O que é a HIPAA? Uma explicação em linguagem simples

A HIPAA, o Health Insurance Portability and Accountability Act, é uma lei federal dos EUA de 1996 que estabelece normas nacionais para a proteção das informações de saúde dos pacientes e obriga as organizações de saúde e os seus fornecedores a salvaguardá-las. A maioria das pessoas assume que a HIPAA rege apenas hospitais e médicos. Na verdade, a lei abrange empresas de faturação, fornecedores de TI, fornecedores de cloud e o serviço de fax que transmite um encaminhamento.

O Presidente Bill Clinton assinou a HIPAA a 21 de agosto de 1996 como Lei Pública 104-191. O Congresso e o HHS modernizaram-na quatro vezes: a Regra de Privacidade (2003), a Regra de Segurança (2005), a Regra de Notificação de Violações (2009) e a Regra Omnibus (2013). Uma quinta atualização, a maior reformulação da Regra de Segurança em 20 anos, consta da agenda regulamentar do OCR para maio de 2026.

Este guia explica o que significa a HIPAA, as quatro Regras, o que conta como PHI, quem tem de cumprir, as sanções por incumprimento, como a HIPAA se aplica a fax, email, SMS e Slack, e uma lista de verificação inicial em oito passos. Leia-o uma vez e ficará a saber se a HIPAA se aplica à sua organização e o que fazer a seguir.

Definição de HIPAA e breve historial (de 1996 à atualidade)

A HIPAA foi originalmente escrita para ajudar os trabalhadores a manter o seguro de saúde ao mudarem de emprego. As regras de privacidade e segurança que hoje todos lhe associam foram acrescentadas mais tarde.

O que significa HIPAA

HIPAA significa Health Insurance Portability and Accountability Act de 1996. O Presidente Bill Clinton assinou-a a 21 de agosto de 1996 como Lei Pública 104-191. A lei tinha quatro objetivos iniciais: tornar o seguro de saúde portátil entre empregos, reduzir a fraude e o abuso nos cuidados de saúde, normalizar as transações eletrónicas de saúde e proteger as informações de saúde.

A parte da proteção das informações de saúde era a mais pequena da lei original. O Congresso incumbiu o Departamento de Saúde e Serviços Humanos (HHS) de emitir mais tarde os regulamentos concretos de privacidade e segurança. São esses regulamentos que a maioria das pessoas quer dizer hoje quando diz „HIPAA“.

Como a HIPAA evoluiu: as quatro grandes atualizações

• A Regra de Privacidade (2003) estabeleceu as primeiras normas nacionais sobre quem pode utilizar e divulgar PHI e conferiu aos pacientes direitos sobre os seus registos.
• A Regra de Segurança (2005) acrescentou salvaguardas administrativas, físicas e técnicas para a PHI eletrónica.
• A Lei HITECH e a Regra de Notificação de Violações (2009) aumentaram a sanção máxima de 25 000 USD por ano para 1,5 milhões de USD por ano, introduziram a notificação obrigatória de violações e impulsionaram a adoção de registos de saúde eletrónicos com 25 mil milhões de USD em incentivos. A HITECH também deu aos procuradores-gerais estaduais autoridade para aplicar a HIPAA.
• A Regra Omnibus (2013) tornou os associados comerciais diretamente responsáveis por violações da HIPAA e inverteu o ónus da prova na notificação de violações.

Em que ponto está a HIPAA em 2025–2026

O HHS propôs uma importante atualização da Regra de Segurança em janeiro de 2025. Tornaria obrigatórias a autenticação multifator e a encriptação e eliminaria a distinção entre especificações „obrigatórias“ e „abordáveis“. As estimativas de custo do setor chegam aos 34 mil milhões de USD. O Office for Civil Rights manteve a finalização na sua agenda regulamentar para maio de 2026. Trate a MFA e a encriptação como obrigatórias desde já, para evitar correrias mais tarde.

As quatro regras da HIPAA explicadas

Fala-se de „HIPAA“ como se fosse uma única coisa. Na verdade, são quatro Regras interligadas, e a maioria das violações acontece nos pontos de ligação entre elas.

