O que é a HIPAA? Uma explicação em linguagem simples.

A HIPAA, Health Insurance Portability and Accountability Act, é uma lei federal americana de 1996 que estabelece normas nacionais para a proteção da informação de saúde dos pacientes e exige que as organizações de saúde e os seus fornecedores as protejam. A maioria das pessoas assume que a HIPAA se aplica apenas a hospitais e médicos. Na verdade, a lei abrange as empresas de faturação, os fornecedores de TI, os fornecedores de cloud e o serviço de fax que transmite um encaminhamento.

O Presidente Bill Clinton sancionou a HIPAA a 21 de agosto de 1996 como Lei Pública 104-191. O Congresso e o Departamento de Saúde e Serviços Humanos (HHS) modernizaram-na quatro vezes: a Regra de Privacidade (2003), a Regra de Segurança (2005), a Regra de Notificação de Violação de Dados (2009) e a Regra Omnibus (2013). Uma quinta atualização, a maior reformulação da Regra de Segurança em 20 anos, está na agenda regulatória do Gabinete de Direitos Civis (OCR) para maio de 2026.

Este guia aborda o significado da HIPAA, as quatro regras, o que é considerado PHI (Informação de Saúde Protegida), quem precisa de cumprir as normas, as penalizações por incumprimento, como a HIPAA se aplica ao fax, e-mail, SMS e Slack, além de uma checklist inicial de oito passos. Leia-o uma vez e saberá se a HIPAA se aplica à sua organização e quais os próximos passos.

Definição de HIPAA e breve histórico (1996 até hoje)

A HIPAA foi originalmente criada para ajudar os trabalhadores a manter o plano de saúde quando mudam de emprego. As regras de privacidade e segurança que todos lhe associam hoje foram adicionadas posteriormente.

O que significa HIPAA?

HIPAA significa Health Insurance Portability and Accountability Act 1996. O Presidente Bill Clinton sancionou-a a 21 de agosto de 1996 como Lei Pública 104-191. A lei tinha quatro objectivos originais: tornar o seguro de saúde portátil entre empregos, reduzir a fraude e os abusos na área da saúde, uniformizar as transacções electrónicas de cuidados de saúde e proteger a informação de saúde.

A parte relativa à proteção da informação de saúde era a parte mais pequena da lei original. O Congresso instruiu o Departamento de Saúde e Serviços Humanos (HHS) a emitir posteriormente os regulamentos de privacidade e segurança propriamente ditos. Estes regulamentos são o que a maioria das pessoas entende hoje em dia por "HIPAA".

Como evoluiu a HIPAA: as quatro principais atualizações

• A Privacy Rule (2003) estabeleceu os primeiros padrões nacionais sobre quem pode utilizar e divulgar informação de saúde protegida (PHI, na sigla em inglês) e concedeu aos doentes direitos sobre os seus registos.
• A Norma de Segurança (2005) acrescentou salvaguardas administrativas, físicas e técnicas para o PHI eletrónico.
• A Lei HITECH e a Data Violation Notification Rule (2009) aumentaram a penalização máxima de 25.000 dólares por ano para 1,5 milhões de dólares por ano, introduziram a notificação obrigatória de violações de dados e impulsionaram a adoção de registos de saúde eletrónicos (RSE) com 25 mil milhões de dólares em incentivos. A Lei HITECH também concedeu aos procuradores-gerais estaduais autoridade para fazer cumprir a HIPAA.
• A Regra Omnibus (2013) tornou os parceiros comerciais diretamente responsáveis ​​pelas violações da HIPAA e inverteu o ónus da prova da notificação de violação.

Situação da HIPAA em 2025–2026

Em janeiro de 2025, o Departamento de Saúde e Serviços Humanos (HHS) propôs uma grande atualização das Regras de Segurança. Tornaria a autenticação multifator e a encriptação obrigatórias e eliminaria a distinção entre especificações "obrigatórias" e "endereçáveis". As estimativas de custos para o setor chegam aos 34 mil milhões de dólares. O Gabinete dos Direitos Civis manteve a finalização da regulamentação na sua agenda para maio de 2026. Trate a autenticação multifator e a encriptação como obrigatórias agora para evitar problemas futuros.

As quatro regras do HIPAA explicadas

As pessoas dizem "HIPAA" como se fosse uma coisa só. Na verdade, existem quatro regras interligadas, sendo que a maioria das violações ocorre nas intersecções entre elas.

