casa |  | Saúde e Doença >  | Indústria da Saúde | Indústria da Saúde (Geral)

Especificações de implementação da HIPAA

HIPAA e implementação

A Health Insurance Portability and Accountability Act (HIPAA) de 1996 criou padrões para tratamento de informações privadas de saúde. Existem formas específicas de implementação em ambiente de saúde.

Tipos de requisitos de implementação

• Organizações de saúde devem ter políticas e procedimentos escritos consistentes com regulamentos HIPAA
• Devem designar pessoa específica (Privacy Officer / Security Officer) responsável por garantir que informações protegidas sejam mantidas privadas e seguras
• Esta pessoa responde por: treinar funcionários nas diretrizes HIPAA, garantir conformidade, disciplinar não conformidade

Significado da especificação

• Exigir políticas escritas e responsável designado cria accountability (responsabilização)
• Especificações de implementação tornam mais fácil e rápido para organizações tornarem-se conformes com regulamentos de privacidade e segurança
• Facilita auditorias e investigações

Considerações: Entidades híbridas

• Organizações podem ser designadas "entidades híbridas" se apenas algumas funções atendem requisitos de entidade coberta
• Devem designar por escrito quais componentes são relacionados à saúde e devem cumprir HIPAA
• Caso contrário, a organização inteira deve cumprir
• Ex: universidade com hospital + outras faculdades; plano de saúde dentro de grande corporação

Componentes principais de programa de conformidade HIPAA

• Análise de risco de segurança (Security Risk Analysis) — obrigatória
• Políticas e procedimentos de Privacidade (Privacy Rule) e Segurança (Security Rule)
• Treinamento de força de trabalho (workforce training)
• Acordos de Associado de Negócios (BAA - Business Associate Agreements)
• Plano de resposta a incidentes/violação (Breach Notification)
• Documentação e retenção de registros (6 anos)
• Auditoria e monitoramento contínuo
• Proteção de PHI em papel, eletrônico e oral

Regras: Privacy vs. Security

• Privacy Rule: aplica-se a PHI em qualquer forma (papel, eletrônico, oral) — quem pode acessar, usar, divulgar
• Security Rule: aplica-se apenas a e-PHI (PHI eletrônico) — salvaguardas administrativas, físicas, técnicas
• Breach Notification Rule: notificação de violação de PHI não protegido