Regra de Privacidade (2003)

A Regra de Privacidade define o que é PHI e quem lhe pode aceder e em que condições. Os pacientes têm direito a aceder aos seus registos, a pedir correções, a obter um relatório das divulgações e a pedir restrições à forma como as suas informações são utilizadas. Os prestadores têm de responder aos pedidos de acesso no prazo de 30 dias, sendo permitida uma única prorrogação de 30 dias.

A Regra permite a utilização de PHI sem autorização do paciente para tratamento, pagamento e operações de cuidados de saúde (a exceção „TPO“). Tudo o resto está sujeito ao padrão do mínimo necessário: divulgar apenas o que é necessário para cumprir a finalidade. O tratamento é a única exceção em que os registos completos podem circular entre prestadores.

Uma falha clássica da Regra de Privacidade: o consultório de um médico envia por fax o estado de VIH de um paciente para aquele que os funcionários julgam ser o médico de família do paciente, mas que afinal é a entidade patronal do paciente. Número errado, sem controlos de mínimo necessário, sem verificação.

Regra de Segurança (2005)

A Regra de Segurança aplica-se apenas a PHI eletrónica (ePHI). Define três categorias de salvaguardas:

• Administrativas: análise de risco, formação dos colaboradores, política de sanções, gestão de acessos
• Físicas: controlos de acesso às instalações, segurança das estações de trabalho, eliminação de dispositivos
• Técnicas: controlos de acesso, registos de auditoria, controlos de integridade, encriptação da transmissão

A atual distinção entre especificações „obrigatórias“ e „abordáveis“ deverá desaparecer com a atualização proposta em 2025. As falhas na análise de risco dominam a fiscalização. Surgiram em 13 das 22 resoluções do OCR encerradas em 2024.

Regra de Notificação de Violações (2009, através da HITECH)

Se houver uma violação de PHI não protegida, as entidades abrangidas têm de notificar três destinatários:

• As pessoas afetadas, no prazo de 60 dias
• O HHS (imediatamente, no caso de violações que afetem 500 ou mais pessoas; no prazo de 60 dias após o final do ano, no caso de violações menores)
• Os principais meios de comunicação social, se forem afetados 500 ou mais residentes de um único estado

A encriptação cria uma zona de proteção. Os dados devidamente encriptados que sejam perdidos ou roubados não desencadeiam a notificação. O acordo de 1,5 milhões de USD da Warby Parker em 2025 combinou falhas da Regra de Segurança e da Regra de Notificação de Violações, depois de um ataque de credential stuffing ter exposto dados de receitas de óculos de clientes.

Existem três exceções para violações: o acesso não intencional por um funcionário autorizado, a divulgação inadvertida entre duas pessoas autorizadas e a divulgação a uma parte que não poderia razoavelmente reter as informações.

Regra Omnibus (2013)

A Regra Omnibus tornou os associados comerciais e os seus subcontratantes diretamente responsáveis perante a HIPAA. Antes de 2013, apenas as entidades abrangidas enfrentavam coimas.

A Omnibus também inverteu o ónus da prova nas violações. Uma utilização ou divulgação não permitida pela Regra de Privacidade é agora presumida como violação, a menos que a entidade abrangida consiga demonstrar uma baixa probabilidade de a PHI ter sido comprometida, através de uma avaliação de risco com quatro fatores.

O que é PHI? Os 18 identificadores que ativam a HIPAA

PHI é qualquer um de 18 identificadores específicos combinado com uma ligação à saúde de uma pessoa, aos cuidados de saúde ou ao pagamento dos mesmos. Se remover corretamente os 18 identificadores, os dados ficam desidentificados, o que significa que deixam de ser PHI.

