Perguntas frequentes sobre telemedicina e HIPAA durante a emergência de saúde pública
Ao longo da pandemia da COVID-19, as agências federais procuraram dar às empresas de saúde mais flexibilidadepara usar tecnologias e aplicações populares para interagir melhor com os seus pacientes. Um exemplo é o Gabinete de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos, que emitiu umavisoinformando que permitirá que os prestadores de cuidados de saúde utilizem software de comunicação amplamente disponível sem receio de violar a HIPAA, mesmo que o software não cumpra os requisitos de privacidade e segurança da HIPAA. Esta discricionariedade na aplicação da lei permite que uma entidade abrangida preste cuidados através de tecnologia de comunicação de áudio ou vídeo «não voltada para o público».
A OCR disponibilizou um conjunto de perguntas frequentes sobre telemedicina e isenções da HIPAA, oferecendo orientações e esclarecimentos úteis. Por exemplo:
11. Se um prestador de cuidados de saúde abrangido utilizar serviços de telessaúde durante o surto de COVID-19 e as informações de saúde eletrónicas protegidas forem intercetadas durante a transmissão, a OCR irá impor uma penalidade ao prestador por violar a Regra de Segurança HIPAA?
Não. A OCR exercerá o seu poder discricionário de aplicação da lei e não aplicará penalidades aplicáveis por violações resultantes da prestação de serviços de telessaúde de boa-fé durante a emergência de saúde pública nacional da COVID-19. A OCR considerará todos os fatos e circunstâncias ao determinar o que constitui uma prestação de serviços de telessaúde de boa-fé. Por exemplo, se um prestador seguir os termos da Notificação e quaisquer orientações aplicáveis da OCR (tais como esta e outras perguntas frequentes sobre a COVID-19 e a HIPAA), não enfrentará sanções da HIPAA se sofrer um ataque informático que exponha informações de saúde protegidas de uma sessão de telessaúde.
A OCR acredita que muitos produtos de comunicação eletrónica remota atualmente disponíveis incluem recursos de segurança para proteger as ePHI transmitidas entre prestadores de cuidados de saúde e pacientes. Além disso, os fornecedores de comunicação por vídeo familiarizados com os requisitos da Regra de Segurança geralmente incluem recursos de segurança mais robustos para impedir a interceção de dados e fornecem garantias de que protegerão as ePHI ao assinar um acordo de parceria comercial HIPAA (BAA). Os prestadores que pretendem utilizar produtos de comunicação por vídeo são incentivados a recorrer a esses fornecedores, mas não serão penalizados por utilizar produtos menos seguros no seu esforço para prestar os cuidados mais oportunos e acessíveis possíveis aos pacientes durante a Emergência de Saúde Pública. Os prestadores são incentivados a notificar os pacientes de que estas aplicações de terceiros podem introduzir riscos de privacidade e devem ativar todos os modos de encriptação e privacidade disponíveis ao utilizar tais aplicações. A OCR não endossa a utilização ou os recursos de segurança de nenhum produto de comunicação específico.
Isso significa que as empresas podem usar aplicativos populares (por exemplo, Apple FaceTime, Facebook Messenger, Google Hangouts, Zoom, Skype) que permitem conversas por vídeo, mas que podem não estar em total conformidade com os requisitos da HIPAA. O termo «não público» significa que a aplicação, por predefinição, permite apenas que as partes pretendidas participem na comunicação. Em contrapartida, produtos «públicos» (por exemplo, TikTok, Facebook Live, Twitch) ou salas de chat de vídeo públicas não seriam formas aceitáveis de comunicação para serviços de telemedicina.
Este Aviso de Discrição de Execução permanecerá em vigor até que a Emergência de Saúde Pública expire. Mesmo com o atual relaxamento da execução pela OCR, é amplamente aceito que as melhores práticas em telemedicina são usar uma plataforma de comunicação de software que atenda aos requisitos de privacidade e segurança da HIPAA. As empresas que atualmente utilizam software de comunicação não HIPAA durante a Emergência de Saúde Pública devem desenvolver planos sobre como migrar para uma solução compatível antes que as isenções expirem.
Quer saber mais?
- As 5 principais previsões da legislação sobre telessaúde para 2021
- Telemedicina e mensagens de texto: Lei de Proteção ao Consumidor de Serviços Telefónicos
- Aperfeiçoe o seu programa de segurança cibernética, uma entrevista em podcast com Brian Resler, da Stroz Friedberg
Para obter mais informações sobre telemedicina, telessaúde, cuidados virtuais, monitorização remota de doentes, saúde digital e outras inovações na área da saúde, incluindo a equipa, as publicações e a experiência dos representantes, visite a Telemedicine & Digital Health Industry Team da Foley.
