Há erros e há ataques. A Breach Notification Rule obriga as entidades abrangidas e os associados comerciais a informar as pessoas certas quando há uma violação de PHI não protegida (unsecured PHI).
O que é uma violação
Uma violação (breach) é a obtenção, o acesso, a utilização ou a divulgação de PHI de uma forma que a Privacy Rule não permite e que compromete a segurança ou a privacidade da informação.
Qualquer utilização ou divulgação indevida é presumida uma violação, a menos que a organização demonstre, através de uma avaliação de risco documentada, que há uma baixa probabilidade de a PHI ter sido comprometida. A avaliação considera pelo menos quatro fatores:
- a natureza e a extensão da PHI envolvida — os tipos de identificadores e a probabilidade de reidentificação;
- a pessoa não autorizada que utilizou a PHI ou a recebeu;
- se a PHI foi efetivamente obtida ou vista;
- em que medida o risco foi atenuado — por exemplo, obter garantia de que a informação foi devolvida ou destruída.
Cabe à organização demonstrar que a notificação não era necessária.
Exceções
Três situações não são violações:
- um acesso ou uma utilização não intencional por um membro do pessoal que age de boa-fé e dentro das suas competências, se a informação não for depois utilizada ou divulgada indevidamente;
- uma divulgação involuntária de uma pessoa autorizada a aceder a PHI a outra pessoa autorizada na mesma organização, se a informação não for depois utilizada ou divulgada indevidamente;
- uma divulgação em que a organização tem a convicção de boa-fé de que o destinatário não autorizado não teria conseguido razoavelmente guardar a informação.
Decidir se um acontecimento é uma violação é tarefa do responsável pela privacidade, não de quem cometeu o erro. Comunique todos os incidentes e deixe-o avaliá-los.
PHI não protegida e cifragem
A notificação aplica-se à PHI não protegida — a PHI que não foi tornada inutilizável, ilegível ou indecifrável para pessoas não autorizadas pelos métodos que o HHS especifica, como a cifragem ou a destruição corretas. Se um portátil devidamente cifrado for roubado e a chave não estiver comprometida, em geral não é necessária notificação. É uma das razões mais fortes para usar cifragem.
Quando começa a contar o prazo
Uma violação considera-se descoberta no primeiro dia em que é conhecida da organização — ou o teria sido com diligência razoável. O conhecimento de qualquer membro do pessoal (que não seja quem cometeu a violação) conta como conhecimento da organização. É por isso que tem de comunicar logo: os prazos podem já estar a correr quando repara no problema.
Quem tem de ser notificado
- As pessoas afetadas — sem demora injustificada e o mais tardar 60 dias de calendário depois da descoberta, normalmente por correio normal (ou por e-mail, se a pessoa o aceitou). O aviso explica em linguagem simples o que aconteceu, que informação esteve envolvida, o que as pessoas podem fazer para se proteger, o que a organização está a fazer e como obter mais informação. Se os dados de contacto de 10 ou mais pessoas estiverem desatualizados, é exigida uma notificação substitutiva — por exemplo, um aviso no sítio web da organização durante 90 dias ou nos meios de comunicação de maior alcance, com um número gratuito.
- O HHS — nas violações que afetem 500 ou mais pessoas, ao mesmo tempo que a notificação às pessoas. Nas violações que afetem menos de 500, a organização mantém um registo e comunica-as ao HHS o mais tardar 60 dias depois do fim do ano civil em que foram descobertas.
- Os meios de comunicação social — nas violações que afetem mais de 500 residentes de um estado ou jurisdição, têm de ser notificados os principais meios de comunicação dessa zona, também sem demora injustificada e no prazo de 60 dias.
Um associado comercial que descubra uma violação tem de notificar a entidade abrangida sem demora injustificada e o mais tardar 60 dias depois da descoberta, identificando as pessoas afetadas sempre que possível. Normalmente é a entidade abrangida que notifica os doentes. A notificação pode ser adiada quando as autoridades dizem que atrapalharia uma investigação criminal.
Muitos estados têm as suas próprias leis de notificação de violações, por vezes com prazos mais curtos. O responsável pela privacidade trata disso também.
Cenários
Registos em papel num contentor. Encontram-se folhas de marcações antigas de uma clínica num contentor aberto. É uma divulgação indevida, o papel não foi destruído e qualquer pessoa o podia levar. Depois da avaliação de risco, é provável que seja uma violação, e os prazos de notificação contam a partir do dia em que foi descoberta.
Um e-mail para o colega errado. Uma enfermeira envia o resumo de um doente a outra enfermeira do mesmo hospital, que também está autorizada a ver PHI, mas não faz parte da equipa de cuidados desse doente. A colega apaga-o sem ler mais. Isto pode caber na exceção da divulgação involuntária — mas quem decide é o responsável pela privacidade, não a enfermeira, pelo que tem de ser comunicado na mesma.
Ransomware. Um programa malicioso cifra os ficheiros de um consultório e exige um pagamento. O HHS presume que um ataque de ransomware à ePHI é uma violação, a menos que a organização demonstre uma baixa probabilidade de comprometimento na avaliação de risco.
Pontos-chave
- Uma utilização ou divulgação indevida presume-se uma violação, a menos que uma avaliação de risco com quatro fatores mostre uma baixa probabilidade de comprometimento.
- As pessoas afetadas têm de ser notificadas sem demora injustificada e em 60 dias a contar da descoberta.
- 500 ou mais afetados: notificar o HHS ao mesmo tempo; mais de 500 num estado: notificar também os meios de comunicação; menos de 500: relatório anual ao HHS.
- A PHI devidamente cifrada não é "não protegida", e é por isso que a cifragem importa.