Regra de Privacidade (2003)

A Norma de Privacidade define o que é Informação de Saúde Protegida (PHI, na sigla em inglês) e quem pode aceder à mesma em que condições. Os doentes têm o direito de aceder aos seus registos, solicitar correções, obter um relatório das divulgações e solicitar restrições sobre a forma como as suas informações são utilizadas. Os fornecedores devem responder aos pedidos de acesso no prazo de 30 dias, sendo permitida uma prorrogação de 30 dias.

A norma permite a utilização de informação de saúde protegida (PHI) sem autorização do paciente para tratamento, pagamento e operações de assistência médica (a exceção "TPO"). Tudo o resto está sujeito ao padrão de necessidade mínima: divulgar apenas o que for necessário para atingir o fim. O tratamento é a única exceção em que os registos completos podem ser partilhados entre prestadores de serviços.

Uma falha clássica da Regra de Privacidade: um consultório médico envia por fax o resultado do teste de VIH de um paciente para o que a equipa acredita ser o médico de família do paciente, mas que na verdade é o empregador. Número errado, ausência de controlos mínimos necessários, sem verificação.

Regra de Segurança (2005)

A Norma de Segurança aplica-se apenas a informações de saúde eletrónicas protegidas (ePHI). Define três categorias de salvaguardas:

• Administrativo: análise de riscos, formação da equipa, política de sanções, gestão de acessos.
• Físico: controlos de acesso às instalações, segurança dos postos de trabalho, eliminação de dispositivos
• Aspetos técnicos: controlos de acesso, registos de auditoria, controlos de integridade, encriptação de transmissão.

A distinção atual entre especificações "obrigatórias" e "endereçáveis" está prestes a desaparecer com a atualização proposta para 2025. As falhas na análise de risco predominam na aplicação das normas. Apareceram em 13 das 22 resoluções do OCR concluídas em 2024.

Regra de Notificação de Violação (2009, via HITECH)

Caso ocorra uma violação de informações de saúde protegidas (PHI) não seguras, as entidades abrangidas devem notificar três públicos:

• Indivíduos afetados até 60 dias
• HHS (imediatamente para violações que afetem 500 ou mais pessoas, no prazo de 60 dias após o final do ano para violações menores)
• Veículos de comunicação de destaque, caso 500 ou mais residentes de um único estado sejam afetados.

A criptografia cria um ambiente seguro. Os dados devidamente encriptados que são perdidos ou roubados não geram notificações. O acordo de 1,5 milhões de dólares da Warby Parker, previsto para 2025, combinou falhas nas Regras de Segurança e nas Regras de Notificação de Violação após um ataque de preenchimento de credenciais que expôs dados de prescrição de óculos de clientes.

Existem três exceções para a violação de dados: acesso não intencional por um funcionário autorizado, divulgação inadvertida entre duas pessoas autorizadas e divulgação a uma parte que não poderia razoavelmente reter a informação.

Regra geral (2013)

A Regra Ómnibus tornou os parceiros comerciais e os seus subcontratados diretamente responsáveis ​​pelo HIPAA. Antes de 2013, apenas as entidades abrangidas estavam sujeitas a coimas.

A Lei Omnibus inverteu também o ónus da prova em casos de violações. Agora, presume-se que uma utilização ou divulgação não permitida pela Regra de Privacidade constitui uma violação, a menos que a entidade abrangida possa demonstrar uma baixa probabilidade de que as Informações de Saúde Protegidas (PHI) tenham sido comprometidas, utilizando uma avaliação de risco de quatro fatores.

O que é o PHI? Os 18 identificadores que acionam a HIPAA

PHI (Informação de Saúde Protegida) é qualquer conjunto de 18 identificadores específicos combinados com uma ligação à saúde, aos cuidados de saúde ou ao pagamento dos cuidados de saúde de uma pessoa. Ao remover corretamente todos os 18 identificadores, os dados são desidentificados, o que significa que deixam de ser PHI.

Os 18 identificadores HIPAA

1. Nomes
2. Dados geográficos inferiores a um estado
3. Todas as datas, exceto o ano, referem-se a um indivíduo.
4. Números de telefone
5. Números de fax
6. Endereços de e-mail
7. Números de Segurança Social
8. Números de registo médico
9. números de beneficiários do plano de saúde
10. Números de conta
11. Números de certificado ou licença
12. Identificadores de veículos, incluindo matrículas.
13. Identificadores de dispositivos e números de série
14. URLs da Web
15. endereços IP
16. Identificadores biométricos, incluindo impressões digitais e impressões vocais.
17. Fotos de rosto inteiro e imagens comparáveis.
18. Qualquer outro número de identificação único, característica ou código.

