Proteção de dados de pacientes nos EUA: guia HIPAA e HITECH para centros de radiologia dentária

Se seu centro de radiologia dentária opera nos Estados Unidos ou atende pacientes estadunidenses, você está sob a jurisdição da Health Insurance Portability and Accountability Act (HIPAA, Public Law 104-191) de 1996 e seu reforço posterior, o Health Information Technology for Economic and Clinical Health Act (HITECH) de 2009. Uma única violação mal gerida de PHI pode custar até USD 1.5 milhão por ano por categoria de violação, além do dano reputacional do HHS Wall of Shame.

Este artigo explica o que é PHI, o que cada regra exige, por que você precisa de um BAA com qualquer provedor cloud e como o CBCTHub atende aos controles técnicos, físicos e administrativos exigidos pela Security Rule. Profissionais brasileiros que já conhecem a LGPD vão reconhecer muitos paralelos, mas a HIPAA é mais específica para saúde.

HIPAA em poucas palavras

HIPAA é um conjunto de regulamentações federais que protege a informação médica dos pacientes (Protected Health Information ou PHI) e estabelece padrões para seu armazenamento, transmissão e divulgação. Compõe-se principalmente de quatro regras:

• Privacy Rule: 45 CFR Part 160 e 164 Subparts A e E. Define o que é PHI e quando pode ser usado.
• Security Rule: 45 CFR Part 164 Subpart C. Exige controles técnicos, físicos e administrativos para PHI eletrônica (ePHI).
• Breach Notification Rule: 45 CFR Part 164 Subpart D. Obriga a notificar violações.
• Enforcement Rule: 45 CFR Part 160 Subpart C, D, E. Define o regime sancionatório do OCR.

O que é PHI e os 18 identificadores

PHI e qualquer informação de saúde que possa ser associada a um individuo. A regra define 18 identificadores que transformam um dado em PHI: nome, endereço, datas (exceto ano), telefone, email, SSN, MRN, número de conta, número de licença, placa do veiculo, identificadores de dispositivo, URL, IP, biométricos, fotos faciais, identificadores genéricos e qualquer outro identificador único. Uma tomografia CBCT com o nome do paciente nos metadados DICOM é PHI.

Privacy Rule: quando você pode usar e divulgar PHI

O uso e divulgação de PHI exige autorização do paciente, salvo em casos específicos: tratamento, pagamento, operações sanitárias (TPO), saúde pública, pesquisa com IRB e outros. Para enviar uma tomografia a um especialista, está autorizado por TPO. Para usá-la em marketing, você precisa de autorização escrita específica.

Security Rule: os três tipos de salvaguardas

Salvaguardas administrativas

• Designação de um Security Officer.
• Análise de riscos formal e documentada.
• Políticas de gestão de acessos.
• Treinamento da equipe.
• Plano de contingência e resposta a incidentes.

Salvaguardas físicas

• Controle de acesso as instalações onde se armazena PHI.
• Política de uso de estações de trabalho.
• Controles de dispositivos e mídias.

Salvaguardas técnicas

• Autenticação única por usuário.
• Criptografia de ePHI em trânsito e em repouso (addressable, mas esperada).
• Audit controls que registrem acesso a ePHI.
• Mecanismos de integridade.
• Logoff automático.

Business Associate Agreement (BAA): obrigatório

Qualquer fornecedor que crie, receba, mantenha ou transmita PHI em seu nome é um Business Associate (BA). Você deve assinar um BAA com cada um antes de compartilhar PHI. Isso inclui qualquer provedor cloud (AWS, Google Cloud, Cloudflare, Supabase) e qualquer serviço que toque em PHI (email, armazenamento, analytics). Sem BAA, qualquer uso é uma violação HIPAA.

HITECH Act: reforço de 2009

O HITECH endurece o regime: estende a HIPAA diretamente aos BAs, sobe as multas, introduz a notificação obrigatória de violações, cria o HHS Wall of Shame (lista pública de violações que afetam mais de 500 indivíduos) e promove a adoção de prontuários eletrônicos.

Notificação de violações

Qualquer violação de ePHI não segura (que não estivesse criptografada conforme padrões do HHS) exige notificação:

• Aos indivíduos afetados: dentro de 60 dias.
• Ao HHS: dentro de 60 dias (ou anual se menos de 500 indivíduos).
• A mídia: se afetar mais de 500 residentes de um estado ou jurisdição.

Sanções do OCR

O OCR aplica multas em quatro níveis segundo a culpabilidade:

• Tier 1 (desconhecimento): USD 100 a USD 50.000 por violação, USD 25.000 anual máximo por categoria.
• Tier 2 (causa razoável): USD 1.000 a USD 50.000, USD 100.000 anual.
• Tier 3 (negligencia voluntaria corrigida): USD 10.000 a USD 50.000, USD 250.000 anual.
• Tier 4 (negligencia voluntaria não corrigida): USD 50.000 por violação, USD 1.5 milhão anual máximo.

