HIPAA — Lei de Privacidade em Saúde dos EUA

O que é a HIPAA?

A HIPAA (Health Insurance Portability and Accountability Act) é uma lei federal dos Estados Unidos, promulgada em 1996, que estabelece padrões nacionais para a proteção de informações de saúde identificáveis (PHI — Protected Health Information). Embora seja uma regulamentação norte-americana, seus princípios de privacidade e segurança tornaram-se referência global e influenciam legislações de proteção de dados em saúde em todo o mundo, incluindo a LGPD no Brasil.

A HIPAA é composta por várias regras, sendo as mais relevantes para tecnologia em saúde a Privacy Rule (que define quem pode acessar e compartilhar PHI), a Security Rule (que estabelece requisitos técnicos, administrativos e físicos para proteger PHI eletrônica) e a Breach Notification Rule (que determina os procedimentos em caso de violação de dados).

Por que é importante na área da saúde?

Mesmo para instituições fora dos EUA, os princípios da HIPAA são fundamentais:

• Proteção do paciente: a lei assegura que dados sensíveis de saúde — diagnósticos, resultados de exames, histórico de tratamento — sejam acessados apenas por pessoas autorizadas e para fins legítimos.
• Padrão de referência: muitas certificações e avaliações de segurança em saúde utilizam a HIPAA como benchmark, mesmo em países que possuem suas próprias regulamentações.
• Requisitos técnicos claros: a Security Rule define controles específicos como criptografia, controle de acesso, auditoria de logs, backup e plano de recuperação de desastres.
• Penalidades severas: o não cumprimento da HIPAA pode resultar em multas milionárias e processos criminais, incentivando investimentos em segurança da informação.
• Impacto em parceiros internacionais: empresas de tecnologia em saúde que atendem clientes nos EUA ou que processam dados de pacientes americanos devem estar em conformidade com a HIPAA.

Relação com a LGPD e regulamentações brasileiras

O Brasil possui a LGPD (Lei Geral de Proteção de Dados), que, assim como a HIPAA, protege dados pessoais sensíveis, incluindo dados de saúde. Instituições brasileiras devem estar em conformidade com a LGPD, mas adotar os princípios da HIPAA como camada adicional de segurança é uma prática recomendada, especialmente para organizações que buscam certificações internacionais como a ISO 27001.

A Davix adota boas práticas de segurança alinhadas tanto à HIPAA quanto à LGPD, incluindo criptografia de dados em repouso e em trânsito, controles granulares de acesso, registros de auditoria completos e políticas rigorosas de consentimento informado para o tratamento de dados de saúde.