google lo hace aceptar en la consola, Microsoft lo incluye por defecto, Proton lo envía a petición, y Paubox, Hushmail, LuxSci y Virtru lo incluyen en sus planes. Guarda una copia fechada.
¿Gmail cumple HIPAA?
El Gmail gratuito no: Google no firma BAA para las cuentas @gmail.com. Gmail dentro de Google Workspace de pago sí puede, una vez aceptado el BAA y hechos los ajustes. El TLS obligatorio y el bloqueo de complementos de terceros son los dos ajustes clave.
¿Basta con el cifrado TLS?
Protege el correo durante el trayecto entre servidores que lo admiten, pero no el mensaje una vez llega. Para un informe o un resultado, añade un cifrado del mensaje hasta el destinatario, como Paubox, Purview o una contraseña de Proton.
¿Puedo enviar un informe médico por correo en España?
Sí, con cuidado. Los datos de salud son categoría especial del RGPD, así que el correo debe ir cifrado o protegido con contraseña, con el acuerdo del paciente. La AEPD ya revisó el caso de un hospital que mandó informes sin cifrar.
¿Cuánto cuesta un correo que cumple HIPAA?
Entre 6,50 € y 7 $ por persona y mes para una suite con BAA (Microsoft 365, Google Workspace, Proton). Suma 32 $ al mes de 1 a 5 remitentes si quieres el cifrado automático de Paubox. Virtru empieza en 119 $ al mes para 5 usuarios.
¿Y para enviar miles de correos a pacientes?
Usa un servicio de envío masivo con BAA, no tu bandeja. Paubox Email API es gratis hasta 300 correos al mes y luego cuesta 104 $ al mes en anual hasta 9.999. LuxSci empieza en 99 $ al mes para el mismo volumen, en mensual.