O que é a HIPAA e a quem se aplica

A HIPAA é a Health Insurance Portability and Accountability Act of 1996 (lei federal norte-americana de 1996 sobre portabilidade e responsabilização dos seguros de saúde). Com base nela, o U.S. Department of Health and Human Services (HHS, o Ministério da Saúde e dos Serviços Humanos dos EUA) escreveu regras que protegem a informação de saúde das pessoas. As regras que um membro do pessoal de uma instituição de saúde tem de conhecer são:

• A Privacy Rule (regra de privacidade) — quem pode utilizar e partilhar informação de saúde, para que fins, e os direitos que os doentes têm sobre a sua própria informação.
• A Security Rule (regra de segurança) — como a informação de saúde em formato eletrónico deve ser protegida.
• A Breach Notification Rule (regra de notificação de violações) — o que tem de acontecer quando a informação de saúde é perdida, roubada ou partilhada indevidamente.

O HITECH Act de 2009 e a regra "Omnibus" de 2013 reforçaram estas regras, tornaram os associados comerciais diretamente responsáveis pelo cumprimento de partes delas e aumentaram as sanções.

Quem tem de cumprir a HIPAA

A HIPAA aplica-se às entidades abrangidas (covered entities) e aos seus associados comerciais (business associates).

Entidades abrangidas são:

• Planos de saúde — seguradoras de saúde, HMO, planos de saúde de empresas e programas públicos como o Medicare e o Medicaid.
• Câmaras de compensação de saúde (health care clearinghouses) — organizações que convertem dados de saúde não normalizados em formatos normalizados (e vice-versa), muitas vezes para efeitos de faturação.
• Prestadores de cuidados de saúde que transmitem informação de saúde por via eletrónica em transações normalizadas, como a faturação eletrónica a um plano de saúde. Isto abrange a maioria dos hospitais, clínicas, consultórios médicos e dentários, farmácias, lares, laboratórios e terapeutas.

Associados comerciais são pessoas ou organizações externas à entidade abrangida que realizam trabalho para ela ou em seu nome e que envolve informação de saúde. Exemplos:

• uma empresa de faturação ou de codificação;
• uma empresa de informática, um fornecedor de alojamento na nuvem ou de registos de saúde eletrónicos que guarda ou mantém dados de doentes;
• um serviço de transcrição, uma empresa de destruição de documentos ou um advogado ou contabilista externo que tem acesso a informação de doentes.

A entidade abrangida tem de ter um contrato de associado comercial (business associate agreement, BAA) com cada associado comercial. O BAA define como o associado pode utilizar a informação e obriga-o a protegê-la. Os subcontratados de um associado comercial que tratem a informação também são associados comerciais.

Quem faz parte do pessoal

A HIPAA define o pessoal (workforce) como os trabalhadores, os voluntários, os estagiários e outras pessoas cujo trabalho para uma entidade abrangida ou um associado comercial está sob o seu controlo direto — sejam ou não remuneradas. Os estudantes em estágio, os voluntários na receção e o pessoal temporário são todos membros do pessoal, e as regras aplicam-se-lhes da mesma forma.

A obrigação de formação

A Privacy Rule (45 CFR 164.530(b)) determina que a entidade abrangida deve formar todos os membros do seu pessoal nas suas políticas e procedimentos de privacidade, na medida do necessário e adequado às funções de cada pessoa. A formação tem de ser dada:

• a cada novo membro do pessoal num prazo razoável depois de entrar;
• aos membros do pessoal cujas funções são afetadas quando as políticas ou os procedimentos mudam de forma significativa, num prazo razoável a contar da mudança.

A entidade abrangida tem de documentar que a formação foi dada. A Security Rule exige, em separado, um programa de sensibilização e formação em segurança para todos os membros do pessoal.

A lei não indica nenhum curso, certificado ou prestador de formação em particular, e não diz com que frequência deve haver formação de atualização. Muitas organizações dão uma atualização todos os anos.

O que este curso é — e o que não é

Este curso explica as regras federais da HIPAA que se aplicam em todo o país. Não substitui a formação do seu empregador sobre as políticas e os procedimentos dele — por exemplo, como a organização trata os pedidos de divulgação de informação, que ferramentas de mensagens pode usar e quem são os responsáveis pela privacidade e pela segurança. O empregador tem de o formar nessas matérias. Algumas leis estaduais dão aos doentes mais proteção do que a HIPAA; quando uma lei estadual é mais exigente, em geral aplica-se também, a par da HIPAA, pelo que deve seguir as políticas da organização, que devem ter ambas em conta.

Cenários

Uma estudante de enfermagem em estágio. A Priya é estudante de enfermagem e faz um estágio clínico num hospital. O hospital não lhe paga, mas ela trabalha sob a sua direção e vê processos clínicos. É membro do pessoal: o hospital tem de a formar nas suas políticas de privacidade, e ela tem de as cumprir exatamente como os funcionários.

Um técnico de informática externo. Um pequeno consultório contrata uma empresa de informática para manter os seus computadores e o registo de saúde eletrónico. Os técnicos da empresa podem ver dados de doentes enquanto trabalham. A empresa é um associado comercial, por isso o consultório tem de ter com ela um contrato de associado comercial, e a empresa tem de proteger a informação e comunicar violações ao consultório.

Uma aplicação de bem-estar. Uma pessoa descarrega uma aplicação de contagem de passos e introduz o seu peso. A empresa da aplicação não é um plano de saúde, uma câmara de compensação nem um prestador, e não trabalha em nome de nenhum deles, pelo que a HIPAA em geral não se lhe aplica — outras leis podem aplicar-se. A HIPAA depende de quem detém a informação e em que qualidade, e não apenas do tipo de informação.

Pontos-chave

• As principais regras da HIPAA são a Privacy Rule, a Security Rule e a Breach Notification Rule.
• Aplica-se às entidades abrangidas (planos de saúde, câmaras de compensação, prestadores que faturam por via eletrónica) e aos seus associados comerciais.
• Voluntários, estagiários e estudantes são membros do pessoal, sejam ou não pagos.
• As entidades abrangidas têm de formar todos os membros do pessoal e documentá-lo; a formação do empregador nas suas políticas continua a ser necessária.