Os 18 identificadores da HIPAA

1. Nomes
2. Dados geográficos inferiores a um estado
3. Todas as datas, exceto o ano, relacionadas com um indivíduo
4. Números de telefone
5. Números de fax
6. Endereços de email
7. Números de segurança social
8. Números de processo clínico
9. Números de beneficiário de planos de saúde
10. Números de conta
11. Números de certificados ou licenças
12. Identificadores de veículos, incluindo matrículas
13. Identificadores e números de série de dispositivos
14. URLs da Web
15. Endereços IP
16. Identificadores biométricos, incluindo impressões digitais e impressões vocais
17. Fotografias do rosto completo e imagens comparáveis
18. Qualquer outro número, característica ou código de identificação único

Quando os mesmos dados NÃO são PHI

Identificadores sem contexto de saúde não são PHI. O nome de um cliente na lista de correio de um retalhista é apenas um nome. Um contexto de saúde sem identificadores também não é PHI. As estatísticas hospitalares agregadas e devidamente desidentificadas ficam fora da HIPAA. Ambos os elementos têm de estar presentes em simultâneo para que a lei seja aplicável. O nome de um paciente acompanhado de um diagnóstico é PHI. Um diagnóstico sem qualquer identificador não é.

Quem tem de cumprir a HIPAA (e quem não tem)

Os seus dados de Fitbit não estão protegidos pela HIPAA. O programa de bem-estar da sua entidade empregadora provavelmente também não. A HIPAA abrange uma lista específica de organizações, e essa lista é mais restrita do que a maioria das pessoas supõe.

Entidades abrangidas (covered entities, CEs)

Uma entidade abrangida pela HIPAA enquadra-se numa de três categorias:

1. Planos de saúde: seguradoras, HMOs, Medicare, Medicaid e planos de saúde de grupo de entidades empregadoras. A maioria dos planos de saúde de grupo está abrangida, independentemente da dimensão. A exceção restrita é um plano de saúde de grupo autoadministrado com menos de 50 participantes – esses planos ficam fora da HIPAA. Se uma seguradora ou um administrador terceiro gerir o plano, este está abrangido.
2. Câmaras de compensação de cuidados de saúde: entidades que convertem dados não normalizados em transações eletrónicas normalizadas.
3. Prestadores de cuidados de saúde que transmitem qualquer informação de saúde por via eletrónica no âmbito de uma transação abrangida (pedidos de reembolso, verificações de elegibilidade, encaminhamentos).

O critério da transação eletrónica é a razão pela qual quase todos os prestadores modernos estão abrangidos. A partir do momento em que fatura a seguradoras por via eletrónica ou envia um encaminhamento eletrónico, fica abrangido.

Associados comerciais (business associates, BAs)

Um associado comercial é qualquer pessoa ou organização que desempenhe, em nome de uma entidade abrangida, uma função que envolva PHI. Exemplos comuns: empresas de faturação, fornecedores de TI, fornecedores de armazenamento na cloud, serviços de destruição de documentos, escritórios de advogados com acesso a PHI, serviços de transcrição e fornecedores de fax em conformidade com a HIPAA.

Desde a Regra Omnibus de 2013, os associados comerciais são diretamente responsáveis perante o OCR. Assine um Business Associate Agreement (BAA) antes de qualquer troca de PHI. A Gulf Coast Pain Consultants pagou 1,19 milhões de USD depois de um subcontratado ter mantido o acesso ao sistema após a cessação do contrato e ter apresentado pedidos de reembolso fraudulentos ao Medicare, o que mostra o que acontece quando os controlos de acesso dos associados comerciais falham.

Quem NÃO está abrangido pela HIPAA

• Entidades empregadoras que tratam informação de saúde dos trabalhadores fora de um plano de saúde de grupo (aplicam-se, em alternativa, a ADA e a FMLA)
• Aplicações de fitness para consumidores que não vendem a prestadores de cuidados de saúde, incluindo Fitbit, Apple Health e MyFitnessPal (aplica-se, em alternativa, a Health Breach Notification Rule da FTC)
• Escolas e universidades (os registos de alunos são regulados pela FERPA)
• Seguradoras de vida, seguradoras de acidentes de trabalho e a maioria das seguradoras de invalidez
• Autoridades policiais
• Empresas de análise de marketing sem acesso a PHI

A HIPAA e os canais de comunicação: fax, email, SMS, Slack, vídeo

Um consultório dentário do Texas pagou 10 000 USD porque um funcionário respondeu a uma avaliação de uma estrela no Yelp com dados de um paciente. A HIPAA acompanha a mensagem, não o meio. Cada canal que a sua equipa utiliza para transmitir PHI precisa da sua própria resposta.

