Como Cumprir as Regras HIPAA

A Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA) foi implementada em 1996, no governo Clinton. Inicialmente criada para proteger indivíduos de perda de seguro ao mudar de emprego. A lei final criou sete títulos/regras cobrindo vários problemas de planos e provedores. As partes mais conhecidas cobrem privacidade e segurança de informações de saúde do paciente. O Departamento de Saúde e Serviços Humanos (DHHS) supervisiona HIPAA. O DHHS não exige certificação de organizações/indivíduos, nem existe "certificação HIPAA" oficial ou organização aprovada. No entanto, exige que "entidades cobertas" atendam conformidade HIPAA.

O que Você Precisa

• Kit de Ferramentas de Privacidade e Segurança HIPAA

Instruções

1. Determine se sua organização é "entidade coberta". HIPAA define em categorias: planos de saúde que fornecem cobertura, provedores de saúde pagos/faturados por cuidados, e "clearinghouses" que facilitam informação entre provedores e seguradoras. Se enquadra em alguma, deve seguir HIPAA.

2. Eduque equipe sobre privacidade vs. segurança. Título II ("Simplificação Administrativa") lida com medidas para proteger segurança e privacidade. Medidas de privacidade protegem "informação de saúde individualmente identificável" liberando-a só sob requisitos específicos. Medidas de segurança protegem informação eletrônica (prontuários, e-mails) contra divulgação não autorizada e violação.

3. Nomeie um Oficial HIPAA. HIPAA exige que cada entidade coberta nomeie um "Oficial HIPAA". Garante conformidade criando, implementando e mantendo políticas/procedimentos, treinando equipe e coordenando conformidade.

4. Revise requisitos HIPAA. Entidades cobertas devem atender requisitos rigorosos. Para privacidade: entender quando informação protegida pode ser liberada e a quem. Implementar divulgação de "mínimo necessário" — só a menor quantidade necessária. Para segurança: garantir dados eletrônicos seguros com fechaduras em salas de computador, senhas, trilhas de auditoria e criptografia.

5. Entenda penalidades HIPAA. Escritório de Direitos Civis do DHHS faz cumprir regras. Inclui penalidades civis e criminais. Embora intenção não seja penalizar organizações que erram, penalidades para não conformidade deliberada. Incluem multas e/ou prisão, até $25.000 e 10 anos para violações graves.

6. Decida se quer avaliação interna ou externa. DHHS não tem certificação oficial HIPAA nem aprova outras. Mas existem empresas especializadas. Por taxa, revisam políticas, procedimentos e atividades para garantir conformidade. Organizações confiantes podem fazer auditorias internas.