HIPAA é lei americana — mas isso não significa que só afeta empresas americanas. Se você tem pacientes, clientes ou parceiros nos Estados Unidos e lida com dados de saúde deles, HIPAA pode se aplicar à sua operação. E quando a infraestrutura está em cloud, existe um documento específico obrigatório que a maioria das empresas desconhece.
O que é HIPAA
O Health Insurance Portability and Accountability Act é uma lei federal americana de 1996 que estabelece padrões para proteção de informações de saúde. As regras mais relevantes para TI são:
Privacy Rule: define como PHI (Protected Health Information) pode ser usada e divulgada — qualquer informação de saúde que identifica o indivíduo.
Security Rule: define salvaguardas técnicas, físicas e administrativas para PHI em formato eletrônico (ePHI). É aqui que entram os requisitos de infraestrutura.
Breach Notification Rule: exige notificação em caso de violação de PHI — ao indivíduo, ao HHS (Department of Health and Human Services) e, em casos de 500+ afetados em um estado, à mídia local.
Quando HIPAA se aplica a empresas brasileiras
HIPAA se aplica a Covered Entities (prestadores de saúde, planos de saúde, clearinghouses de saúde) e seus Business Associates (qualquer entidade que cria, recebe, mantém ou transmite PHI em nome de uma Covered Entity).
Se você é uma empresa brasileira e:
- Presta serviços de tecnologia de saúde para hospitais, clínicas ou planos de saúde americanos
- Tem uma plataforma de telemedicina com usuários nos EUA
- Integra sistemas de saúde entre Brasil e EUA
- Desenvolve software para entidades americanas que processam dados de pacientes
…você provavelmente é um Business Associate e precisa cumprir HIPAA para os dados americanos que toca.
O risco de não cumprir: multas do HHS entre USD 100 e USD 50.000 por violação, com teto de USD 1,9 milhão por categoria de violação por ano. E perda do cliente americano, que não pode contratar Business Associates sem BAA.
Business Associate Agreement (BAA): o documento obrigatório
O BAA é o contrato que formaliza a relação entre a Covered Entity e o Business Associate. Sem BAA assinado, você não pode legalmente processar PHI — mesmo que tecnicamente tenha todas as salvaguardas.
O BAA deve estabelecer:
- O que o Business Associate pode fazer com o PHI
- Que o BA implementará salvaguardas adequadas
- Que o BA reportará violações à Covered Entity
- Que subcontratados (incluindo o provedor de cloud) também assinarão BAA
- O que acontece com o PHI ao fim do contrato (deleção ou devolução)
Ponto crítico: o provedor de cloud onde você hospeda PHI também precisa assinar BAA. AWS, Azure e GCP oferecem BAA padrão — você assina no portal, mas precisa usar apenas os serviços cobertos pelo BAA (nem todos são). Provedores menores podem não oferecer BAA — o que os torna inadequados para PHI.
Controles técnicos exigidos pela HIPAA Security Rule
A Security Rule define três categorias de salvaguardas:
Salvaguardas técnicas (as mais relevantes para cloud):
- Controle de acesso: cada usuário com acesso a ePHI deve ter identificação única, autenticação e log de atividades. Senhas compartilhadas não são aceitáveis.
- Auditoria: logs de atividade em sistemas que contêm ePHI — quem acessou, quando, o quê.
- Integridade: mecanismos para garantir que ePHI não foi alterado de forma não autorizada (checksums, assinatura digital).
- Transmissão segura: criptografia de ePHI em trânsito (TLS obrigatório).
- Criptografia em repouso: não é tecnicamente “obrigatória” pela HIPAA (é “addressable”, não “required”), mas na prática é considerada indispensável por qualquer avaliador — e a ausência de criptografia em repouso é difícil de justificar.
Salvaguardas físicas:
Para cloud, você depende das salvaguardas físicas do datacenter do provedor — que devem estar documentadas no BAA ou em relatório de auditoria.
Salvaguardas administrativas:
- Análise de risco documentada (obrigatória)
- Políticas e procedimentos escritos
- Treinamento de equipe
- Plano de contingência (backup, recuperação de desastres)
HIPAA vs LGPD para dados de saúde
Se você trata dados de pacientes brasileiros e americanos, as duas leis coexistem — e se complementam:
| Aspecto | HIPAA | LGPD |
|---|---|---|
| Escopo geográfico | Dados de americanos | Dados de qualquer pessoa no Brasil |
| Dados cobertos | PHI (dados de saúde identificáveis) | Dados pessoais, incluindo dados sensíveis de saúde |
| Base para tratamento | Finalidades específicas do setor de saúde | Base legal do art. 7º ou 11º da LGPD |
| Notificação de violação | 60 dias para notificar HHS | “Em prazo razoável” (ANPD sugere até 72h) |
| Penalidades | Até USD 1,9M/ano por categoria | Até 2% do faturamento no Brasil, limitado a R$ 50M por infração |
| Autoridade reguladora | HHS Office for Civil Rights | ANPD |
Em ambientes bilíngues, a estratégia mais segura é implementar os controles mais rígidos de cada lei — o que geralmente significa: BAA com o provedor (HIPAA), criptografia total, logs completos, análise de risco documentada e DPA formalizado (LGPD).
Quando contratar BAA com o provedor de cloud
Você precisa de BAA com o provedor de cloud antes de armazenar qualquer ePHI no ambiente. Não é retroativo — você não pode armazenar PHI primeiro e assinar o BAA depois.
Como proceder:
- Identifique quais serviços de cloud você vai usar para sistemas com PHI
- Verifique se o provedor oferece BAA (AWS, Azure, GCP oferecem — leia o documento)
- Identifique quais serviços estão cobertos pelo BAA do provedor (nem todos são)
- Assine o BAA antes de migrar qualquer dado de saúde para o ambiente
A Adentro pode fornecer infraestrutura para ambientes com dados de saúde — com controles técnicos alinhados a HIPAA e LGPD, BAA disponível para parceiros americanos e dado no Brasil para conformidade LGPD.