Este artigo é apenas para fins informativos e não constitui aconselhamento jurídico. Consulte um advogado especializado em conformidade com saúde para orientações específicas para sua organização.
Qualquer organização de saúde que colete dados de pacientes por meio de formulários online deve atender aos requisitos técnicos e administrativos da HIPAA. Este guia explica o que esses requisitos realmente significam, quem é legalmente obrigado a cumpri-los, quanto custam as violações e o que procurar ao avaliar qualquer ferramenta de formulário online. Isso inclui equívocos comuns que levam a não conformidades acidentais.
Índice
O que é conformidade com HIPAA?
A Lei de Portabilidade e Responsabilidade de Seguro de Saúde (HIPAA), assinada em 1996, estabelece o padrão federal para proteger informações sensíveis de saúde dos pacientes. Para organizações que coletam dados de pacientes digitalmente, duas regras são diretamente relevantes:
Regra de Privacidade. governa como as Informações de Saúde Protegidas (PHI) podem ser usadas, divulgadas e compartilhadas. PHI inclui qualquer informação de saúde identificável individualmente: nomes, datas de nascimento, endereços, números de prontuário médico, códigos de diagnóstico, IDs de seguro e outros 14 identificadores definidos em 45 CFR §164.514(b).
Regra de Segurança. estabelece salvaguardas técnicas, físicas e administrativas específicas para PHI eletrônica (ePHI). Esta é a regra com implicações mais diretas para formulários online: especifica padrões de criptografia, requisitos de controle de acesso, capacidades de auditoria e gerenciamento de sessões.
Ambas as regras se aplicam simultaneamente. A Regra de Privacidade determina o que você pode fazer com os dados; a Regra de Segurança determina como você deve protegê-los enquanto faz isso.
As regras são aplicadas pelo Escritório de Direitos Civis (OCR) do HHS. O OCR conduz investigações baseadas em reclamações e auditorias aleatórias, e tem se concentrado cada vez mais em ferramentas digitais desde 2020.
Quem precisa estar em conformidade com HIPAA?
A HIPAA se aplica a duas categorias de organizações. Muitos negócios de saúde se enquadram em ambas.
Entidades Cobertas
Qualquer organização que transmita informações de saúde eletronicamente como parte de transações padrão de saúde:
- Provedores de saúde: médicos, hospitais, clínicas, dentistas, terapeutas, quiropráticos, farmácias
- Planos de saúde: companhias de seguro, HMOs, planos de saúde patrocinados por empregadores, Medicare e Medicaid
- Clearinghouses de saúde: organizações que processam informações de saúde não padronizadas em formatos padronizados
Note que “provedor de saúde” é definido de forma ampla. Um terapeuta solo em prática privada, uma startup de telemedicina e uma rede de hospitais são todas Entidades Cobertas se transmitirem informações de saúde eletronicamente.
Associados de Negócios
Qualquer fornecedor ou contratado terceirizado que lide com PHI em nome de uma Entidade Coberta é um Associado de Negócios. Isso inclui:
- Construtores de formulários online e plataformas de admissão de pacientes
- Provedores de armazenamento em nuvem onde os dados dos formulários são armazenados
- Serviços de e-mail e fax usados para transmitir informações de pacientes
- Serviços de faturamento e codificação
- Empresas de suporte de TI com acesso a sistemas que armazenam PHI
- Firmas de advocacia, contabilidade ou consultoria que revisam registros de pacientes
Um Acordo de Associado de Negócios (BAA) é legalmente necessário antes que qualquer PHI passe por uma ferramenta de terceiros. Sem um BAA assinado, usar essa ferramenta é, por si só, uma violação da HIPAA. independentemente de ocorrer uma violação.
Implicação prática: Se você usa um formulário online para coletar informações de admissão de pacientes, solicitações de consulta ou detalhes de seguro, o construtor de formulários deve estar em conformidade com HIPAA e deve assinar um BAA com sua organização. Usar uma ferramenta de formulário de uso geral sem um BAA expõe sua prática à responsabilidade.
