Aplicação da lei, sanções e comunicação de incidentes

A HIPAA tem consequências reais para organizações e para pessoas. Saber como as infrações são tratadas — e como comunicar um problema — protege os doentes, a organização e a si próprio.

Quem faz cumprir a HIPAA

• O HHS Office for Civil Rights (OCR) faz cumprir a Privacy Rule, a Security Rule e a Breach Notification Rule. Investiga queixas de doentes e de outras pessoas, analisa comunicações de violações e realiza revisões de conformidade.
• A maioria dos casos do OCR termina com a organização a corrigir o problema. Em casos graves, o OCR pode celebrar um acordo de resolução com um pagamento e um plano de ação corretiva de vários anos, ou impor sanções pecuniárias civis.
• Os procuradores-gerais dos estados também podem intentar ações civis por infrações à HIPAA que afetem residentes do seu estado.
• Os casos criminais são tratados pelo U.S. Department of Justice (DOJ), o Ministério da Justiça dos EUA.

Sanções civis

As sanções pecuniárias civis estão fixadas em quatro escalões, consoante o grau de culpa:

1. a organização não sabia da infração e, com diligência razoável, não teria sabido;
2. a infração deveu-se a causa razoável, e não a negligência intencional;
3. negligência intencional que foi corrigida em 30 dias a contar do momento em que a organização soube ou devia ter sabido;
4. negligência intencional que não foi corrigida em 30 dias.

Cada escalão tem um mínimo e um máximo por infração e um máximo para infrações idênticas num ano civil. Quanto mais alto o escalão, maior a sanção. Os montantes em dólares são atualizados todos os anos de acordo com a inflação e publicados pelo HHS, por isso consulte os valores em vigor em hhs.gov ou no Federal Register em vez de confiar num número de memória.

Sanções criminais

Quem a sabendas obtiver ou divulgar informação de saúde individualmente identificável infringindo a HIPAA pode ser processado. Segundo a lei federal (42 U.S.C. 1320d-6), as penas máximas aumentam com a gravidade da conduta:

• obter ou divulgar a sabendas — multas até 50 000 $ e até 1 ano de prisão;
• sob falsos pretextos — até 100 000 $ e até 5 anos;
• com a intenção de vender, transferir ou usar a informação para vantagem comercial, ganho pessoal ou dano malicioso — até 250 000 $ e até 10 anos.

Já houve membros do pessoal processados a título individual — por exemplo, por venderem informação de doentes ou por consultarem processos para prejudicar alguém.

Consequências no trabalho

As entidades abrangidas têm de ter e aplicar sanções aos membros do pessoal que violem as políticas de privacidade. Consoante a infração, as sanções vão da nova formação e das advertências à suspensão e ao despedimento. As ordens profissionais também podem agir.

Comunicar incidentes

Cada entidade abrangida tem de designar um responsável pela privacidade (privacy officer) e um responsável pela segurança (security officer), por vezes a mesma pessoa. Comunique-lhes, ou através do canal que a organização criar, sempre que vir ou causar:

• um fax, um e-mail ou uma carta enviados para o sítio errado;
• um portátil, telemóvel, cartão de acesso ou registos em papel perdidos ou roubados;
• uma ligação de phishing em que clicou ou uma palavra-passe partilhada;
• alguém a consultar processos de que não precisa;
• PHI deixada à vista do público ou deitada no lixo comum.

Comunique depressa, mesmo que não tenha a certeza de que é uma infração e mesmo que o erro tenha sido seu. A organização tem de avaliar o acontecimento, atenuar os efeitos prejudiciais na medida do possível e cumprir prazos que podem já estar a correr. Não investigue por conta própria, não apague provas nem contacte as pessoas afetadas, a menos que lho digam.

Proibição de retaliação

Uma entidade abrangida não pode intimidar, ameaçar, discriminar nem retaliar contra ninguém por exercer os seus direitos HIPAA, apresentar queixa ou participar numa investigação. Os membros do pessoal também podem queixar-se diretamente ao OCR. Comunicar com honestidade e depressa é o que as regras esperam de si — esconder um erro é o que o agrava.

Cenários

Um erro a altas horas. No fim de um turno longo, apercebe-se de que imprimiu uma lista de doentes e a deixou numa casa de banho pública. Volte lá, recolha-a se puder e comunique-o. Assumir o erro depressa dá à organização a melhor hipótese de limitar o dano.

Pressão para não comunicar. Um responsável diz-lhe para "ficar calado" sobre um fax enviado para o sítio errado, para o serviço não ficar mal visto. A HIPAA espera que os incidentes sejam comunicados e avaliados. Use outro canal — o responsável pela privacidade, uma linha de conformidade ou o OCR — e lembre-se de que a retaliação por comunicar é proibida.

A queixa de uma doente. Uma doente diz-lhe que quer queixar-se da forma como a sua informação foi tratada. Diga-lhe que pode queixar-se à organização (dê-lhe os contactos do responsável pela privacidade que constam do Notice of Privacy Practices) e ao OCR. Nunca desencoraje uma queixa.

Pontos-chave

• O OCR faz cumprir as regras da HIPAA; o DOJ processa os casos criminais; os procuradores-gerais dos estados também podem intentar ações.
• As sanções civis têm quatro escalões consoante o grau de culpa, com montantes atualizados todos os anos de acordo com a inflação.
• Obter ou divulgar PHI a sabendas pode ser crime federal; vendê-la acarreta até 10 anos.
• Comunique depressa os incidentes ao responsável pela privacidade ou pela segurança; a retaliação por comunicar é proibida.