Os três tipos de salvaguarda
- Administrativas (§164.308): análise e gestão de riscos, segurança do pessoal, formação, procedimentos de incidentes, plano de contingência, avaliação.
- Físicas (§164.310): acesso às instalações, uso e segurança dos postos de trabalho, controlo de dispositivos e suportes.
- Técnicas (§164.312): controlo de acessos, controlos de auditoria, integridade, autenticação, segurança das transmissões.
Começar pela análise de riscos
O §164.308(a)(1)(ii)(A) exige uma avaliação rigorosa e completa dos riscos para a confidencialidade, a integridade e a disponibilidade da informação de saúde eletrónica. Todo o resto do seu programa depende dela.
Parceiros de negócio
Quem trata esta informação por sua conta tem de assinar um business associate agreement, e fica diretamente sujeito à Security Rule.
Uma reforma proposta
Em janeiro de 2025, o HHS propôs uma atualização profunda da Security Rule. Até ser publicada uma regra final, a atual continua em vigor: verifique o estado da proposta antes de planear em função dela.
Documentação e violações
- Conservar as políticas e os registos exigidos durante seis anos (§164.316(b)(2)).
- Notificar uma violação de informação não protegida sem demora injustificada e no prazo de 60 dias de calendário após a descoberta (§§164.404 a 164.408).
- As violações que afetam 500 ou mais pessoas exigem também aviso ao HHS ao mesmo tempo e, em alguns casos, aos meios de comunicação.
Perguntas
- Existe uma certificação HIPAA?
- Não existe nenhuma oficial. O HHS não certifica empresas. Há terceiros que oferecem avaliações, mas não são certificações governamentais.
- O que são especificações addressable?
- Tem de as avaliar e aplicar se for razoável e adequado, ou documentar porque não e adotar uma alternativa equivalente quando apropriado. Não são opcionais.