Entendendo Informações de Saúde Protegidas (PHI) Sob a HIPAA

Informações de Saúde Protegidas (PHI) são o conceito central na conformidade com a HIPAA. Entender o que se qualifica como PHI determina quais requisitos de proteção de dados se aplicam a organizações de saúde e seus parceiros comerciais.

O Que Se Qualifica como PHI

PHI é qualquer informação de saúde individualmente identificável criada, recebida, armazenada ou transmitida por uma entidade coberta ou parceiro comercial. Ela deve atender a três critérios: está relacionada à condição de saúde de um indivíduo, prestação de cuidados de saúde ou pagamento por cuidados de saúde; identifica o indivíduo ou poderia razoavelmente ser usada para identificá-lo; e é mantida por uma entidade coberta ou parceiro comercial.

Exemplos Comuns de PHI

PHI inclui nomes de pacientes vinculados a prontuários médicos, datas de tratamento, números de prontuários médicos, informações de planos de saúde, códigos de diagnóstico, registros de prescrições, resultados laboratoriais e informações de cobrança. Também se estende a identificadores digitais como endereços IP e IDs de dispositivos quando associados a informações de saúde.

PHI em Contextos Digitais

Analytics de sites de saúde podem criar PHI inadvertidamente quando identificadores de visitantes (como endereços IP ou IDs de cookies) são combinados com páginas visualizadas sobre condições ou tratamentos específicos. É por isso que organizações de saúde devem ser particularmente cuidadosas com suas implementações de analytics.

Os 18 Identificadores da HIPAA

A HIPAA define 18 identificadores específicos que, quando vinculados a informações de saúde, criam PHI. Estes incluem nomes, dados geográficos, datas, números de telefone, endereços de e-mail, números de seguro social, números de prontuários médicos e vários outros. Remover todos os 18 identificadores cria dados desidentificados que não estão mais sujeitos às proteções da HIPAA.