Quais são as penalidades por violações da HIPAA?
As violações da HIPAA são aplicadas pelo OCR e acarretam penalidades escalonadas de acordo com a gravidade e o nível de conhecimento da violação:
| Categoria de violação | Penalidade por violação | Limite anual |
|---|---|---|
| Não sabia | $100 – $50,000 | $25,000 |
| Causa razoável | $1,000 – $50,000 | $100,000 |
| Negligência intencional (corrigida em 30 dias) | $10,000 – $50,000 | $250,000 |
| Negligência intencional (não corrigida) | $50,000 | $1,900,000 |
Os valores das penalidades são ajustados anualmente para a inflação. Os valores acima refletem os montantes estatutários originais; os mínimos ajustados de 2024 começam em $141 por violação, com o nível mais alto atingindo $2,134,831 anualmente.
Violações criminais. onde indivíduos divulgam PHI conscientemente. acarretam penas de prisão de 1 a 10 anos, dependendo da intenção.
Procuradores-gerais estaduais também podem iniciar ações de aplicação da HIPAA independentes, às vezes resultando em penalidades adicionais além das multas federais.
Exemplos recentes de aplicação:
- Em 2025, o OCR fechou um acordo com a Deer Oaks Behavioral Health por $225,000 após resumos de alta de pacientes permanecerem acessíveis publicamente online por mais de 18 meses devido a um erro de codificação em um portal de pacientes descontinuado. A investigação do OCR descobriu que a falha central foi uma análise de risco inadequada. um requisito fundamental da Regra de Segurança.
- Em 2022, o OCR fechou um acordo com New England Dermatology por $300,640 após informações de pacientes em etiquetas de recipientes de amostras serem descartadas em um contêiner não seguro. um lembrete de que a HIPAA também cobre o manuseio físico de PHI.
Ignorância não é uma defesa legal. A posição do OCR é que cada Entidade Coberta e Associado de Negócios tem a obrigação de entender as regras e verificar a conformidade de forma proativa.
O que a HIPAA exige dos formulários online
A Regra de Segurança (45 CFR Parte 164) especifica seis categorias de salvaguardas técnicas que qualquer sistema que lide com ePHI deve atender. Aqui está o que cada uma significa no contexto de formulários online:
1. Criptografia em repouso e em trânsito
A ePHI deve ser criptografada quando armazenada em servidores e quando transmitida entre o navegador de um paciente e seu servidor. O NIST recomenda AES-128 ou AES-256 para dados em repouso, e TLS 1.2 ou superior para dados em trânsito. HTTPS sozinho não é suficiente. HTTPS aborda apenas a criptografia em trânsito; os dados também devem ser criptografados no disco.
2. Controles de acesso
Apenas indivíduos autorizados devem poder visualizar envios de formulários de pacientes. Isso requer permissões baseadas em funções. um coordenador de admissão deve poder visualizar envios, mas não necessariamente baixar exportações de dados brutos; um administrador de faturamento pode precisar de acesso diferente de um clínico. Logins genéricos compartilhados para toda a sua equipe não satisfazem esse requisito.
3. Controles de auditoria
Os sistemas devem manter registros que documentem quem acessou PHI, quando e quais ações foram realizadas. Esses registros devem ser retidos e disponíveis para revisão durante uma auditoria HIPAA. Registros de auditoria são uma das primeiras coisas que o OCR solicita durante uma investigação.
4. Tempo limite automático de sessão
Para evitar acesso não autorizado a estações de trabalho desatendidas, as sessões devem terminar automaticamente após um período definido de inatividade. O OCR não especifica um período exato de tempo limite, mas a prática padrão em ambientes de saúde é 15 minutos para bloqueio automático e 30 minutos para término completo da sessão.
5. Acordo de Associado de Negócios
Antes que qualquer ePHI passe por uma ferramenta de terceiros, um BAA assinado deve estar em vigor. O BAA estabelece que o fornecedor aceita a responsabilidade legal pela conformidade com HIPAA em sua parte. Sem ele, você é pessoalmente responsável por qualquer PHI que passe pelo sistema do fornecedor.
