O que é conformidade com a HIPAA? Tudo o que você precisa saber

* Nota do editor: este artigo foi atualizado para refletir as mudanças nos requisitos de conformidade com a HIPAA até meados de 2026. O HHS/OCR, por exemplo, propôs atualizações relevantes na Regra de Segurança (publicadas em 6 de janeiro de 2025), mas elas não são definitivas. As regras atuais da HIPAA continuam valendo e não há data confirmada para a publicação de uma regra final — nem garantia de que ela sairá.

Neste artigo, falamos em detalhes sobre tudo o que precisa saber a respeito da conformidade com a HIPAA. A HIPAA surgiu com dois objetivos principais:

• proteger as informações de saúde das pessoas sem bloquear o fluxo de dados necessário para um atendimento de alta qualidade;
• proteger a saúde e o bem-estar da população.

O que é conformidade com a HIPAA?

A HIPAA — Health Insurance Portability and Accountability Act — é uma lei federal promulgada em 1996 com o objetivo de tornar o sistema de saúde mais eficiente e eficaz. A HIPAA incentiva a proteção e o tratamento confidencial das informações de saúde protegidas (PHI). Estar em conformidade com a HIPAA significa seguir os padrões e as disposições da lei para proteger as PHI contra acessos não autorizados e violações.

Quais são os requisitos de conformidade com a HIPAA?

Para cumprir a HIPAA, sua entidade coberta e seus parceiros de negócios precisam seguir regras e regulamentos específicos criados para proteger as PHI:

Regra de Privacidade

A Regra de Privacidade define padrões nacionais de proteção das PHI. Vale para todas as formas de PHI: eletrônica, escrita e oral. Os principais objetivos da regra são:

• limitar o uso e a divulgação de PHI a finalidades específicas, como tratamento, pagamento e operações de saúde, salvo autorização expressa do paciente;
• garantir os direitos do paciente sobre as informações de saúde, incluindo
  • obter uma cópia dos registros,
  • solicitar correções e
  • ser informado sobre como as informações são usadas e divulgadas.
• implementar salvaguardas administrativas, físicas e técnicas para proteger a privacidade das PHI.

Atualizações recentes e propostas nas regras da HIPAA:

• Privacidade em saúde reprodutiva: o Office for Civil Rights (OCR), órgão responsável por fazer cumprir a HIPAA, propôs em 2024 uma regra final que reforçava a privacidade em saúde reprodutiva. A regra proibia o uso de PHI para investigar ou punir cuidados reprodutivos lícitos sem uma declaração assinada. Porém, ela foi anulada em todo o país por um juiz federal do Distrito Norte do Texas em 18 de junho de 2025 (Purl v. HHS). Essas proteções ampliadas e a exigência da declaração não estão mais em vigor. O tribunal manteve apenas um conjunto mais restrito de atualizações no Aviso de Práticas de Privacidade (NPP) ligadas a registros de transtorno por uso de substâncias (42 CFR Part 2), com prazo de conformidade em 16 de fevereiro de 2026.
• Melhorias de acesso e coordenação: uma proposta separada de 2020, ainda pendente, esclareceria os prazos de acesso do paciente, eliminaria a confirmação por escrito do recebimento do NPP, permitiria divulgações a cuidadores, reduziria barreiras ao compartilhamento para tratamento/pagamento/operações e atualizaria definições como “registro eletrônico de saúde”. Ela não foi finalizada.

Regra de Segurança

A Regra de Segurança complementa a Regra de Privacidade ao tratar especificamente das PHI eletrônicas (ePHI). Ela define padrões de segurança para as ePHI e exige medidas que protejam a integridade, a confidencialidade e a disponibilidade dos dados. A Regra de Segurança se divide em três categorias de salvaguardas:

• Salvaguardas administrativas: políticas e procedimentos para gerenciar a escolha, o desenvolvimento, a implementação e a manutenção de medidas de segurança que protegem as ePHI.
• Salvaguardas físicas: medidas para proteger sistemas eletrônicos de informação, prédios e equipamentos relacionados contra riscos naturais e ambientais e contra invasões não autorizadas.
• Salvaguardas técnicas: tecnologias e políticas que protegem as ePHI e controlam o acesso a elas, como criptografia, controles de acesso e controles de auditoria.

Atualizações propostas nas regras da HIPAA:

Status: propostas, não definitivas, até meados de 2026

• Autenticação multifator (MFA) obrigatória: todas as entidades reguladas precisarão implementar autenticação multifator para reforçar a segurança e impedir acessos não autorizados às ePHI.
• Exigências de criptografia: criptografar as ePHI em repouso e em trânsito passa a ser obrigatório, e não mais “endereçável”, para fortalecer a proteção dos dados.
• Avaliações anuais de risco de segurança: as entidades precisarão fazer uma avaliação completa de risco de segurança pelo menos uma vez por ano para identificar vulnerabilidades de segurança.
• Supervisão mais rígida de fornecedores: os parceiros de negócios terão até 24 horas para avisar as entidades cobertas caso acionem seus planos de contingência por causa de um incidente de segurança.
• Inventário de ativos de tecnologia e mapeamento de rede: as organizações precisarão manter um inventário atualizado dos ativos de tecnologia e mapear os fluxos de dados de ePHI na rede.