A matriz de conformidade

‍

Fax: ainda o cavalo de batalha da saúde

Ao abrigo da exceção de mero transporte (conduit), a operadora telefónica não é um associado comercial quando transmite um fax, porque nunca inspeciona nem armazena o conteúdo. Isto mantém o fax tradicional dentro dos canais permitidos pela HIPAA.

O fax analógico tem dois problemas práticos. Não existe registo de auditoria, e um dígito errado pode expor PHI (o incidente do estado de VIH enviado ao empregador). Um serviço de fax na cloud em conformidade com a HIPAA, como Fax.Plus, assina um BAA no plano Enterprise, encripta o tráfego em trânsito e em repouso, regista cada envio e receção e permite que a equipa envie a partir do email ou de um navegador web. A equipa pode enviar faxes diretamente do email sem sair do fluxo de trabalho que já utiliza.

Email e mensagens

O email gratuito de consumo é a violação silenciosa da HIPAA mais comum. Gmail, Outlook.com, Yahoo e iCloud não assinam um BAA nos níveis gratuitos. Google Workspace e Microsoft 365 pagos têm capacidade para a HIPAA, mas só depois de celebrar o BAA e de restringir a configuração (desativar o acesso de aplicações de terceiros, ativar o registo de auditoria, impor MFA).

O SMS padrão não está em conformidade. As operadoras não assinam BAAs e as mensagens ficam armazenadas sem encriptação nos dispositivos e nos sistemas das operadoras. Utilize antes uma aplicação de mensagens segura para a HIPAA.

Vídeo e colaboração

FaceTime e as contas pessoais de Zoom estão excluídos. Zoom for Healthcare, Doxy.me e Microsoft Teams (com BAA) são admitidos. Slack exige Enterprise Grid para assinar um BAA. As áreas de trabalho Slack padrão, por mais bem configuradas que estejam, não estão em conformidade com a HIPAA.

Violações e sanções da HIPAA: quanto custa o incumprimento

Em 2024, o Office for Civil Rights do HHS encerrou 22 ações de fiscalização no valor de 9,9 milhões de USD. A mesma causa de fundo, „não realização de uma análise de risco adequada“, surgiu em 13 delas.

Níveis de sanções civis (2026)

• Nível 1 (desconhecimento): de 145 USD a 73 011 USD por violação, até 2 190 294 USD por ano
• Nível 2 (causa razoável): de 1461 USD a 73 011 USD por violação
• Nível 3 (negligência intencional, corrigida no prazo de 30 dias): de 14 618 USD a 73 011 USD por violação
• Nível 4 (negligência intencional, não corrigida): de 73 011 USD a 2 190 294 USD por violação

Sanções penais

O OCR remete os casos criminais para o Departamento de Justiça, que os instaura. Obter ou divulgar PHI intencionalmente: até 50 000 USD e 1 ano de prisão. Mediante falsos pretextos: até 100 000 USD e 5 anos. Com intenção de vender, transferir ou utilizar para vantagem comercial ou dano malicioso: até 250 000 USD e 10 anos.

Casos reais de fiscalização em 2024–2025

• Warby Parker, 1,5 M USD (2025): ataque de credential stuffing; a retalhista de óculos era uma entidade abrangida
• Montefiore Medical Center, 4,75 M USD: um colaborador interno roubou mais de 12 000 registos; controlos de auditoria fracos
• Enzo Biochem, 4,5 M USD: exposição a ransomware atribuída a credenciais partilhadas e a uma palavra-passe com uma década
• Gulf Coast Pain Consultants, 1,19 M USD: um prestador de serviços cujo contrato terminou manteve o acesso ao sistema e apresentou pedidos de reembolso fraudulentos ao Medicare
• Clínica dentária do Texas, 10 000 USD: o proprietário respondeu a uma avaliação no Yelp com dados do paciente

A Right of Access Initiative do OCR deu origem a 54 ações de fiscalização desde 2019, com coimas de 3500 USD a 160 000 USD para prestadores que não entregaram os registos a tempo.

