PHIPA ou HIPAA: principais diferenças para a conformidade na saúde

O que significa PHIPA?

PHIPA significa Personal Health Information Protection Act, 2004 (Lei de Proteção da Informação de Saúde Pessoal, de 2004) e é a lei que regula a informação de saúde dos doentes em Ontário, Canadá. Entrou em vigor em 2004 e é supervisionada pelo Information and Privacy Commissioner of Ontario (Comissário de Informação e Privacidade do Ontário), um regulador independente que investiga queixas e violações de dados.

A PHIPA estabelece as regras sobre como as organizações de saúde recolhem, utilizam, armazenam e partilham aquilo a que chama informações de saúde pessoais (PHI): tudo o que identifique um doente e esteja relacionado com a sua saúde, como processos clínicos, resultados de exames e receitas.

O que significa HIPAA?

HIPAA significa Health Insurance Portability and Accountability Act (Lei de Portabilidade e Responsabilidade dos Seguros de Saúde), a lei federal dos Estados Unidos que protege a informação de saúde dos doentes. Foi aprovada em 1996 e, nos EUA, este mesmo tipo de dados chama-se informação de saúde protegida, cuja sigla em inglês também é PHI.

A HIPAA assenta em algumas regras essenciais: uma Privacy Rule (Regra de Privacidade) que limita a forma como os dados de saúde são utilizados e partilhados, uma Security Rule (Regra de Segurança) que exige salvaguardas para os registos eletrónicos e uma Breach Notification Rule (Regra de Notificação de Violações) que abrange o que acontece quando os dados são expostos. Para uma visão completa, consulte o nosso artigo explicativo sobre o que é a HIPAA e o nosso guia sobre as três regras da HIPAA.

A HIPAA aplica-se no Canadá?

Não, a HIPAA não se aplica no Canadá. A HIPAA é uma lei federal dos EUA e não tem força legal a norte da fronteira. Este é um equívoco muito comum: uma clínica canadiana pede um serviço de fax „em conformidade com a HIPAA“ quando, na verdade, precisa de um que cumpra a lei de privacidade canadiana. Para a saúde em Ontário, essa lei é a PHIPA.

Qual é o equivalente canadiano da HIPAA?

Não existe um único equivalente canadiano da HIPAA. A privacidade na saúde no Canadá é tratada província a província, pelo que Ontário tem a PHIPA, enquanto uma lei nacional distinta, chamada PIPEDA, abrange de forma mais ampla os dados pessoais do setor privado. Para um prestador de cuidados de saúde do Ontário, a PHIPA é a lei que se aplica aos processos de doentes.

Esta é também a resposta curta a uma questão relacionada, PHIPA vs PIPEDA: a PHIPA é a lei específica de privacidade da saúde do Ontário e a PIPEDA é a lei federal geral de privacidade. Os PHI ao abrigo da PHIPA são também mais restritos e específicos do que as informações pessoais ao abrigo da PIPEDA, porque dizem respeito diretamente à saúde e aos cuidados de uma pessoa. Quando estão em causa informações de saúde no Ontário, prevalece a PHIPA.

Quais são as principais diferenças entre a PHIPA e a HIPAA?

As maiores diferenças entre a PHIPA e a HIPAA resumem-se à jurisdição e aos nomes que cada lei atribui às mesmas funções. Ambas procuram manter os dados dos doentes privados e ambas exigem segurança robusta, consentimento e notificação de violações, mas os detalhes divergem de formas que são relevantes para um fornecedor.

‍

As estruturas espelham-se quase papel por papel. A PHIPA designa a organização de saúde como Custodiante de Informações de Saúde; a HIPAA designa-a como entidade abrangida. A PHIPA designa o fornecedor que trata dados em nome do prestador de cuidados como agente; a HIPAA designa-o como associado de negócio. Em ambos os sistemas, o prestador de cuidados de saúde assume o dever jurídico principal, e o fornecedor só trata dados ao abrigo de um acordo escrito.

Como diferem a PHIPA e a HIPAA na notificação de violações?

O prazo é a maior diferença prática. Ao abrigo da HIPAA, uma entidade abrangida tem geralmente até 60 dias para notificar, e as violações que afetem 500 ou mais registos são comunicadas ao regulador federal. A PHIPA é mais rápida e mais abrangente: um custodiante tem de notificar o doente afetado e o Comissário de Informação e Privacidade do Ontário de imediato, assim que se verifique uma situação de violação que obrigue a notificação, e não existe um número mínimo de registos. A PHIPA acrescenta ainda uma etapa que a HIPAA não prevê: os custodiantes apresentam ao IPC um relatório anual com a contagem das violações notificáveis do ano civil anterior, até 1 de março.

Para um fornecedor de fax, isto condiciona o modo como a resposta a incidentes tem de funcionar. Um serviço concebido apenas em torno do prazo de 60 dias da HIPAA seria demasiado lento para o Ontário. O fornecedor tem de sinalizar um incidente que se enquadre nos critérios de notificação e fazer chegar os detalhes ao custodiante de imediato, para que este possa cumprir o prazo mais curto da PHIPA.

Como tratam a PHIPA e a HIPAA o consentimento do doente?

