Conformidade HIPAA — Tudo o que você precisa saber

Esta página também está disponível em: English|Español|中文|Deutsch|Français

A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) é uma lei federal aprovada em 1996 que inclui disposições para proteger a privacidade e a segurança das informações de saúde dos indivíduos. Entidades como planos de saúde, provedores de saúde e câmaras de compensação de saúde que lidam com informações de saúde protegidas (PHI) são obrigadas a cumprir as regulamentações da HIPAA.

A HIPAA estabelece padrões nacionais para transações eletrônicas de saúde. Ela também exige proteções para a privacidade e segurança das PHI. O não cumprimento da HIPAA pode resultar em pesadas penalidades financeiras. Portanto, é crucial que as entidades cobertas e seus parceiros comerciais tenham um entendimento profundo da HIPAA e implementem programas abrangentes de conformidade.

Regra de Privacidade da HIPAA

A Regra de Privacidade da HIPAA regula como as PHI podem ser usadas e divulgadas. Ela estabelece salvaguardas para proteger a privacidade de registros médicos e outras PHI.

As PHI referem-se a qualquer informação de saúde vinculada ao histórico médico, condições, tratamentos ou pagamentos de um indivíduo. Isso inclui dados demográficos como nomes, endereços e fotos de rosto completo. A Regra de Privacidade se aplica a todas as formas de PHI, incluindo papel, eletrônica, oral e visual.

A Regra de Privacidade define requisitos nestas áreas principais:

• Quem está Coberto — Planos de saúde, provedores de saúde, câmaras de compensação de saúde e parceiros comerciais são entidades cobertas obrigadas a cumprir.

• Divulgação de PHI — Limites rigorosos sobre quando as PHI podem ser usadas ou divulgadas, com poucas exceções. A autorização do paciente é geralmente necessária.

• Direitos dos Pacientes — Concede aos pacientes o direito de acessar e alterar seus registros médicos e saber para quem suas PHI foram divulgadas.

• Salvaguardas Administrativas — Políticas, treinamento, autorizações e outros controles devem proteger a privacidade das PHI.

As entidades cobertas precisam de um Aviso de Práticas de Privacidade claro, explicando como as PHI são usadas e divulgadas. Medidas razoáveis devem ser tomadas para limitar divulgações incidentais. O padrão mínimo necessário exige que apenas as PHI essenciais sejam compartilhadas para fins permitidos.

No geral, a Regra de Privacidade busca garantir aos pacientes que suas informações de saúde mais sensíveis serão devidamente protegidas e não serão mal utilizadas.

Regra de Segurança da HIPAA

Enquanto a Regra de Privacidade da HIPAA rege o uso e a divulgação das PHI, a Regra de Segurança da HIPAA se concentra nas salvaguardas técnicas e físicas necessárias para garantir a confidencialidade, integridade e segurança das informações eletrônicas de saúde protegidas (ePHI).

A Regra de Segurança exige salvaguardas administrativas, físicas e técnicas, como:

• Controles de Acesso — Permitir que apenas usuários autorizados acessem ePHI (senhas, autenticação multifator, criptografia).

• Controles de Auditoria — Registrar atividades em sistemas de TI de saúde para monitoramento de acesso não autorizado.

• Controles de Integridade — Prevenir alteração ou destruição inadequada de dados ePHI.

• Segurança de Transmissão — Proteger ePHI transmitidas por redes ou mídias portáteis.

• Salvaguardas Físicas — Acesso limitado às instalações, segurança de dispositivos, padrões de descarte.

• Salvaguardas Administrativas — Gestão de segurança, treinamento, políticas/procedimentos e documentação.

• Requisitos Organizacionais — Acordos com parceiros comerciais, análise e gestão de riscos.

Essas salvaguardas visam garantir que as pessoas corretas possam acessar os dados certos nos momentos apropriados, ao mesmo tempo que impedem acesso não autorizado, violações e uso indevido. A Regra de Segurança estabelece uma linha de base nacional para práticas de segurança de dados de saúde.

Regra de Notificação de Violação da HIPAA

A Regra de Notificação de Violação da HIPAA descreve a resposta necessária quando um uso ou divulgação não permitida de PHI é descoberta. A regra visa alertar prontamente os indivíduos potencialmente impactados e o Departamento de Saúde e Serviços Humanos (HHS) sobre qualquer acesso não autorizado às PHI.