6. Controles de integridade
Os sistemas devem ter mecanismos para detectar se a ePHI foi alterada ou destruída indevidamente. por exemplo, checksums ou assinaturas digitais em documentos enviados. Isso é particularmente relevante para formulários de consentimento e autorizações de tratamento.
Equívocos comuns
Esses mal-entendidos frequentemente levam a não conformidades acidentais:
“Usamos HTTPS, então estamos cobertos.”
HTTPS criptografa dados apenas em trânsito. A Regra de Segurança também exige criptografia em repouso. Um formulário que envia dados via HTTPS, mas os armazena sem criptografia em um servidor, não está em conformidade. Além disso, HTTPS não diz nada sobre controles de acesso, registros de auditoria ou gerenciamento de sessões.
“Usamos Google Forms / Typeform / JotForm.”
O Google Workspace oferece um BAA para planos pagos, mas o Google Forms padrão não se qualifica para uso coberto por HIPAA. O Typeform requer um plano Enterprise ou Growth Custom para acessar um BAA; planos padrão não incluem um. O JotForm requer um plano Gold ou Enterprise para recursos HIPAA e um BAA assinado. planos Free, Bronze e Silver são excluídos. Se você estiver em um plano padrão para qualquer uma dessas ferramentas, usá-las para coletar PHI é uma violação da HIPAA, independentemente de como os dados são tratados posteriormente. Sempre verifique a elegibilidade do BAA do seu plano atual diretamente com o fornecedor antes de coletar qualquer PHI.
“Nossa prática é muito pequena para importar.”
A HIPAA se aplica a todas as Entidades Cobertas, independentemente do tamanho. O OCR já aplicou penalidades a praticantes solo e pequenas clínicas. O nível de penalidade “não sabia” ainda acarreta multas de até $50,000 por violação.
“Coletamos apenas solicitações de consulta, não registros médicos.”
Solicitações de consulta que incluem o nome do paciente, informações de contato e motivo da visita (que geralmente inclui informações de saúde) constituem PHI. Formulários de admissão, formulários de verificação de seguro e formulários de consentimento estão todos sob a jurisdição da HIPAA.
“Nossa equipe de TI cuida da HIPAA. não precisamos nos preocupar com formulários.”
A conformidade com HIPAA se aplica a todos os sistemas que tocam PHI, não apenas ao seu EHR. Cada ferramenta deve ser avaliada individualmente e, se for um serviço de terceiros, coberta por um BAA.
Como avaliar qualquer ferramenta de formulário
Antes de usar qualquer ferramenta de formulário online para coletar dados de pacientes, verifique o seguinte. Isso se aplica a qualquer fornecedor, não apenas à PlatoForms:
1. O fornecedor assina um BAA?
Solicite diretamente. Se um fornecedor se recusar a assinar um BAA ou disser que não é necessário, não use sua ferramenta para PHI. Uma revisão do modelo de BAA pelo seu advogado antes de assinar é aconselhável.
2. Onde os dados são armazenados e são criptografados em repouso?
Peça ao fornecedor para confirmar seu padrão de criptografia para dados armazenados (AES-256 é a melhor prática atual) e a localização geográfica de seus servidores. A residência dos dados pode ser importante para requisitos de conformidade em nível estadual.
3. A plataforma possui controles de acesso baseados em funções?
Você pode atribuir permissões diferentes a diferentes membros da equipe? Você pode restringir quem pode visualizar, baixar ou excluir envios?
4. Os registros de auditoria estão disponíveis?
Você pode exportar um registro de todos os eventos de acesso e autenticação para sua conta? Os registros são retidos por tempo suficiente para suportar uma auditoria HIPAA (mínimo de 6 anos)?
5. A plataforma impõe tempos limites de sessão?
As sessões são encerradas automaticamente após inatividade? Isso é configurável ou fixo pelo fornecedor?
