DocumentaçãoSuporteCosta Rica · Contato
ESENPT
Fale conosco
  • Legal

HIPAAHealth Insurance Portability and Accountability Act of 1996

Em poucas palavras

A HIPAA é uma lei federal dos Estados Unidos de 1996 cujas regras, editadas pelo Departamento de Saúde e Serviços Humanos (HHS), protegem as informações de saúde tratadas por prestadores, planos de saúde, câmaras de compensação e seus associados comerciais. Permite usar essas informações para tratamento, pagamento e operações sem autorização do paciente, exige autorização para outros usos e dá às pessoas o direito de acessar seus dados. Não cobre quem não é entidade coberta nem atua para uma.

Tipo
Marco legal
Responsável
U.S. Congress; rules: HHS; enforcement of the Privacy, Security and Breach Notification Rules: HHS Office for Civil Rights
Versão vigente
Pub. L. 104-191
Jurisdição
Estados Unidos
Revisado
25 de outubro de 2026

Explicação

O que é

A Health Insurance Portability and Accountability Act of 1996 (Lei Pública 104-191, de 21 de agosto de 1996) inclui no seu título II a simplificação administrativa. Com essa base, o HHS editou as regras que hoje estão no título 45 do Código de Regulamentos Federais (CFR):

RegraOnde
Disposições gerais e cumprimento45 CFR parte 160
Transações, conjuntos de códigos e identificadores45 CFR parte 162
Segurança45 CFR parte 164, subparte C
Notificação de violações45 CFR parte 164, subparte D
Privacidade45 CFR parte 164, subparte E

O Escritório de Direitos Civis (OCR) do HHS aplica as regras de privacidade, segurança e notificação de violações.

A quem se aplica

As entidades cobertas são os planos de saúde, as câmaras de compensação e os prestadores que transmitem informações de saúde em forma eletrônica em transações padrão (§ 160.103), além dos seus associados comerciais. Para a HIPAA, «estado» inclui Porto Rico, as Ilhas Virgens, Guam, Samoa Americana e as Ilhas Marianas do Norte.

Regras-chave de privacidade

  • Uso e divulgação para tratamento, pagamento e operações de assistência sem autorização; pedir consentimento para esses fins é opcional (§ 164.506).
  • Autorização escrita para outros usos (§ 164.508).
  • Direito de acesso: a entidade deve responder em 30 dias, prorrogáveis uma única vez por até mais 30 dias com aviso escrito (§ 164.524).
  • Leis estaduais de privacidade mais rigorosas não são afastadas (§ 160.203).

Situação em outubro de 2026

  • Última alteração vigente: a regra final de 24 de março de 2026 (91 FR 14350) adotou padrões para anexos de cobranças e assinaturas eletrônicas; vigora desde 26 de maio de 2026 e o cumprimento é obrigatório a partir de 26 de maio de 2028.
  • Saúde reprodutiva: segundo o HHS, um tribunal federal do Texas anulou em 18 de junho de 2025 a maior parte da regra de 2024 sobre privacidade da saúde reprodutiva.
  • Segurança: a reforma da regra de segurança proposta em 6 de janeiro de 2025 continua sendo uma proposta.

Equívocos comuns

  • Achar que protege todo dado de saúde. Só obriga entidades cobertas e associados comerciais; outras normas podem se aplicar fora desse âmbito.
  • Achar que impede compartilhar para a assistência. O tratamento é um uso permitido sem autorização.
  • Tratar uma proposta como regra. Propostas publicadas no Federal Register não obrigam até serem adotadas como regra final.

Exemplos de uso

  1. A definição de «estado» da HIPAA (§ 160.103) inclui Porto Rico, as Ilhas Virgens, Guam, Samoa Americana e as Ilhas Marianas do Norte, além do Distrito de Colúmbia.

  2. Um prestador pode enviar um resumo clínico a outro prestador para tratar o paciente sem pedir autorização (§ 164.506).

  3. Diante de um pedido de acesso, a entidade coberta tem 30 dias para responder e pode prorrogá-los uma vez, por até mais 30 dias, se explicar o motivo por escrito (§ 164.524).

  4. A regra final de 2026 sobre anexos de cobranças exige que as assinaturas eletrônicas desses anexos sigam o guia HL7 CDA R2 Digital Signatures and Delegation of Rights.

  5. A Federal Trade Commission aplica sua própria Health Breach Notification Rule, atualizada em 2024, a fornecedores de registros pessoais de saúde não cobertos pela HIPAA.

Relação com outros termos

Apoia-se em0

Este termo não se apoia em outros do glossário.

Dependem deste1

Fontes

  1. Public Law 104-191 — Health Insurance Portability and Accountability Act of 1996 (govinfo)govinfo.gov
  2. eCFR — 45 CFR Part 160, General Administrative Requirementsecfr.gov
  3. eCFR — 45 CFR Part 164, Security and Privacyecfr.gov
  4. HHS — HIPAA and Reproductive Health (status of the 2024 rule after Purl v. HHS)hhs.gov
  5. Federal Register — HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information (proposed rule, 90 FR 898, 6 January 2025)federalregister.gov
  6. Federal Register — Health Breach Notification Rule (FTC final rule, 89 FR 47028, 30 May 2024)federalregister.gov
  7. Federal Register — Administrative Simplification; Adoption of Standards for Health Care Claims Attachments Transactions and Electronic Signatures (91 FR 14350, 24 March 2026)federalregister.gov
Glossário de interoperabilidade em saúde