Tanto a PHIPA como a HIPAA permitem que a informação de saúde circule para fins de tratamento sem um formulário assinado separado de cada vez. Ao abrigo da PHIPA, um prestador do Ontário pode basear-se no consentimento implícito dentro do círculo de cuidados, isto é, os profissionais diretamente envolvidos no tratamento de um doente, desde que se cumpram determinadas condições. A HIPAA funciona segundo um princípio semelhante, permitindo que a informação circule para tratamento, pagamento e operações de cuidados de saúde sem autorização separada. Ambas as leis exigem consentimento explícito logo que se ultrapassam essas finalidades essenciais, como o marketing.

Para um fornecedor de fax, o ponto prático é o mesmo ao abrigo de ambas as leis: gerir o consentimento é tarefa do prestador de cuidados de saúde, não do fornecedor. Um serviço de fax transmite o documento; nunca decide se existe consentimento.

O que exigem a PHIPA ou a HIPAA para o envio de processos de doentes por fax?

Para enviar processos de doentes por fax ao abrigo da PHIPA ou da HIPAA, o serviço tem de fazer mais do que simplesmente enviar um documento. O fax continua a ser comum nos cuidados de saúde porque cria um registo ponto a ponto claro entre duas partes conhecidas, mas uma ferramenta de fax comum não satisfará nenhuma das leis. Um serviço em conformidade precisa de cifragem dos dados em trânsito e em repouso, controlos de acesso como credenciais únicas e autenticação de dois fatores, registos de auditoria que indiquem quem enviou ou abriu cada documento, eliminação segura que impeça a recuperação e um acordo escrito que ponha por escrito as obrigações do fornecedor.

A mesma lógica aplica-se quando os formulários de doentes têm de ser assinados eletronicamente. Se uma clínica recolhe formulários de admissão, formulários de consentimento, documentação de encaminhamento ou outros documentos relacionados com doentes através de uma plataforma de assinatura eletrónica, esse serviço também precisa de ter implementadas as salvaguardas e o acordo escrito adequados. Nem todas as assinaturas num formulário recebido por fax são desse tipo de assinatura eletrónica: muitos formulários de admissão e de consentimento que ainda chegam por fax têm uma assinatura em fac-símile, uma reprodução carimbada ou pré-impressa de uma assinatura manuscrita, e não uma assinatura captada eletronicamente, e essa distinção afeta o registo de auditoria em que uma equipa de conformidade pode realmente confiar. Para os prestadores de cuidados de saúde do Ontário, isso significa utilizar uma configuração de fornecedor de serviços preparada para a PHIPA; para os prestadores de cuidados de saúde dos EUA, significa utilizar um fornecedor preparado para a HIPAA com um BAA assinado.

Esse acordo escrito é a linha divisória. Sem um Acordo de Prestador de Serviços PHIPA ou um BAA HIPAA, não é possível usar uma ferramenta de fax para dados de doentes, por muito robusta que seja a tecnologia. O acordo assinado é o que torna o fornecedor formalmente responsável.

Existe uma certificação ou um registo PHIPA?

Não, a PHIPA não tem um programa central de certificação ou de registo. A conformidade é algo que uma organização demonstra, e não um selo que se obtém num registo. O custodiante e os seus fornecedores mantêm em arquivo as suas políticas, salvaguardas, procedimentos de consentimento e registos de violações, e apresentam-nos se um cliente ou o Comissário os solicitar. É por isso que um fornecedor cuidadoso dirá que está em conformidade com a PHIPA e poderá mostrar os seus controlos, em vez de apontar para um selo oficial PHIPA que não existe.

Um único serviço de fax pode estar em conformidade com a PHIPA e com a HIPAA?

Sim, uma única plataforma de documentos de saúde pode suportar fluxos de trabalho PHIPA e HIPAA , e Fax.Plus e Sign.Plus fazem-no. Fax.Plus suporta o envio de fax online em conformidade para processos de doentes, enquanto Sign.Plus suporta assinaturas eletrónicas seguras para formulários de saúde, documentos de consentimento, encaminhamentos e documentação administrativa.

Ambos os serviços estão em conformidade com a PHIPA para prestadores de cuidados de saúde do Ontário e com a HIPAA para organizações de saúde dos EUA, e ambos fornecem o acordo escrito exigido por cada lei: um Acordo de Prestador de Serviços PHIPA para prestadores do Ontário e um Business Associate Agreement assinado para organizações dos EUA. Os custodiantes do Ontário também podem escolher uma região de processamento canadiana para o seu ambiente, garantida através da fixação técnica da região e do Acordo de Prestador de Serviços PHIPA.

Em termos técnicos, ambos os serviços protegem os documentos com cifragem em trânsito e em repouso, acesso único por utilizador, permissões baseadas em funções, autenticação de dois fatores e registos de auditoria da atividade dos documentos. Funcionam ao abrigo de programas ISO 27001 e SOC 2 Type II auditados de forma independente, com residência de dados na Suíça e mais de 20 localizações de residência disponíveis. Essas certificações são inspeções independentes da forma como os serviços protegem os dados, que é exatamente o que tanto a PHIPA como a HIPAA esperam por trás da redação legal.

Pode ler mais sobre se Fax.Plus é seguro, explorar a solução de fax para a saúde, ver como funciona o envio de fax em conformidade com a HIPAA, ou consultar a API de fax em conformidade com a HIPAA se estiver a integrar o envio de fax num sistema existente.