6. O fornecedor possui certificações de segurança independentes?
SOC 2 Tipo II é a auditoria de segurança de terceiros mais comum para empresas SaaS. Sua presença não garante conformidade com HIPAA, mas indica que o fornecedor leva a segurança a sério e passa por revisão independente. Nota: a própria certificação SOC 2 da PlatoForms está atualmente planejada; no entanto, a infraestrutura subjacente da AWS que hospeda os dados da PlatoForms é certificada SOC 2 Tipo II.
7. Quanto tempo os dados do formulário são retidos?
A HIPAA exige um período mínimo de retenção de 6 anos para registros cobertos. Verifique a política de retenção de dados padrão do fornecedor e se você pode configurá-la.
Como a PlatoForms atende a todos os requisitos
A PlatoForms fornece conformidade com HIPAA como um recurso de conta integrado nos planos Silver e Gold. Quando ativado, todas as salvaguardas técnicas são ativadas automaticamente.
Criptografia AES-256 e TLS 1.2+
Todos os dados do formulário são criptografados em repouso usando AES-256 e em trânsito usando TLS 1.2+. Isso se aplica a cada envio, PDF e anexo desde o momento em que um paciente começa a preencher o formulário.
Domínio seguro
Após ativar a HIPAA, todos os formulários publicados são movidos de form.platoforms.com para secure.platoforms.com. Se você usou algum script de incorporação ou URL de compartilhamento, atualize-os dentro de 7 dias. URLs antigos e scripts de incorporação param de funcionar após isso. Se você usar um domínio personalizado, o URL de compartilhamento permanece o mesmo, mas os scripts de incorporação ainda precisam ser atualizados.
Bloqueio e logout automáticos
- Bloqueio automático de 15 minutos. a página bloqueia após inatividade; senha necessária para desbloquear
- Logout automático de 30 minutos. a sessão termina completamente após 30 minutos de inatividade ou quando o navegador é fechado
Registro de auditoria da equipe
Os administradores da equipe têm acesso a um registro de auditoria completo que registra cada evento de compartilhamento, autenticação e acesso em toda a equipe. Revisar regularmente esses registros é recomendado para detectar comportamentos incomuns e apoiar a documentação de conformidade. Veja como usar o registro de auditoria.
Controles de acesso baseados em funções
Permissões granulares permitem que você controle exatamente quais membros da equipe podem visualizar, editar ou baixar envios de formulários.
Autenticação de dois fatores
2FA pode ser ativado por conta ou tornado obrigatório para todos os membros da equipe.
Acordo de Associado de Negócios assinado
Quando a conformidade com HIPAA é ativada, a PlatoForms envia um BAA assinado para o e-mail do Administrador da Equipe. Um modelo de BAA para download também está disponível no Centro de Confiança.
Assinaturas eletrônicas com certificados à prova de adulteração
Cada certificado de assinatura captura o carimbo de data/hora do assinante, endereço IP e um checksum SHA-256 do PDF enviado. criando um registro de integridade verificável para formulários de consentimento, autorizações de tratamento e acordos de pacientes.
Retenção de dados configurável
Para contas compatíveis com HIPAA, a retenção de dados é padrão como “Para sempre”, garantindo que os dados de envio sejam retidos para atender aos padrões HIPAA. Veja a política de retenção de dados para detalhes completos.
Começando
A conformidade com HIPAA está disponível nos planos Silver e Gold sem custo adicional.
- Inscreva-se em um plano Silver ou Gold e faça o upgrade a partir do seu painel de conta
- Vá para sua página Equipe no Painel
- Clique em Ativar Conformidade com HIPAA para Sua Equipe e siga as instruções
4. A PlatoForms atualiza todas as contas da equipe e envia o BAA assinado para o e-mail do Administrador da Equipe
Para um guia técnico completo, veja a documentação de conformidade com HIPAA. Para arquitetura de segurança, certificações e documentos de conformidade para download, visite o Centro de Confiança.
Para orientações sobre a Regra de Segurança do HHS, consulte a página de recursos oficial do HHS.
Pronto para coletar dados de pacientes com segurança? Inicie um teste gratuito e ative a conformidade com HIPAA desde o primeiro dia.