Outro ponto a considerar: a proposta foi publicada no Federal Register em 6 de janeiro de 2025, com período de comentários encerrado em 7 de março de 2025. O OCR pretendia finalizá-la em maio de 2026; a data passou sem regra final, e uma coalizão de mais de 100 associações de hospitais e prestadores pediu ao HHS que retire a proposta por completo, citando um custo estimado de US$ 9 bilhões de conformidade no primeiro ano. Hoje não existe data confirmada para a finalização.

Regra de Aplicação

A Regra de Aplicação define os padrões para fazer cumprir todas as Regras de Simplificação Administrativa, incluindo as de Privacidade e Segurança. Ela descreve o processo de investigação, as penalidades por descumprimento e os procedimentos de audiências e recursos. As penalidades por descumprimento podem ser severas.

No último reajuste pela inflação (em vigor desde 28 de janeiro de 2026), as penalidades civis monetárias são:

• Nível 1 (sem conhecimento): US$ 145 a US$ 73.011 por violação
• Nível 2 (causa razoável): US$ 1.461 a US$ 73.011 por violação
• Nível 3 (negligência deliberada, corrigida em até 30 dias): US$ 14.602 a US$ 73.011 por violação
• Nível 4 (negligência deliberada, não corrigida): US$ 73.011 a US$ 2.190.294 por violação

Cada nível tem um teto anual legal de US$ 2.190.294 para violações de uma mesma disposição, embora o Notice of Enforcement Discretion do OCR, de 2019, aplique hoje tetos anuais menores aos níveis 1 a 3 (cerca de US$ 36.506, US$ 146.053 e US$ 365.052, respectivamente), enquanto essa política não for revogada. Esses valores são reajustados anualmente pela inflação.

O uso indevido e intencional de PHI pode gerar penalidades criminais, com multas de até US$ 250.000 e pena de prisão de até 10 anos.

Atualizações propostas nas regras da HIPAA:

• Níveis de penalidade mais rígidos: o OCR sinalizou interesse em multas maiores para violações repetidas e negligência deliberada da conformidade com a HIPAA, dentro da reformulação mais ampla da Regra de Segurança.
• Mais poder de investigação: os reguladores propuseram autoridade para realizar auditorias e investigações, incluindo verificações de conformidade sem aviso prévio.
• Aplicação mais firme dos direitos individuais: o OCR segue atuando nos casos de direito de acesso do paciente, com penalidades por atrasos ou falhas no fornecimento das informações solicitadas.

Regra de Notificação de Violações

A Regra de Notificação de Violações exige avisar as pessoas afetadas, o Secretário do HHS e, em alguns casos, a imprensa quando há violação de PHI desprotegidas. A regra traz exigências específicas para essa notificação:

• Notificação às pessoas: as pessoas afetadas precisam ser avisadas sem atraso injustificado e em no máximo 60 dias após a descoberta da violação.
• Notificação ao HHS: se a violação atingir 500 pessoas ou mais, a entidade coberta precisa avisar o HHS sem atraso injustificado e em no máximo 60 dias após a descoberta. Para violações que atingem menos de 500 pessoas, a notificação ao HHS pode ser anual, em até 60 dias após o fim do ano civil em que a violação foi descoberta.
• Notificação à imprensa: se a violação atingir mais de 500 moradores de um estado ou jurisdição, a entidade coberta precisa avisar os principais veículos de imprensa da região.

Atualizações propostas e relacionadas nas regras da HIPAA:

• Prazos de notificação não ficam mais curtos: os prazos de 60 dias acima continuam iguais. O que mudou é uma exigência separada, proposta na Regra de Segurança: os parceiros de negócios teriam 24 horas para avisar as entidades cobertas após acionar um plano de contingência por causa de um incidente de segurança.
• Notificação obrigatória de eventos de cibersegurança: pela proposta de atualização da Regra de Segurança, mais incidentes de segurança envolvendo ePHI passariam a gerar obrigações de notificação interna entre parceiros de negócios, subcontratados e entidades cobertas, mesmo quando o incidente não chega a ser uma “violação” reportável.
• Exigências estaduais e locais adicionais: algumas jurisdições pedem notificações além do exigido pela lei federal, então as entidades cobertas devem acompanhar a legislação estadual separadamente, já que ela pode trazer prazos mais curtos que os da HIPAA.

Quem precisa estar em conformidade com a HIPAA?

A conformidade com a HIPAA é obrigatória para dois grupos principais: entidades cobertas e parceiros de negócios.

