Dicas para Garantir a Conformidade com a HIPAA

A Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA) foi promulgada em 1996 com a intenção de proteger as informações sensíveis dos pacientes, referidas no documento como informações pessoalmente identificáveis (PII). Esta peça essencial da legislação se aplica a todas as organizações de saúde e a qualquer associado comercial que manipule dados sensíveis como resultado de sua relação com a indústria da saúde.

À medida que a tecnologia usada para transmitir e gerenciar PII mudou, a HIPAA também mudou. A atualização mais recente ocorreu em 2013. Chamado de Regra Final Omnibus, a atualização incluiu mudanças importantes tanto na Regra de Segurança quanto na Regra de Notificação de Violação, alterando a redação para que ambas agora envolvam a inclusão de associados comerciais nos planos de conformidade.

Como resultado da Regra Final Omnibus, os provedores de saúde agora são responsáveis por garantir que a PII esteja protegida em toda a cadeia de informações, o que significa examinar cuidadosamente todos, desde desenvolvedores de aplicativos móveis até provedores de serviços de hospedagem em nuvem. Continue lendo para encontrar algumas dicas úteis sobre como garantir a conformidade com a HIPAA em sua forma mais recente.

1. Crie Relações Eficazes com Associados Comerciais

Como todos os fornecedores, prestadores de serviços e outros associados comerciais de um provedor de saúde devem cumprir as regulamentações da HIPAA, é importante desenvolver relações eficazes com empresas respeitáveis. Comece encontrando maneiras eficazes de transmitir informações com segurança online, como implementar uma solução de fax eletrônico. Em seguida, passe a garantir que os provedores de armazenamento de dados e desenvolvedores de aplicativos estejam em conformidade.

Não se limite a aceitar a palavra de uma empresa de que ela segue as regras e regulamentações da HIPAA. Obtenha documentação que demonstre a conformidade de cada associado comercial e obrigue a empresa a seguir procedimentos de treinamento e auditoria essenciais. A Regra de Privacidade exige que os provedores de saúde obtenham garantias satisfatórias de seus associados comerciais por escrito, na forma de um contrato ou outro acordo formal entre as duas entidades.

2. Desenvolva e Mantenha uma Política de Segurança Abrangente

Toda organização de saúde deve ter uma política abrangente de segurança de dados que descreva como a PII é acessada, armazenada e transmitida. A política também deve indicar como as auditorias internas devem ser realizadas e que tipo de treinamento os funcionários e fornecedores terceirizados receberão em conformidade com a HIPAA.

Como os requisitos da HIPAA são complexos, muitos provedores de saúde têm dificuldade em determinar o que incluir em suas políticas de segurança de dados. Como regra geral, inclua qualquer informação que se relacione à PII. A política de segurança de dados deve ser atualizada conforme necessário e revisada regularmente. À medida que são atualizadas, as mudanças devem ser comunicadas claramente aos funcionários e associados comerciais para que seja fácil colocá-las em prática.

3. Tenha um Oficial de Segurança de Dados Dedicado

Dada a complexidade das regras e regulamentações da HIPAA, é irrealista esperar que membros da equipe que não receberam treinamento específico em segurança de dados desenvolvam, implementem e garantam a conformidade com a política de segurança de dados da empresa. Organizações de saúde maiores costumam manter equipes de especialistas dedicados em segurança de dados. Embora isso possa não ser possível para empresas menores, é importante ter um Oficial de Segurança da HIPAA designado, pois isso é exigido pela Regra de Segurança.

O Oficial de Segurança da HIPAA ou a equipe deve ser encarregado de:

• Estabelecer e impor salvaguardas para garantir a conformidade com a Regra de Segurança.
• Abordar quaisquer questões que surgirem em relação a controles de acesso, recuperação de desastres, continuidade de negócios ou resposta a incidentes.
• Realizar avaliações de risco internas e facilitar auditorias de terceiros de fornecedores e associados comerciais.
• Investigar violações de dados e implementar medidas para mitigação futura.

Integrar tanto a conformidade com a HIPAA quanto a segurança de TI nas estratégias de negócios mais amplas da empresa.

4. Realize Avaliações de Risco Regulares

Os Oficiais de Segurança da HIPAA são responsáveis por conduzir avaliações de risco regulares e implementar medidas corretivas, mas os funcionários da organização e os associados comerciais devem trabalhar com o SO fornecendo informações precisas. Realizar e documentar avaliações de risco de rotina ajuda as organizações a se prepararem e responderem a solicitações de auditorias aleatórias da HIPAA de forma mais eficaz.

Quando uma organização é selecionada para uma auditoria aleatória, a equipe de segurança deve se preparar com antecedência realizando uma auditoria interna abrangente. O Escritório dos Direitos Civis (OCR) oferece todas as listas de verificação e ferramentas de avaliação de risco necessárias para isso. Muitas organizações realizam auditorias internas de rotina trimestralmente para facilitar a identificação de problemas potenciais.

O melhor lugar para começar é com uma revisão de documentos relacionados à conformidade e sessões de treinamento de funcionários, mas não avalie apenas como as políticas da HIPAA da empresa parecem no papel. O Oficial de Segurança também deve realizar visitas em diferentes áreas da instalação de saúde para procurar informações visíveis dos pacientes em telas de computador ou mesas.

5. Estabeleça Protocolos de Treinamento Explícitos

Tanto a equipe de um provedor de saúde quanto seus associados comerciais devem ser obrigados a revisar as políticas de privacidade e proteção de dados da organização durante as sessões de treinamento relacionadas à HIPAA. Estabelecer protocolos explícitos é sempre importante.

Tanto as Regras de Privacidade quanto de Segurança oferecem sugestões sobre com que frequência essas sessões de treinamento da HIPAA devem ser exigidas, sem fornecer um prazo definitivo. Novos funcionários devem receber treinamento dentro de um “prazo razoável”, e cursos de reciclagem adicionais devem ser implementados quando a instalação fizer mudanças funcionais ou materiais em suas políticas e procedimentos relacionados à HIPAA.

Os protocolos de treinamento devem variar com base no papel dos funcionários. Seminários de treinamento de TI geralmente incluem mais informações sobre como implementar salvaguardas eficazes ao armazenar ou transmitir dados digitais, por exemplo, enquanto as sessões destinadas ao pessoal médico podem se concentrar mais em ações pessoais que devem ser tomadas para garantir a conformidade. Lembre-se de que proteger a PII de ameaças presenciais é tão essencial quanto garantir a segurança adequada dos dados quando as informações protegidas dos pacientes são transmitidas em formato digital.

Comece a Fazer Mudanças

As organizações de saúde não devem esperar até enfrentar uma auditoria da HIPAA ou, pior ainda, multas por não conformidade, para começar a implementar mudanças positivas. Comece contratando um Oficial de Segurança da HIPAA dedicado com todo o treinamento necessário para elaborar políticas específicas, escolhendo associados comerciais respeitáveis e implementando salvaguardas contra violações de dados e ameaças internas. A partir daí, garantir a conformidade com a HIPAA é em grande parte uma questão de manter tudo, desde as políticas da empresa até os protocolos de segurança de dados, atualizados e documentar tudo que envolve o armazenamento ou transmissão de PII para proteger a organização no caso de uma auditoria.