Quando os mesmos dados NÃO são PHI (Informação de Saúde Protegida).

Os identificadores sem contexto de saúde não são considerados Informação de Saúde Protegida (PHI). O nome de um cliente na lista de correio de um retalhista é apenas um nome. Um contexto de saúde sem identificadores também não é PHI. As estatísticas hospitalares agregadas e devidamente anonimizadas não se enquadram na HIPAA. Ambos os elementos devem estar presentes em simultâneo para que a lei seja aplicável. O nome de um doente mais um diagnóstico é PHI. Um diagnóstico sem qualquer identificador não o é.

Quem deve cumprir a HIPAA (e quem não deve)

Os dados do seu Fitbit não estão protegidos pela HIPAA. O programa de bem-estar da sua empresa provavelmente também não. A HIPAA abrange uma lista específica de organizações, e essa lista é mais restrita do que a maioria das pessoas imagina.

Entidades abrangidas (EAs)

Uma entidade abrangida pela HIPAA enquadra-se numa de três categorias:

1. Planos de saúde: seguradoras, HMOs (Organizações de Manutenção da Saúde), Medicare, Medicaid e planos de saúde coletivos oferecidos pelos empregadores. A maioria dos planos de saúde coletivos oferecidos pelos empregadores estão cobertos, independentemente da dimensão da empresa. A única exceção são os planos de saúde coletivos autogeridos com menos de 50 participantes — estes planos não estão sujeitos à HIPAA. Se o plano for gerido por uma seguradora ou administradora terceirizada, estará coberto.
2. Centros de compensação de cuidados de saúde: entidades que traduzem dados não normalizados em transações eletrónicas normalizadas.
3. Prestadores de cuidados de saúde que transmitem eletronicamente qualquer informação de saúde relacionada com uma transação abrangida (reivindicações, verificações de elegibilidade, encaminhamentos).

O mecanismo de transação eletrónica é a razão pela qual quase todos os fornecedores modernos são abrangidos. Assim que fatura o seguro eletronicamente ou envia um pedido eletrónico, está dentro do sistema.

Business associados (BAs)

Um parceiro comercial é qualquer pessoa ou organização que desempenha uma função em nome de uma entidade abrangida que envolva informação de saúde protegida (PHI). Exemplos comuns: empresas de faturação, fornecedores de TI, fornecedores de armazenamento em nuvem, serviços de destruição de documentos, escritórios de advogados com acesso a PHI, serviços de transcrição e fornecedores de fax em conformidade com a HIPAA.

Desde a Regra Omnibus de 2013, os parceiros comerciais são diretamente responsáveis ​​face ao OCR. Assine um Business Acordo de Parceiro (BAA) antes da transferência de informação de saúde protegida (PHI). A Gulf Coast Pain Consultants teve de pagar 1,19 milhões de dólares depois de um contratado ter mantido o acesso ao sistema após o fim do contrato e ter apresentado pedidos fraudulentos ao Medicare, demonstrando o que acontece quando os controlos de acesso do BA falham.

Quem NÃO está abrangido pela HIPAA?

• Empregadores que lidam com informações de saúde de empregados fora de um plano de saúde coletivo (nesse caso, regem-se a ADA e a FMLA).
• Aplicações de fitness para consumidores que não vendem a prestadores, incluindo Fitbit, Apple Health e MyFitnessPal (nesse caso, rege-se a Regra de Notificação de Violação de Dados de Saúde da FTC).
• Escolas e universidades (a FERPA regula os registos dos estudantes)
• Seguradoras de vida, seguradoras de acidentes de trabalho e a maioria das seguradoras de invalidez.
• agências de aplicação da lei
• Empresas de análise de marketing sem acesso a informação de saúde protegida (PHI).

HIPAA e canais de comunicação: fax, e-mail, SMS, Slack, vídeo

Um consultório dentário no Texas pagou 10 mil dólares porque um funcionário respondeu a uma avaliação de uma estrela no Yelp com dados de um paciente. A HIPAA aplica-se à mensagem, não ao meio utilizado. Cada canal que a sua equipa utiliza para partilhar informações de saúde protegidas (PHI) exige uma resposta específica.

A matriz de conformidade

‍

Fax: ainda o instrumento mais utilizado na área da saúde.

