casa |  | Saúde e Doença >  | Indústria da Saúde | Faturamento Médico

Informação Pessoal Sensível (SPI): Definição, Exemplos e Requisitos de Proteção

O Que É a Informação Pessoal Sensível (SPI)?

SPI é um subconjunto de informação pessoalmente identificável (PII) que, se divulgada, poderia causar dano substancial, embaraço, inconveniência ou injustiça a um indivíduo. Regulamentos (GDPR, CCPA, HIPAA, GLBA, leis estaduais) impõem proteções acrescidas.

Categorias Comuns de SPI

Categoria	Exemplos	Regulamentos Chave
Identificadores Governamentais	NSS, carta de condução, passaporte, ID estatal, registo de estrangeiro	GLBA, leis estaduais de violação, IRS Pub 1075
Financeiro	Contas bancárias/cartão de crédito, detalhes de empréstimo, relatórios de crédito, declarações de impostos	GLBA, FCRA, PCI DSS, leis estaduais
Saúde/Médico	Diagnósticos, tratamentos, prescrições, reclamações de seguros, dados genéticos, saúde mental	HIPAA, HITECH, 42 CFR Parte 2, leis estaduais
Biométrico	Impressão digital, geometria facial, íris, impressão de voz, ADN	BIPA (IL), CCPA, GDPR, leis estaduais
Raça/Etnia/Origem	Auto-identificado ou inferido	GDPR Art. 9, CCPA, Título VII
Orientação Sexual/Identidade de Género	Auto-identificado	GDPR Art. 9, leis estaduais
Geolocalização Precisa	Coordenadas GPS <1.850 ft de raio	CCPA, leis estaduais
Dados de Crianças (<13/16)	Qualquer PII recolhida de criança	COPPA, GDPR Art. 8, leis estaduais
Credenciais de Autenticação	Palavras-passe, questões de segurança, sementes OTP, chaves criptográficas	NIST 800-63, FIDO, leis estaduais de violação

Dados de Folha de Pagamento e Médicos = SPI

Registos de folha de pagamento (salário, deduções, depósito direto, penhoras) + registos médicos (reclamações, FMLA, adaptações) são SPI central que requer:

• Criptografia em repouso (AES-256) e em trânsito (TLS 1.2+).
• Controlo de acesso baseado em funções (privilégio mínimo).
• Registo de auditoria (quem acedeu o quê, quando).
• Minimização de dados (recolha apenas o necessário).
• Cronograma de retenção/destruição (triturar/eliminação criptográfica).
• Treinamento de funcionários (phishing, manuseamento, reporte).
• Plano de resposta a incidentes (prazos de notificação de violação).
• Gestão de fornecedores (BAAs, DPAs, SOC 2).

Obrigações Empresariais

• Privacidade por Design: Incorpore proteções em sistemas/processos.
• Avaliações de Impacto na Privacidade (PIA): Para novo processamento de SPI.
• Direitos do Titular dos Dados: Acesso, correção, eliminação, portabilidade, opt-out (conforme lei aplicável).
• Notificação de Violação: 72h (GDPR); "sem atraso irrazoável" (leis estaduais dos EUA, HIPAA 60 dias).

Conclusão

SPI = PII de alto risco. Dados de folha de pagamento e médicos são exemplos quintessenciais. A conformidade requer salvaguardas técnicas, administrativas e físicas — não apenas boas intenções.