A HIPAA é a lei em vigor desde 1996, mas infrações da HIPAA são relatadas e processadas o tempo todo—na verdade, o número é duas infrações relatadas a cada dia. Você pensaria que já teríamos aprendido as regras até agora!

Isso é especialmente verdadeiro considerando as penalidades associadas a uma violação de dados. Aqui estão alguns fatos sobre o que acontece quando um indivíduo ou uma entidade coberta ignora regulamentos ou quebra intencionalmente as leis de HIPAA. (Este artigo foca em violações eletrônicas, mas descartar a informação errada também poderia ser uma violação. Observe também que algumas plataformas de telessaúde não estão em conformidade com a HIPAA. Doxy.me sempre está porque não armazenamos dados de pacientes.)

Você é uma entidade coberta?

Infrações da HIPAA não podem acontecer com qualquer um—se um prestador contar a um vizinho sobre seus calos, isso não é uma violação. No entanto, se um prestador enviar um e-mail a um vizinho sobre os calos de um paciente, pode ser uma violação. Lembre-se, as regulamentações da HIPAA se aplicam a “entidades cobertas”, que incluem qualquer prestador que transmita qualquer informação em forma eletrônica sobre relacionamentos de saúde. Isso também inclui seguradoras e as empresas que gerenciam seus dados.

Então, digamos que você acordou esta manhã e decidiu ignorar as regulamentações da HIPAA e foi pego. Várias coisas podem acontecer agora:

• Seu local de trabalho faz sua própria investigação e toma decisões internas sobre como prosseguir

• Após uma investigação, você é demitido do seu trabalho na clínica

• Órgãos profissionais disciplinares o punem e você perde sua(s) licença(s)

• Você recebe multas correspondentes às suas infrações civis

• Cargos criminais reais são apresentados, e então é multas e tempo na prisão

Quanto custam as violações da HIPAA?

As penalidades por infrações da HIPAA dependem do nível de negligência. De acordo com este artigo, “...elas podem variar de $100 a $50,000 por violação (ou por registro), com uma penalidade máxima de $1.5 milhão por ano para violações de uma disposição idêntica.”

As multas mais baixas começam com uma violação de dados da qual você não sabia porque não sabia que era vulnerável. Então as coisas ficam mais caras de acordo com o nível de descuido e o tamanho da violação. Negligência, neste caso, significa que você sabia, ou deveria ter sabido, que estava vulnerável.

Talvez você soubesse que um empregado específico estava interessado de maneira inadequada nos registros médicos de estranhos e você não fez nada para mitigar o problema. Talvez você soubesse que seus parceiros de TI não estavam atualizando seus computadores, criando um risco de segurança. Quanto mais você sabia, ou em outras palavras, quanto mais negligente foi seu comportamento, maior será a multa.