Sob a regra, as entidades cobertas devem ter políticas e procedimentos para detectar e investigar violações potenciais. Vários cenários constituem uma violação, incluindo:

• Hacking ou intrusão no sistema de TI concedendo acesso inadequado às PHI

• Equipamentos perdidos, roubados ou descartados incorretamente contendo PHI não seguras

• Compartilhamento, acesso ou revelação não autorizado de PHI

• Transmissão acidental ou inadequada de PHI para um destinatário não autorizado

Se uma divulgação não permitida de PHI atender à definição de violação, a entidade coberta deve alertar o HHS e os indivíduos afetados por escrito sem demora injustificada, mas no máximo 60 dias após a descoberta. Se mais de 500 pessoas forem impactadas, também é necessária notificação pela mídia.

Para violações envolvendo mais de 500 residentes de um estado ou jurisdição, a notificação também deve ser fornecida a veículos de mídia proeminentes. As notificações devem incluir detalhes como data da violação, tipos de dados expostos, medidas que os indivíduos podem tomar para se proteger e ações que a entidade coberta está tomando para investigar e mitigar a violação.

Fiscalização e Penalidades da HIPAA

O Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos é responsável pela aplicação das regulamentações da HIPAA. O OCR tem autoridade para conduzir revisões de conformidade e investigações com base em reclamações ou indicações de não conformidade.

Se as entidades cobertas violarem a HIPAA, o OCR pode impor penalidades monetárias civis. As penalidades individuais podem ser de US$ 100 a US$ 50.000 ou mais por violação, dependendo da gravidade. A penalidade combinada máxima por não conformidade contínua é de US$ 1,5 milhão por ano.

Exemplos recentes de fiscalização incluem:

• 2018 — penalidade de US$ 16 milhões por laptop roubado contendo PHI de quase 35.000 pessoas.

• 2019 — penalidade de US$ 2,175 milhões por seis incidentes de divulgação comprometendo dados de mais de 6.000 indivíduos.

• 2022 — acordo de US$ 1,6 milhão por divulgação não permitida de registros de saúde mental.

Além das penalidades civis, o Departamento de Justiça pode buscar processos criminais e prisão por violações intencionais da HIPAA. Afirmações falsas de conformidade com a HIPAA também podem resultar em multas ou prisão.

Etapas para Alcançar a Conformidade com a HIPAA

Para evitar ações de fiscalização e penalidades, as entidades cobertas devem implementar um programa eficaz de conformidade HIPAA em toda a organização. As principais etapas incluem:

1. Nomear um responsável pela conformidade HIPAA — Um indivíduo responsável gerencia o programa de conformidade.

2. Realizar análise de risco completa — Identificar riscos e vulnerabilidades às PHI em seu ambiente.

3. Desenvolver e atualizar políticas HIPAA — Documentar procedimentos HIPAA para privacidade, segurança, violações e treinamento.

4. Treinar funcionários — Todos os membros da equipe devem ser treinados regularmente nas políticas da HIPAA.

5. Gerenciar acordos com parceiros comerciais — Ter contratos de parceiros cobrindo conformidade, violações e responsabilidade.

6. Proteger as PHI — Implementar salvaguardas físicas, técnicas e administrativas para proteger as PHI.

7. Abordar riscos de dispositivos móveis e nuvem — Avaliar e proteger PHI em dispositivos móveis, computação remota e aplicativos web.

8. Ter um plano de resposta a incidentes — Definir procedimentos de resposta em caso de violação potencial.

9. Auditar e atualizar regularmente a conformidade — Revisar periodicamente controles, riscos e procedimentos para manter a conformidade.

10. Documentar tudo — Manter registros demonstrando suas atividades de conformidade HIPAA.

Alcançar operações conformes requer um esforço contínuo e concertado da liderança, responsáveis pela HIPAA, equipes de TI e segurança, funcionários e parceiros comerciais. Recursos dedicados e responsabilidade pelo programa de conformidade são fundamentais para reduzir riscos e evitar penalidades rigorosas.

A conformidade HIPAA representa um esforço significativo, mas o framework adequado proporciona benefícios de longo prazo para os direitos de privacidade dos indivíduos e a reputação organizacional. As entidades de saúde que governam proativamente as PHI com integridade fomentam a confiança crítica dos pacientes e minimizam a exposição regulatória.