De acordo com a exceção de canalização, a operadora telefónica não é considerada um parceiro comercial ao transmitir um fax, uma vez que nunca inspeciona ou armazena o conteúdo. Isto mantém o fax tradicional dentro dos canais permitidos pela HIPAA.

O fax analógico apresenta dois problemas práticos. Não existe registo de auditoria e um dígito incorrecto pode expor informações de saúde protegidas (como no caso de um empregador revelar o seu estado VIH). Um serviço de fax na nuvem compatível com a HIPAA, como... Fax.Plus assina um BAA no seu Enterprise O sistema encripta o tráfego em trânsito e em repouso, regista cada envio e receção e permite que a equipa envie dados por e-mail ou navegador da web. Os colaboradores podem enviar faxes diretamente do e-mail sem sair do fluxo de trabalho que já utilizam.

E-mail e mensagens

A utilização de e-mail gratuito pelo consumidor é a forma mais comum de violação silenciosa da HIPAA. O Gmail, o Outlook.com, o Yahoo e o iCloud não subscrevem um BAA (Business Associate Agreement) nos planos gratuitos. O Google Workspace e o Microsoft 365 pagos são compatíveis com a HIPAA, mas apenas após a subscrição do BAA e a configuração de segurança (desativação do acesso de aplicações de terceiros, ativação do registo de auditoria e imposição da autenticação multifator).

O SMS padrão não está em conformidade. As operadoras não assinam Acordos de Parceiros Comerciais (BAAs) e as mensagens são armazenadas sem encriptação nos dispositivos e nos sistemas das operadoras. Utilize uma aplicação de mensagens segura de acordo com a HIPAA.

Vídeo e colaboração

As contas FaceTime e Zoom pessoais estão desativadas. Zoom para a área da saúde, Doxy.me e Microsoft Teams (com BAA) estão dentro. O Slack exige Enterprise Antes de assinar um BAA (Business Associate Agreement), o Grid necessita de estar preparado. Os espaços de trabalho padrão do Slack, por mais bem configurados que estejam, não são compatíveis com a HIPAA.

Violações e penalizações da HIPAA: quais os custos da não conformidade

Em 2024, o Gabinete de Direitos Civis do Departamento de Saúde e Serviços Humanos (HHS) encerrou 22 processos de fiscalização, num total de 9,9 milhões de dólares. A mesma causa raiz — "falha em conduzir uma análise de risco adequada" — apareceu em 13 deles.

Níveis de penalizações civis (2026)

• Nível 1 (desconhecimento): de 145 a 73.011 dólares por infração, até um máximo de 2.190.294 dólares por ano.
• Nível 2 (causa razoável): de 1.461 a 73.011 dólares por violação.
• Nível 3 (negligência intencional, corrigida no prazo de 30 dias): de 14.618 a 73.011 dólares por infração.
• Nível 4 (negligência intencional, não corrigida): de 73.011 a 2.190.294 dólares por violação.

Penalidades criminais

O Gabinete de Direitos Civis (OCR) encaminha os processos criminais para o Departamento de Justiça, que os processa. Obtenção ou divulgação consciente de informações de saúde protegidas (PHI): multa até 50.000 dólares e pena até 1 ano. Obtenção mediante fraude: multa até 100.000 dólares e pena até 5 anos. Obtenção com intenção de vender, transferir ou utilizar para obter vantagem comercial ou causar danos maliciosos: multa até 250.000 dólares e pena até 10 anos.

Casos reais de execução de 2024–2025

• Warby Parker 1,5 milhões de dólares (2025): ataque de fraude de credenciais; retalhista de óculos era uma entidade abrangida.
• Montefiore Medical Center: prejuízo de 4,75 milhões de dólares: funcionário interno roubou mais de 12.000 registos; controlos de auditoria deficientes.
• Enzo Biochem sofre um ataque de ransomware de 4,5 milhões de dólares: a exposição foi rastreada até às credenciais partilhadas e a uma palavra-passe de há dez anos.
• Gulf Coast Pain Consultants: 1,19 milhões de dólares. A empresa contratada, após o término do contrato, manteve o acesso ao sistema e apresentou pedidos fraudulentos à Medicare.
• Clínica dentária no Texas avaliada em 10.000 dólares: proprietário respondeu à avaliação no Yelp com os detalhes do paciente.

A Iniciativa de Direito de Acesso do OCR resultou em 54 ações de fiscalização desde 2019, com coimas que variam entre 3.500 e 160.000 dólares para os prestadores que não entregaram os registos a tempo.

