casa |  | Saúde e Doença >  | Indústria da Saúde | Indústria da Saúde (Geral)

Diretrizes da HIPAA para funcionários

HIPAA no local de trabalho

A Health Insurance Portability and Accountability Act (HIPAA) de 1996 criou padrões de prática relacionados à privacidade de informações de saúde do indivíduo. Funcionários de entidades cobertas devem seguir diretrizes sobre o manejo adequado de informações de saúde.

Duas regras principais

Privacy Rule (Regra de Privacidade)

• Quem deve cumprir (entidades cobertas: planos de saúde, clearinghouses, provedores que transmitem eletronicamente)
• Quais informações são protegidas (PHI - Protected Health Information): identificáveis individualmente, qualquer forma/mídia
• Como PHI pode ser usada/divulgada: com autorização, para TPO (tratamento, pagamento, operações), exceções permitidas (saúde pública, lei, etc.)
• Direitos do paciente: acesso, correção, contabilidade de divulgações, restrição, comunicação confidencial, reclamação
• Minimum Necessary Standard: usar/divulgar apenas o mínimo necessário

Security Rule (Regra de Segurança)

Foca nas salvaguardas necessárias para proteger e- PHI (PHI eletrônico):

• Administrativas: políticas, treinamento, gestão de acesso, análise de risco, oficial de segurança, plano de contingência
• Físicas: controle de acesso a instalações, estações de trabalho, dispositivos móveis, descarte de mídia
• Técnicas: controle de acesso (unique user ID, autenticação), criptografia, auditoria, integridade, transmissão segura

Significado

• Protege informação de saúde do indivíduo, mas permite uso/compartilhamento quando necessário para cuidado de qualidade
• Protege saúde pública e bem-estar
• Equilíbrio entre privacidade e utilidade clínica

Considerações: Penalidades

• Penalidades por não conformidade são rigorosas, aplicadas pelo HHS (Department of Health and Human Services) e OCR (Office for Civil Rights)
• Violações: multas monetárias (até $1.5M/ano por categoria nos EUA) e, em alguns casos, penas criminais
• No Brasil: LGPD (Lei 13.709/18) — multas até 2% faturamento (teto R$ 50M), sanções administrativas

Boas práticas para funcionários

• Nunca acesse prontuários sem necessidade profissional (curiosidade = violação)
• Não discuta pacientes em áreas públicas (elevador, cafeteria, redes sociais)
• Telas de computador: bloqueio automático, posicionamento longe de visão pública
• Descarte adequado: triturar papel, limpeza segura de dispositivos
• Reporte incidentes de privacidade imediatamente
• Participe de treinamentos anuais obrigatórios