Frameworks – HIPAA: o que a plataforma cobre
A HIPAA é a legislação norte-americana que protege informações de saúde. Ela se aplica a quem lida com dados de saúde de pessoas nos Estados Unidos, e alcança fornecedores desses agentes.
Para quem serve
Para empresas brasileiras que prestam serviço a organizações de saúde americanas, ou que tratam dados de saúde de pessoas nos Estados Unidos.
Os casos que mais aparecem:
- A empresa desenvolve software usado por clínicas, hospitais, operadoras ou laboratórios nos Estados Unidos.
- A empresa hospeda, processa ou transmite dados de saúde em nome de um cliente americano.
- Um contrato exige a assinatura de um acordo específico de tratamento desses dados.
Se a sua empresa não atua nesse mercado, este framework não se aplica, e habilitá-lo só adiciona pendências.
Dois papéis, e você provavelmente é o segundo
A legislação distingue quem presta o serviço de saúde de quem presta serviço a quem presta serviço de saúde.
Empresas de tecnologia brasileiras quase sempre estão no segundo grupo: são fornecedoras que tratam dados de saúde em nome do cliente. Isso tem duas consequências práticas:
Você depende de um contrato específico. O cliente americano vai exigir um acordo formal sobre o tratamento desses dados, com obrigações definidas. Sem esse acordo assinado, o serviço não pode ser prestado.
As obrigações chegam por contrato, não só por lei. O que o cliente exige de você tende a ser mais específico do que o texto legal, porque ele repassa as próprias obrigações.
Por isso, no caso da HIPAA, ler o contrato é tão importante quanto ler a norma.
O que ela cobra, em linhas gerais
As obrigações se organizam em três frentes:
Privacidade. Quem pode acessar informação de saúde, para quê, e o que a pessoa tem direito de saber e de pedir.
Segurança. As proteções administrativas, físicas e técnicas sobre a informação de saúde em formato eletrônico. É a frente onde a plataforma ajuda mais.
Notificação de incidente. O que fazer, com quem falar e em quanto tempo, quando informação de saúde é exposta.
A parte de segurança tem uma característica útil: várias exigências são deliberadamente flexíveis, permitindo que a empresa escolha como atender conforme o seu porte e o seu risco. Isso significa que a justificativa da escolha precisa estar documentada.
O que é comprovado automaticamente e o que não é
| Área | Como é comprovada |
|---|---|
| Controle de acesso, autenticação, privilégio mínimo | Integrações |
| Criptografia, backup, registro de logs | Integrações |
| Registro de quem acessou informação de saúde | Integrações e evidência, conforme o sistema |
| Análise de risco documentada | Módulo de Riscos e documentos |
| Políticas de privacidade e segurança | Documentos publicados |
| Acordos com clientes e subfornecedores | Documentos e módulo de Fornecedores |
| Treinamento do time | Evidência enviada |
| Plano e registro de notificação de incidente | Módulo de Incidentes |
A análise de risco é o centro
Se há um entregável que sustenta todo o resto na HIPAA, é a análise de risco documentada. Ela é o que justifica as escolhas de proteção que a empresa fez, especialmente nas exigências flexíveis.
Na plataforma, o módulo de Riscos é onde esse trabalho fica registrado, com o risco identificado, a avaliação e o tratamento apontando para o controle correspondente.
Uma análise de risco ausente ou genérica é o achado mais grave em uma fiscalização desse regime.
Por onde começar
- Confirme o seu papel e obtenha o contrato específico assinado com o cliente.
- Mapeie onde a informação de saúde entra, circula e é armazenada. Reduza esse alcance onde puder.
- Faça a análise de risco e registre no módulo de Riscos, ligando cada risco ao controle que o trata.
- Conecte as integrações de nuvem e identidade.
- Publique as políticas de privacidade e de segurança da informação de saúde.
- Ajuste o processo de incidentes para os prazos e destinatários do regime.
- Registre o treinamento do time que tem contato com esses dados.
O que costuma dar problema
- Análise de risco inexistente ou copiada. É a base de todo o resto.
- Subfornecedores sem acordo. Se você usa um serviço de nuvem para tratar esses dados, a cadeia contratual precisa acompanhar.
- Registro de acesso incompleto. Saber quem acessou qual informação, e quando, é exigência recorrente.
- Treinamento sem evidência. Fazer e não registrar equivale a não fazer.
⚠️ Esta página descreve o propósito e a estrutura geral das obrigações em linguagem própria, para orientar o uso da plataforma. Ela não é orientação jurídica e não reproduz o texto legal. O enquadramento da sua empresa, as obrigações contratuais e os prazos devem ser definidos com assessoria jurídica qualificada no direito norte-americano.
Este artigo foi útil?