Quem fiscaliza o cumprimento da HIPAA?

O Gabinete de Direitos Civis do Departamento de Saúde e Serviços Humanos (HHS) trata da aplicação da lei na esfera civil. Os procuradores-gerais estaduais também podem instaurar ações com base na HIPAA (a Lei HITECH concedeu esta autoridade em 2009). O Departamento de Justiça processa os processos criminais. A Comissão Federal de Comércio (FTC) aplica a Regra de Notificação de Violação de Dados de Saúde para aplicações de saúde que não estão abrangidas pela HIPAA, como os rastreadores de atividades físicas.

Leis estaduais que vão além da HIPAA

A HIPAA é o padrão mínimo federal. Alguns estados construíram estruturas mais altas do que a ela, e a lei estadual prevalece quando é mais rigorosa.

• A Lei de Informação Médica da Califórnia (CMIA) tem uma definição mais ampla de informação médica, aplica-se a mais tipos de entidades, concede aos pacientes o direito privado de processar diretamente e exige o acesso aos registos no prazo de 5 dias, em comparação com os 30 dias da HIPAA.
• Texas Bill 300: alarga o conceito de "entidade coberta" para incluir essencialmente qualquer pessoa que lide com informações de saúde protegidas (PHI) no Texas, exige formação bienal da força de trabalho no prazo de 90 dias após a contratação e autoriza multas do Procurador-Geral até 1,5 milhões de dólares por ano.
• Washington MHMDA: a lei de privacidade de saúde do consumidor mais abrangente dos EUA. Abrange dados de rastreadores de atividades físicas, aplicações de monitorização do ciclo menstrual e informações de aplicações de bem-estar que estão isentas pela HIPAA, e garante o direito de ação privada.

A Lei SHIELD de Nova Iorque e a Lei de Privacidade de Informação Genética de Illinois acrescentam camadas de proteção nos seus respetivos estados.

Quando a legislação estadual for mais rigorosa do que a HIPAA, siga a legislação estadual. Quando a HIPAA é mais rigorosa, a HIPAA prevalece. Mapeie ambas as leis para cada estado onde lida com informações de saúde protegidas (PHI).

Como começar a adaptar-se à HIPAA: um guia prático

Não é possível "finalizar" a conformidade com a HIPAA. É um programa contínuo. Pode implementar uma conformidade fiável em oito etapas.

Lista de verificação inicial de 8 passos para a conformidade com a HIPAA

1. Determine o seu estado. É uma entidade abrangida, um parceiro comercial ou nenhum dos dois? A resposta determina todos os passos seguintes.
2. Realize uma Análise de Risco de Segurança (ARS). Esta é a deficiência mais referida pelo OCR (13 em 22 em 2024). Inventarie todos os locais onde as Informações de Saúde Protegidas (PHI) são armazenadas, todos os sistemas que acedem a elas e todas as ameaças.
3. Nomeie um Encarregado de Proteção de Dados e um Encarregado de Segurança da Informação. Em organizações pequenas, esta pessoa pode ocupar o mesmo cargo. Defina a função por escrito.
4. Elabore as políticas necessárias. Políticas de privacidade, políticas de segurança, um plano de resposta a incidentes, uma política de sanções e uma política de dispositivos. Os modelos genéricos são um ponto de partida, não a linha de chegada.
5. Assine Acordos de Parceiros Comerciais (BAAs) com todos os fornecedores que lidam com Informação de Saúde Protegida (PHI). Fornecedor de correio electrónico, armazenamento na nuvem, serviço de fax ( Fax.Plus Enterprise inclui um BAA ), empresa de facturação, suporte informático, serviço de transcrição. Sem BAA, sem PHI.
6. Treine a sua equipa. Formação inicial na contratação, atualizações periódicas e formação específica para cada função, para os colaboradores clínicos e de TI. Documente a presença.
7. Implementar medidas técnicas de segurança. Controlos de acesso baseados em funções, registos de auditoria, encriptação em trânsito e em repouso, autenticação multifator (MFA) em todas as contas que lidam com informação de saúde protegida (PHI).
8. Elabore um plano de resposta a violações de segurança. Inclua um processo de avaliação de risco em quatro etapas, um calendário de notificação de 60 dias, uma lista de contactos do Gabinete de Direitos Civis (OCR) e dos Procuradores-Gerais estaduais, e um exercício simulado pelo menos anualmente.

‍