Salvaguardas HIPAA: Protegendo Informações de Saúde Protegidas (PHI)

A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) exige salvaguardas para Informações de Saúde Protegidas (PHI)—qualquer informação de saúde vinculada a um indivíduo.

Três Categorias de Salvaguardas

• Administrativas: Políticas/procedimentos para uso/divulgação de PHI, treinamento da força de trabalho, gerenciamento de acesso, planos de contingência, acordos de associado comercial.
• Físicas: Controles de acesso à instalação, segurança de estações de trabalho/dispositivos, descarte de mídia, inventário de hardware.
• Técnicas: Controle de acesso (IDs únicos, criptografia), controles de auditoria, controles de integridade, segurança de transmissão (criptografia, TLS).

Acordos de Associado Comercial (BAAs)

Obrigatório com todos os terceiros que acessam PHI. BAAs os vinculam à conformidade com a HIPAA.

Direitos Individuais

• Acessar própria PHI
• Solicitar emendas
• Solicitar restrições de uso/divulgação
• Receber contabilidade de divulgações
• Registrar queixas no Escritório de Direitos Civis do HHS

Entidades cobertas (provedores, planos, clearinghouses) devem implementar todos os três tipos de salvaguardas. O não cumprimento acarreta penalidades significativas.