casa |  | Saúde e Doença >  | Indústria da Saúde | Faturamento Médico

Entendendo as Categorias de Dados Pessoais, Folha de Pagamento, Médicos e Operacionais

Organizações lidam com múltiplas categorias de informações sensíveis, cada uma com estruturas regulatórias e requisitos de proteção distintos. A classificação clara permite salvaguardas apropriadas.

Definições e Exemplos das Categorias de Dados

1. Informação Pessoal Identificável (PII)

Qualquer dado que possa identificar um indivíduo específico.

• Identificadores diretos: Nome completo, CPF, carteira de motorista, passaporte, biometria, foto do rosto
• Identificadores indiretos/quasi-identificadores: Data de nascimento, endereço, telefone, e-mail, gênero, raça, CEP (combinações podem reidentificar)
• Identificadores digitais: Endereço IP, ID do dispositivo, cookies, credenciais de login

Regulamentos: GDPR, CCPA/CPRA, leis estaduais de violação de dados, FERPA (educação), GLBA (financeiro)

2. Dados de Folha de Pagamento e Compensação

Informações financeiras relacionadas ao emprego.

• Taxas de salário/vencimento, horas trabalhadas, horas extras
• Bônus, comissões, equity, compensação diferida
• Retenções de impostos (W-4, formulários estaduais), status de declaração
• Eleições de benefícios: prêmios de saúde/dental/visão, contribuições HSA/FSA, 401(k)/pensão
• Penhoras, pensão alimentícia, levies
• Contracheques, informações de depósito direto

Regulamentos: FLSA, IRS Pub 15, leis estaduais de salário, ERISA, relatórios de empregador ACA

3. Informação de Saúde Protegida (PHI)

Informações de saúde individualmente identificáveis detidas/transmitidas por entidades cobertas ou associados comerciais.

• Números de prontuário médico, diagnósticos (CID-10), planos de tratamento, medicamentos
• Resultados de exames, imagens, informações genéticas
• Notas de psicoterapia (proteção especial)
• Dados de faturamento/reclamações (CPT, HCPCS, códigos de receita)
• Identificadores biométricos (impressões de voz, varreduras de retina)

Regulamentos: Regras de Privacidade/Segurança/Violação do HIPAA, 42 CFR Parte 2 (TUCD), leis estaduais de privacidade médica

4. Dados Operacionais e Comerciais

Informações relacionadas a processos e desempenho organizacionais.

• Financeiro: demonstrações, orçamentos, previsões, AP/AR, declarações de imposto, papéis de trabalho de auditoria
• Vendas/CRM: pipeline, contratos, PII do cliente, histórico de compras, pontuações de propensão
• Produção/Cadeia de Suprimentos: LISTs, inventário, contratos de fornecedor, registros de qualidade, dados de sensores IoT
• RH/Força de Trabalho: avaliações de desempenho, ações disciplinares, pesquisas de engajamento, planos de sucessão
• TI/Segurança: topologia de rede, logs de acesso, scans de vulnerabilidade, relatórios de incidentes, chaves de criptografia
• PI/segredos comerciais: patentes, fórmulas, algoritmos, código-fonte, dados de P&D

Regulamentos: SOX (financeiro), regras da SEC, leis estaduais de segredos comerciais, específicas da indústria (FDA 21 CFR 11, NERC CIP, PCI DSS)

Estrutura Unificada de Proteção

Controle	PII	Folha de Pagamento	PHI	Operacional
Criptografia (em repouso/transito)	Obrigatório	Obrigatório	Obrigatório	Baseado em risco
Controle de acesso (RBAC/ABAC)	Obrigatório	Obrigatório	Obrigatório	Obrigatório
Registro de auditoria	Obrigatório	Obrigatório	Obrigatório	Obrigatório
Cronograma de retenção	Legal/regulatório	7 anos (IRS) / estadual	6 anos HIPAA / estadual	Negócio/legal
Notificação de violação	Leis estaduais / GDPR	Leis estaduais	HIPAA 60 dias	Contratual / SEC
DPIA / Avaliação de risco	GDPR Art. 35	Recomendado	Análise de risco HIPAA	ERM empresarial

Riscos Intercategorias

• Dados de folha de pagamento frequentemente contêm PII + PHI (invalidez, FMLA, programas de bem-estar)
• Sistemas operacionais (HRIS, ERP) agregam todas as categorias—uma única violação expõe tudo
• A desidentificação de PHI para análises deve atender ao Safe Harbor do HIPAA ou Determinação de Especialista

Imperativo de governança: Inventário de dados → classificação → mapeamento de controles → monitoramento contínuo. Privacidade por design, não como reflexo tardio.