Quem aplica a HIPAA

O HHS Office for Civil Rights é responsável pela aplicação civil. Os procuradores-gerais dos estados também podem instaurar ações ao abrigo da HIPAA (a HITECH concedeu essa competência em 2009). O Departamento de Justiça instaura os processos criminais. A FTC aplica a Health Breach Notification Rule a aplicações de saúde não abrangidas pela HIPAA, como os monitores de atividade física.

Leis estaduais que vão além da HIPAA

A HIPAA é o patamar mínimo federal. Alguns estados construíram edifícios mais altos por cima dele, e a lei estadual prevalece quando é mais rigorosa.

• CMIA da Califórnia: definição mais ampla de informação médica, aplica-se a mais tipos de entidades, confere aos pacientes um direito de ação privado para processar diretamente e exige o acesso aos registos em 5 dias, contra os 30 da HIPAA.
• HB 300 do Texas: alarga o conceito de „entidade abrangida“ a praticamente qualquer pessoa que trate PHI no Texas, impõe formação bienal dos colaboradores nos 90 dias seguintes à contratação e autoriza coimas do procurador-geral até 1,5 milhões de USD por ano.
• MHMDA de Washington: a lei de privacidade de saúde do consumidor mais abrangente dos EUA. Abrange dados de monitores de atividade física, aplicações de registo do ciclo menstrual e informações de aplicações de bem-estar que a HIPAA exclui, e confere um direito de ação privado.

A SHIELD Act de Nova Iorque e a Genetic Information Privacy Act do Illinois acrescentam camadas adicionais nos respetivos estados.

Quando a lei estadual é mais rigorosa do que a HIPAA, cumpra a lei estadual. Quando a HIPAA é mais rigorosa, prevalece a HIPAA. Mapeie ambas para cada estado em que trata PHI.

Como começar a cumprir a HIPAA: uma lista de verificação prática

Não é possível „concluir“ a conformidade com a HIPAA. É um programa contínuo. Mas é possível montar um programa credível em oito passos.

A lista de verificação inicial da HIPAA em 8 passos

1. Determine o seu estatuto. É uma entidade abrangida, um associado comercial ou nenhum dos dois? A resposta condiciona todos os outros passos.
2. Realize uma análise de risco de segurança (SRA). É a deficiência mais citada pelo OCR (13 de 22 em 2024). Inventarie todos os locais onde a PHI se encontra, todos os sistemas que lhe acedem e todas as ameaças.
3. Nomeie um responsável pela privacidade e um responsável pela segurança. Em organizações pequenas, pode ser a mesma pessoa. Defina a função por escrito.
4. Redija as políticas exigidas. Políticas de privacidade, políticas de segurança, um plano de resposta a violações, uma política de sanções e uma política de dispositivos. Os modelos genéricos são um ponto de partida, não o ponto de chegada.
5. Assine BAAs com todos os fornecedores que tratem PHI. Fornecedor de email, armazenamento na cloud, serviço de fax (Fax.Plus Enterprise inclui um BAA), empresa de faturação, suporte informático, serviço de transcrição. Sem BAA, sem PHI.
6. Forme os seus colaboradores. Formação inicial na contratação, atualizações periódicas e formação específica por função para o pessoal clínico e de TI. Documente a presença.
7. Implemente salvaguardas técnicas. Controlos de acesso baseados em funções, registos de auditoria, encriptação em trânsito e em repouso, MFA em todas as contas que acedem a PHI.
8. Crie um guia de resposta a violações. Processo de avaliação de risco de quatro fatores, prazo de notificação de 60 dias, lista de contactos do OCR e dos procuradores-gerais estaduais, e um exercício teórico pelo menos uma vez por ano.

‍