A Lei HITECH e HIPAA: Segurança da Informação em Saúde, Incentivos e Penalidades

casa | | Saúde e Doença > | Indústria da Saúde | Faturamento Médico

A Lei HITECH e HIPAA: Segurança da Informação em Saúde, Incentivos e Penalidades

HIPAA (1996) — Base Legal

Health Insurance Portability and Accountability Act regula uso/divulgação de PHI (Protected Health Information) por covered entities (planos de saúde, clearinghouses, provedores que transmitem eletronicamente) e business associates.

Privacy Rule: Direitos do paciente, usos/divulgações permitidas, minimum necessary
Security Rule: Salvaguardas administrativas, físicas, técnicas para e-PHI
Breach Notification Rule: Notificação de violação de PHI não protegido
Enforcement Rule: Investigações, penalidades civis/criminais

HITECH Act (2009) — Fortalecimento e Incentivos

Health Information Technology for Economic and Clinical Health Act (parte do ARRA 2009). Objetivos:

Promover adoção e "uso significativo" (meaningful use) de tecnologia de informação em saúde (EHR)
Fortalecer HIPAA: penalidades maiores, notificação de violação obrigatória, extensão a business associates
Estabelecer incentivos financeiros (Medicare/Medicaid) para adoção de EHR certificado

Programa de Incentivos (Meaningful Use / Promoting Interoperability)

Fase	Período	Incentivos	Penalidades
Stage 1 (2011-2013)	Adote EHR certificado	Até $44k (Medicare) / $63.75k (Medicaid) por provedor elegível	Não
Stage 2 (2014-2016)	Troca de informação, engajamento paciente	Continuação	Início (redução 1%/ano no Medicare fee schedule)
Stage 3 (2017+)	Melhoria de outcomes, interoperabilidade	Fim para novos aderentes	Até 5% redução (2023+)
Promoting Interoperability (2018+)	Foco em interoperabilidade, acesso paciente, saúde pública	Integrado ao MIPS (Merit-based Incentive Payment System)	Via MIPS scoring

Até 2015: Incentivos poderiam terminar; não-conformes enfrentam penalidades. Em 2024: Programa evoluiu para MIPS Promoting Interoperability Performance Category.

Definição de "Meaningful Use" (Uso Significativo)

Originalmente 3 estágios com objetivos obrigatórios e de menu (ex: e-prescribing, CPOE, resumo de alta, troca de resumo de cuidado, relatórios saúde pública, engajamento paciente via portal). Desde 2018: Integrado ao MIPS — medidas de performance focadas em:

e-Prescribing
Health Information Exchange (HIE)
Provider to Patient Exchange (acesso do paciente aos dados)
Public Health Reporting
Security Risk Analysis (SRA) anual obrigatória

Impacto nos Provedores

Elegíveis (EPs, hospitais, CAHs): Podem receber incentivos Medicare/Medicaid se atenderem critérios
Não conformes: Penalidades no fee schedule Medicare (redução % pagamento)
Business Associates: Diretamente sujeitos a HIPAA/HITECH — contratos BAA obrigatórios
Violações: Penalidades civis em tiers (Tier 1: não saberia — $137-$34.464/violação; Tier 4: negligência deliberada não corrigida — $68.928-$2.067.813/violação; teto anual $2.067.813 — valores 2024 ajustados por inflação)