Entidades cobertas

As entidades cobertas incluem:

• planos de saúde, incluindo seguradoras, HMOs, planos de saúde empresariais e certos programas governamentais que pagam por serviços de saúde;
• centrais de processamento de informações de saúde (clearinghouses), que convertem informações não padronizadas recebidas de outra entidade em um formato padrão (ou o contrário);
• prestadores de serviços de saúde, como médicos, clínicas, hospitais, psicólogos, quiropraxistas, casas de repouso, farmácias e qualquer outra entidade que preste serviços de saúde e transmita informações de saúde em formato eletrônico.

Parceiros de negócios

Parceiros de negócios são pessoas ou entidades que exercem funções ou atividades em nome de uma entidade coberta, ou prestam certos serviços a ela, envolvendo o uso ou a divulgação de PHI. Alguns exemplos:

• empresas terceirizadas de faturamento
• provedores de serviços de TI
• consultores
• empresas de armazenamento de dados

Os parceiros de negócios também precisam cumprir os regulamentos da HIPAA e assinar um acordo de parceiro de negócios (BAA) com as entidades cobertas com as quais trabalham.

Boas práticas de conformidade com a HIPAA

Para alcançar e manter a conformidade com a HIPAA, vale seguir algumas boas práticas:

Avaliação e gerenciamento de riscos

Avaliações periódicas de risco ajudam a identificar possíveis vulnerabilidades no tratamento das PHI. Uma avaliação completa inclui estas etapas:

1. Identificar e documentar riscos e vulnerabilidades potenciais: analise todos os aspectos de como as PHI são criadas, recebidas, mantidas e transmitidas.
2. Analisar a probabilidade e o impacto das ameaças: isso ajuda a priorizar os riscos e definir as salvaguardas necessárias.
3. Implementar medidas de segurança adequadas: com base na análise de risco, adote medidas para mitigar os riscos identificados.
4. Revisar e atualizar a avaliação com frequência: o monitoramento e a atualização contínuos garantem que novas ameaças sejam identificadas e tratadas rapidamente.

Treinamento e conscientização dos funcionários

Treine a equipe sobre os regulamentos da HIPAA e a importância de proteger as PHI. Um bom programa de treinamento deve:

• Cobrir o básico da HIPAA: oriente todos os funcionários sobre os componentes principais da lei e suas responsabilidades.
• Incluir políticas e procedimentos específicos: treine a equipe nas políticas e nos procedimentos que garantem a conformidade.
• Trazer atualizações periódicas: ofereça treinamento contínuo para manter todos a par das mudanças nos regulamentos da HIPAA e das novas ameaças.
• Estimular uma cultura de conformidade: crie um ambiente em que as pessoas se sintam responsáveis por proteger as PHI e incentivadas a relatar possíveis violações.

Criptografia e proteção de dados

Criptografar informações de saúde sensíveis é uma medida de segurança fundamental: se os dados forem interceptados, ninguém consegue lê-los sem a chave de criptografia. Entre as boas práticas de criptografia, estão:

• Criptografar dados em repouso e em trânsito: proteja as PHI tanto quando armazenadas quanto quando transmitidas pela rede.
• Usar padrões fortes de criptografia: confirme que os métodos atendem aos padrões atuais do setor e são atualizados com frequência para lidar com novas ameaças.
• Adotar práticas seguras de gerenciamento de chaves: gerencie bem as chaves de criptografia para evitar acessos não autorizados.

Controle de acesso e autenticação

Controlar o acesso às PHI é parte importante da prevenção de acessos não autorizados. Entre as medidas eficazes de controle de acesso e autenticação, estão:

• Implementar controles de acesso baseados em função (RBAC): limite o acesso às PHI conforme a função de cada pessoa na organização.
• Usar métodos fortes de autenticação: adote autenticação multifator para acrescentar uma camada extra de segurança.
• Revisar os controles de acesso regularmente: revise e atualize as permissões periodicamente para que apenas pessoas autorizadas acessem as PHI.

Trilhas de auditoria e monitoramento

Manter trilhas de auditoria e monitorar o acesso às PHI ajuda a detectar e responder a atividades suspeitas. Entre as boas práticas, estão:

• Implementar mecanismos de registro: registre todos os acessos e atividades envolvendo PHI para saber quem acessou qual informação e quando.
• Revisar os registros de auditoria: analise os logs periodicamente para identificar atividades incomuns ou não autorizadas.
• Usar ferramentas automatizadas de monitoramento: detecte automaticamente possíveis incidentes de segurança e alerte os administradores.

Consequências do descumprimento

Descumprir os regulamentos da HIPAA pode trazer consequências graves, como:

• penalidades financeiras
• ações judiciais
• danos à reputação
• interrupções operacionais significativas.

O software usado no setor de saúde, ou no atendimento a clientes dessa área, tem papel importante na conformidade com a HIPAA. Com as ferramentas certas, fica mais fácil atender aos padrões da lei e tirar um peso da cabeça.

NinjaOne oferece várias soluções de software na nuvem que ajudam provedores de serviços de TI a crescer, com recursos que apoiam os esforços de conformidade. Deixe NinjaOne ajudar sua organização a se manter em conformidade com a HIPAA.