A HIPAA protege a informação de saúde protegida (protected health information), habitualmente designada PHI. Saber o que conta como PHI é o primeiro passo para a proteger.
O que é a PHI
A PHI é informação de saúde individualmente identificável detida ou transmitida por uma entidade abrangida ou por um associado comercial, em qualquer formato — falada, em papel ou eletrónica. É informação que:
- diz respeito à saúde ou condição física ou mental, passada, presente ou futura de uma pessoa, aos cuidados de saúde que lhe são prestados ou ao pagamento desses cuidados; e
- identifica a pessoa, ou pode razoavelmente ser usada para a identificar.
Exemplos de PHI:
- uma nota clínica, um resultado de análises, uma radiografia ou uma receita;
- uma agenda de consultas que mostra quem vem hoje;
- uma fatura ou um pedido de reembolso ao seguro;
- uma conversa sobre o diagnóstico de um doente;
- uma fotografia de um doente, ou uma pulseira com o nome e a data de nascimento.
Até o simples facto de alguém ser doente de uma determinada clínica pode ser PHI.
O que não é PHI: os registos de emprego que uma organização guarda como empregador (por exemplo, o seu próprio processo de baixas nos recursos humanos) e os registos escolares abrangidos pela FERPA (lei norte-americana sobre registos escolares). A informação de saúde corretamente desidentificada também não é PHI.
ePHI
A ePHI é a PHI criada, recebida, guardada ou enviada em formato eletrónico — o registo de saúde eletrónico, mensagens de correio eletrónico, mensagens de texto, ficheiros num portátil ou numa pen USB, documentos digitalizados, dados num sistema de faturação. A Security Rule aplica-se à ePHI. A Privacy Rule aplica-se à PHI em todos os formatos, incluindo o papel e as palavras ditas.
Os 18 identificadores
O método Safe Harbor (porto seguro) de desidentificação da Privacy Rule enumera 18 identificadores que têm de ser removidos — relativos à pessoa e aos seus familiares, empregadores ou membros do agregado familiar:
- Nomes
- Subdivisões geográficas inferiores a um estado — morada, cidade, condado, código postal ZIP (os três primeiros dígitos do código ZIP podem ser mantidos em alguns casos)
- Todos os elementos de datas (exceto o ano) diretamente relacionados com a pessoa — data de nascimento, de admissão, de alta, de morte — e todas as idades superiores a 89 anos
- Números de telefone
- Números de fax
- Endereços de correio eletrónico
- Números de Social Security (segurança social dos EUA)
- Números de processo clínico
- Números de beneficiário de plano de saúde
- Números de conta
- Números de certificados ou licenças
- Identificadores e números de série de veículos, incluindo matrículas
- Identificadores e números de série de dispositivos
- Endereços web (URL)
- Endereços IP
- Identificadores biométricos, como impressões digitais e impressões de voz
- Fotografias do rosto completo e imagens comparáveis
- Qualquer outro número, característica ou código único de identificação
Noções básicas de desidentificação
A informação está desidentificada quando já não identifica uma pessoa e não há fundamento razoável para crer que possa identificá-la. A HIPAA permite dois métodos:
- Safe Harbor — remover os 18 identificadores, e a organização não ter conhecimento efetivo de que o que resta possa identificar a pessoa.
- Expert Determination (determinação por perito) — um perito qualificado aplica métodos estatísticos ou científicos e documenta que o risco de reidentificação é muito pequeno.
A informação desidentificada não é PHI, pelo que a Privacy Rule deixa de a restringir. No trabalho do dia a dia, porém, retirar apenas o nome não é desidentificar. Uma publicação que diga "a professora de 34 anos da Maple Street que internámos na terça-feira com um ferimento de bala" pode facilmente identificar alguém.
Cenários
Um quadro branco. O quadro branco de um serviço lista números de quarto, apelidos de doentes e o seu risco de queda. Isto é PHI visível a quem passa. As organizações reduzem o risco colocando os quadros fora da vista do público ou usando informação limitada, como as iniciais — siga a política do seu serviço.
Uma folha de cálculo para um projeto de qualidade. Um responsável pede uma folha de cálculo com taxas de infeção. Se for partilhada fora da equipa, retirar apenas os nomes não chega: as datas de admissão, os códigos ZIP e os números de processo também são identificadores. Pergunte ao responsável pela privacidade se os dados podem ser corretamente desidentificados ou se se aplica outra via permitida.
Uma fotografia no telemóvel. Uma fotografia de uma ferida tirada para o processo com um telemóvel pessoal é ePHI num dispositivo pessoal, mesmo que o rosto não apareça. Use apenas os dispositivos e as aplicações que a organização disponibiliza para fotografias clínicas.
Pontos-chave
- A PHI é informação identificável sobre saúde, cuidados ou pagamento, em qualquer formato: falada, em papel ou eletrónica.
- A ePHI é a PHI em formato eletrónico; a Security Rule protege-a.
- A desidentificação Safe Harbor remove 18 identificadores, incluindo datas, códigos ZIP, fotografias e números de processo.
- Retirar apenas o nome não torna a informação desidentificada.