Além disso, violações que afetem mais de 500 indivíduos aparecem no HHS Wall of Shame, lista pública permanente que destrói a confiança do paciente.

Riscos concretos para uma clínica de imagem dentária nos EUA

O laptop com cópia de DICOM sem criptografia roubado de um carro, o email enviado ao endereço errado com CBCT anexado, o portal web mal configurado que expõe exames por URL sequencial, o ex-funcionário que baixa PHI antes de sair. Todos geram violações reportáveis. A Anthem pagou USD 16 milhões em 2018 por uma violação; a UCLA Health, USD 7.5 milhões; a Memorial Healthcare, USD 5.5 milhões.

Como o CBCTHub ajuda você a cumprir HIPAA e HITECH

Criptografia de ePHI em trânsito e em repouso

TLS 1.3 em todas as conexões e AES-256 em repouso no Cloudflare R2. Cumpre o padrão safe harbor do HHS Guidance on Encryption: se os dados criptografados são expostos, não constituem uma violação reportável.

Business Associate Agreement assinável

O CBCTHub oferece BAA pronto para assinatura eletrônica para clientes com planos Pro, Max e Ultra. O modelo cobre a totalidade dos requisitos do 45 CFR 164.504(e).

Audit controls integrais

Cada acesso a um exame, cada download, cada modificação fica registrada com timestamp, IP e user_id. Cumpre o requisito de Audit Controls do 164.312(b). O log e exportável em CSV para entregar a auditores OCR.

Autenticação única e controle de acessos

Cada usuário tem conta individual com autenticação. Suportamos SSO com Google e Apple, e MFA em planos superiores. Cumpre o requisito de Unique User Identification do 164.312(a)(2)(i).

Logoff automático

As sessões expiram após inatividade configurável. Cumpre Automatic Logoff do 164.312(a)(2)(iii).

Row Level Security (RLS) no Supabase

Isolamento estrito entre clínicas. Nem a equipe do CBCTHub pode ver PHI sem acesso explícito e registrado.

PIN e links únicos

Cada exame tem URL única com identificador opaco e PIN opcional. O paciente ou o dentista que recebe só acessa com o link específico e, se ativado, o PIN. Cumpre Access Control do 164.312(a).

Expiração automática de links

Os links compartilhados expiram conforme a política configurada. Cumpre o principio de minimum necessary do 164.502(b).

Exclusão segura

DELETE /api/v1/exams/{id} remove ePHI de forma irreversível. Cumpre Média Ré-use do 164.310(d)(2)(ii).

Procedimento de notificação de violações

Temos plano documentado que cumpre o prazo de 60 dias para notificação ao cliente. Se a violação afeta um cliente, o notificamos para que possa escalar ao HHS dentro do prazo.

Hospedagem nos EUA

Os dados de clínicas estadunidenses são hospedados em regiões dos EUA. Cloudflare R2 e Supabase oferecem regiões US-East e US-West.

Checklist de conformidade HIPAA para seu centro

• Designar Security Officer e Privacy Officer.
• Completar Risk Analysis documentado e atualizá-lo anualmente.
• Assinar BAA com o CBCTHub e com cada BA.
• Políticas escritas de uso e divulgação de PHI.
• Treinamento HIPAA da equipe no ingresso e anual.
• Plano de resposta a violações com prazo de 60 dias.
• Política de retenção de PHI segundo o estado (mínimo 6 anos de documentação HIPAA).
• Auditoria anual de acessos a ePHI.
• Criptografia de todos os dispositivos que armazenem ePHI.

FAQ

Posso enviar um CBCT por Gmail padrão?

Não. Gmail padrão não é HIPAA-compliant porque o Google não oferece BAA. Google Workspace com BAA e HIPAA-compliant somente se você tem o contrato assinado e configurado. O mais seguro e enviar um link CBCTHub.

Por quanto tempo devo conservar a PHI?

HIPAA exige 6 anos para a documentação administrativa. A retenção de PHI clínica depende do estado: Florida exige 4 anos após o último contato, Texas 7, Califórnia permanente para menores.

O que acontece se eu perder um laptop com PHI?

Se o laptop estava criptografado conforme padrão HHS, não é uma violação reportável. Se não estava, você tem 60 dias para notificar o paciente e o HHS. Uma clínica de Massachusetts pagou USD 1.55M em 2016 por um laptop roubado sem criptografia.

Preciso assinar algo com o CBCTHub?

Sim, um BAA. Está disponível para planos Pro, Max e Ultra. Solicite-o pelo painel da conta.

Recursos oficiais

• HHS HIPAA Home
• Office for Civil Rights (OCR)
• HHS Breach Report (Wall of Shame)
• 45 CFR Subchapter C

Solicite o BAA do CBCTHub | Solução para centros de radiologia nos EUA | Planos e preços

Este artigo é informativo e não constitui assessoria legal. Consulte um advogado especializado em HIPAA para o seu caso específico.