HIPAA não é a GDPR com sotaque americano

Os cursos de nível Sênior "Conformidade: GDPR a fundo" e "Conformidade: LGPD a fundo" tratam de leis gerais. Elas obrigam quase qualquer empresa que toque dados pessoais das pessoas certas e dão a essas pessoas um conjunto de direitos individuais. Elas se aplicam do mesmo jeito a quem vende seguros e a quem vende sapatos. A HIPAA não é construída assim, e todo erro que um time Rails comete com ela vem de supor que é.

A HIPAA é setorial e condicional. A primeira pergunta dela não é "de quem são estes dados?". Ela pergunta "quem é você, e que tipo de dado é este?" ao mesmo tempo. Erre qualquer uma das metades e você erra a aplicabilidade. É uma falha diferente do gatilho territorial da GDPR, e mais perigosa. É fácil se convencer de que um app próximo da saúde é regulado quando não é, ou não regulado quando é.

O teste em duas partes

A Privacy Rule, a Security Rule e a Breach Notification Rule da HIPAA só te obrigam se as duas condições valerem ao mesmo tempo:

1. Você é uma entidade coberta ou um associado de negócio. Uma entidade coberta é um plano de saúde, uma câmara de compensação de saúde ou um prestador de serviços de saúde que transmite informação de saúde eletronicamente em certas transações padrão, como um hospital, uma clínica, uma operadora. Um associado de negócio é qualquer organização que presta uma função ou serviço a uma entidade coberta com acesso a informação de saúde protegida. Ela não é, ela mesma, uma entidade coberta.
2. Os dados são informação de saúde protegida (PHI): informação de saúde que identifica uma pessoa. É um fato sobre a saúde física ou mental de alguém, o atendimento que recebeu ou o pagamento por ele, combinado com algo que diz quem ela é.

Um time Rails pode falhar nesse teste nas duas direções. Um app de condicionamento físico em que os usuários registram os próprios treinos pode guardar dados ligados à saúde que não são PHI. Os registros vêm dos próprios usuários e nunca são compartilhados com um profissional de saúde ou uma operadora. Ele não é entidade coberta nem associado de negócio, e a HIPAA não o alcança, por mais sensíveis que os dados pareçam. Uma plataforma de cobrança que processa contas para uma clínica é quase certamente associada de negócio no momento em que toca uma única conta. Isso vale por mais longe de "software médico" que o próprio marketing dela soe.

A maioria dos times Rails que tocam dados de saúde são associados de negócio

Este é o fato para guardar antes do resto do curso. Uma startup que vende um produto para um hospital, uma clínica ou uma operadora, e guarda ou processa dados em nome deles, é associada de negócio. A entidade coberta continua sendo o hospital ou a operadora.

Isso importa porque as obrigações de um associado de negócio são reais e fiscalizáveis por si só, mas não são idênticas às de uma entidade coberta. Um associado de negócio não deve aos pacientes, por exemplo, o aviso de práticas de privacidade que uma entidade coberta entrega diretamente a eles.

Um associado de negócio também pode ter os próprios subcontratados, como um provedor de nuvem, um fornecedor de análise de dados ou um pipeline de logs. A cadeia de obrigações da HIPAA segue os dados por cada um deles. A lição 3 trata de como essa cadeia é documentada.

O que este curso cobre

1. Esta lição: o gatilho setorial, ou seja, entidade coberta, associado de negócio e o que conta como PHI.
2. Usos permitidos, divulgações e o mínimo necessário: por que não há aqui a maquinaria de consentimento da GDPR, e o padrão de arquitetura que a substitui.
3. O contrato de associado de negócio: o contrato que torna legal lidar com PHI, e como é uma cadeia de subcontratados.
4. A Security Rule: salvaguardas administrativas, físicas e técnicas, a divisão entre obrigatórias e endereçáveis, e uma regra em mudança.
5. Comunicação de vazamentos: uma presunção que você precisa refutar, um prazo diferente do da GDPR e a linha dos 500 registros.
6. Desidentificação: a lista enumerada do Safe Harbor contra a Expert Determination, e o contraste forte com o padrão de anonimização da GDPR.
7. Juntando tudo: um modelo de acesso, um log de auditoria, um pipeline de desidentificação e um registro de fornecedores, em formatos Rails.

Um aviso antes de tudo isso: nada neste curso é aconselhamento jurídico. Decisões sobre aplicabilidade e conformidade com a HIPAA são de um advogado que conheça o seu negócio. Este curso ensina o formato de engenharia da lei bem o bastante para você ter essa conversa em vez de ir no chute.