Entidade Coberta (Covered Entity)

O HIPAA não sujeita às suas regras toda a organização que trata dados de saúde. Define três categorias, e a pertença a uma delas ativa o conjunto completo de obrigações de privacidade e segurança. A definição é funcional: uma organização integra uma categoria pelo que faz com a informação de saúde, e não pela sua forma jurídica ou dimensão.

Os prestadores só contam quando transmitem informação de saúde por via eletrónica em transações normalizadas, como faturas e pedidos de elegibilidade. Um consultório que fatura apenas em papel não cumpre a definição.

Muitas organizações de grande dimensão exercem atividades abrangidas e não abrangidas, como uma universidade com hospital universitário ou uma cadeia de retalho com farmácias. O HIPAA permite que se designem como entidade híbrida. Nesse caso, só são tratadas como entidade coberta as componentes que exercem funções abrangidas e que estão identificadas por escrito como componente de saúde.

A designação não serve de saída. Uma componente que fatura pedidos por via eletrónica continua dentro do perímetro, porque as obrigações seguem os dados. As funções exercidas apenas na qualidade de empregador, como o processamento salarial, ficam sempre de fora.

As exclusões pesam tanto como a definição. Os dados que saem do universo HIPAA podem ficar sujeitos a outro regime jurídico, ou a nenhum. Os casos mais comuns são:

• Empregadores enquanto empregadores: Pessoal e salários não são PHI, mesmo com baixas médicas
• Seguradoras de acidentes de trabalho: Regidas pela legislação estadual; em regra, não são planos de saúde
• Seguradoras de vida, automóvel e invalidez: Cobrem risco financeiro, não cuidados de saúde
• A maioria das clínicas escolares e de campus: Os registos clínicos regem-se, em regra, pela FERPA, e não pela HIPAA
• Prestadores apenas em papel: Sem ligação eletrónica às transações normalizadas; hoje raros

A entidade coberta e o business associate são os dois papéis centrais do modelo de dados do HIPAA. A diferença está no sentido do serviço. A entidade coberta atua na relação de saúde em nome próprio: trata doentes, paga faturas ou processa transações normalizadas. O business associate é uma pessoa ou organização exterior ao pessoal da entidade coberta que cria, recebe, mantém ou transmite PHI ao prestar-lhe um serviço, como faturação, transcrição, alojamento ou contabilidade.

Desde a lei HITECH, os business associates respondem diretamente perante os reguladores por muitos requisitos. A entidade coberta mantém, porém, deveres próprios: garantias escritas antes de a PHI chegar a um fornecedor e notificação após uma violação do fornecedor. Uma organização pode acumular os dois papéis. Um hospital que processa faturas de uma clínica vizinha é o business associate dessa clínica e continua a ser entidade coberta para os seus próprios doentes.

A Privacy Rule define o que a entidade coberta pode fazer com a PHI e dá às pessoas direitos sobre a sua própria informação. Deveres principais:

• Utilizações e divulgações permitidas: a PHI pode ser usada para tratamento, pagamento e operações de saúde sem autorização do doente. A maioria dos outros fins, como marketing, venda de informação ou grande parte da investigação, exige autorização escrita.
• Mínimo necessário: cada utilização ou divulgação limita-se à quantidade mínima de PHI necessária, com exceções restritas, como transferências entre prestadores para tratamento.
• Aviso de práticas de privacidade: documento escrito que descreve como a entidade utiliza e divulga a PHI. É entregue aos doentes e disponibilizado a pedido.
• Direitos das pessoas: acesso aos próprios registos, retificação, histórico de divulgações, pedidos de restrição e comunicações confidenciais.
• Gestão: responsável pela privacidade designado, formação e sanções para o pessoal, tratamento de queixas e salvaguardas proporcionais ao risco.

A Security Rule aplica-se à informação de saúde protegida em formato eletrónico (ePHI). Exige um programa documentado e baseado no risco, e não uma lista de verificação fixa. A entidade coberta deve realizar análises de risco periódicas e aplicar salvaguardas administrativas, físicas e técnicas. Entre as técnicas contam-se o controlo de acessos com base na necessidade de conhecer, a identificação única de utilizadores, os registos de auditoria, a proteção da integridade e a cifragem da ePHI em trânsito e em repouso.

A Breach Notification Rule acrescenta um dever com prazos. Os passos são estes:

1. 1

   Presumir violação

   Uma utilização ou divulgação indevida de PHI não protegida presume-se passível de notificação.

2. 2

   Avaliar com quatro fatores

   A presunção mantém-se, salvo se uma avaliação documentada demonstrar baixa probabilidade de comprometimento.

3. 3

   Notificar a tempo

   Notificar as pessoas e o regulador sem demora injustificada e até 60 dias após a descoberta.

Comece por verificar em qual das três categorias se enquadra, porque todos os deveres seguintes dependem dessa resposta. Depois, liste os fornecedores que recebem PHI e os controlos de confidencialidade que cada um deve cumprir. Para uma visão prática da proteção de dados de pacientes, veja proteção de dados de pacientes na saúde.