Resposta curta: A HIPAA (1996, com as Regras de Privacidade, Segurança e Notificação de Violações) aplica-se a entidades abrangidas, planos de saúde, câmaras de compensação de cuidados de saúde e prestadores que emitem faturas eletronicamente, e aos seus associados comerciais; protege as informações de saúde protegidas que detêm e indica quais os usos permitidos sem a autorização da pessoa. O RGPD (2016) aplica-se a qualquer responsável pelo tratamento ou subcontratante que trate dados pessoais de pessoas na UE, com os dados de saúde como categoria especial; exige uma base jurídica para cada uso e confere às pessoas direitos exequíveis. A diferença prática para um produto: uma aplicação de saúde para o consumidor nos EUA está geralmente fora da HIPAA e é regulada pela FTC e leis estaduais; a mesma aplicação na UE está sujeita ao RGPD desde o primeiro utilizador. Um produto que sirva ambos deve ser construído para a amplitude do RGPD e as salvaguardas prescritivas da HIPAA simultaneamente.
Lado a lado
Lado a lado, a HIPAA regula as entidades abrangidas e os associados comerciais dos EUA que tratam informações de saúde protegidas, enquanto o RGPD regula qualquer controlador ou processador de dados de residentes da UE. A HIPAA permite utilizações para tratamento, pagamento e operações sem autorização e concede 60 dias para notificação de violação; o RGPD exige uma base jurídica para cada finalidade, concede o direito à eliminação e à portabilidade, e concede 72 horas.
| HIPAA (EUA) | RGPD (UE) | |
|---|---|---|
| Quem é regulado | Entidades abrangidas e associados comerciais | Qualquer responsável pelo tratamento ou subcontratante de dados de residentes na UE, em qualquer lugar |
| Que dados | Informações de saúde protegidas (PHI): dados de saúde identificáveis detidos por uma entidade abrangida | Todos os dados pessoais; dados de saúde são uma categoria especial (Artigo 9.º) |
| Aplicações de saúde para o consumidor | Fora da HIPAA, a menos que atue em nome de uma entidade abrangida; aplicam-se o FTC Act, a FTC Health Breach Notification Rule e leis estaduais | Sujeito ao RGPD; o consentimento explícito é a base usual |
| Base jurídica para uso | Usos permitidos sem autorização: tratamento, pagamento, operações, mais exceções listadas; autorização caso contrário | Uma base do Artigo 6.º e uma exceção do Artigo 9.º(2) para cada finalidade |
| Mínimo necessário / minimização | Norma do mínimo necessário | Princípio da minimização de dados (Artigo 5.º) |
| Direitos individuais | Acesso (30 dias), alteração, contabilidade de divulgações, restrições | Acesso (1 mês), retificação, apagamento, portabilidade, oposição, restrição, retirada do consentimento |
| Desidentificação | Safe Harbor (18 identificadores) ou determinação por perito | Anonimização (já não dados pessoais) vs. pseudonimização (ainda dados pessoais) |
| Segurança | Regra de Segurança: salvaguardas administrativas, físicas e técnicas; análise de risco; especificações abordáveis vs. obrigatórias | Artigo 32.º: medidas adequadas ao risco; sem lista fixa |
| Notificação de violação | Indivíduos e HHS no prazo de 60 dias após a descoberta (mídia se 500+ num estado); registo anual para violações menores | Autoridade no prazo de 72 horas; indivíduos sem demora injustificada quando o risco é elevado |
| Contratos | Acordo de associado comercial (BAA) | Contrato de subcontratação (Artigo 28.º) |
| Funções de supervisão | Responsável pela privacidade e responsável pela segurança | Encarregado da proteção de dados onde exigido (Artigo 37.º) |
| Avaliação de impacto | Análise de risco ao abrigo da Regra de Segurança | DPIA ao abrigo do Artigo 35.º |
| Transferência internacional | Nenhuma restrição na própria HIPAA | Capítulo V: adequação, SCCs, Data Privacy Framework |
| Fiscalização | HHS Office for Civil Rights; procuradores-gerais estaduais | Autoridades nacionais de proteção de dados; EDPB |
| Multas | Penalidades civis escalonadas, ajustadas à inflação, aproximadamente até 2 milhões de dólares por disposição por ano; penalidades criminais | Até 20 milhões de euros ou 4% do volume de negócios mundial |
A diferença de âmbito, na prática
Na prática, a HIPAA aplica-se a uma aplicação de saúde apenas quando atua para uma entidade abrangida, como um associado comercial ao abrigo de um BAA; uma aplicação de consumo que um paciente escolhe está fora do âmbito da HIPAA e é regulada pela FTC e pelas leis estaduais. Na UE, a mesma aplicação é um controlador RGPD desde o primeiro utilizador.
Um hospital dos EUA que utiliza uma plataforma FHIR na nuvem: o hospital é uma entidade abrangida, a plataforma um associado comercial ao abrigo de um BAA, ambos sob a HIPAA. Um consumidor nos EUA que carrega os seus próprios relatórios de laboratório para uma aplicação: a HIPAA não se aplica à aplicação; a FTC aplica-se (práticas enganosas e a Health Breach Notification Rule, atualizada em 2024 para abranger explicitamente aplicações de saúde), tal como as leis estaduais como o My Health My Data Act de Washington (2023), que exige consentimento para a recolha de dados de saúde do consumidor e proíbe o geofencing em torno de instalações de saúde, e as disposições de saúde da CPRA da Califórnia, leis de Nevada e Connecticut. Um paciente na UE a fazer o mesmo: a aplicação é um responsável pelo tratamento ao abrigo do RGPD com obrigações do Artigo 9.º desde o primeiro dia. Ver Artigo 9.º do RGPD para dados de saúde.
A diferença de base jurídica
A HIPAA e o RGPD partem de pontos opostos quanto à base jurídica. A HIPAA permite que as entidades abrangidas utilizem informações de saúde protegidas para tratamento, pagamento e operações de cuidados de saúde sem autorização, exigindo autorização escrita para outros usos. O RGPD proíbe o processamento de dados de saúde a menos que se aplique uma exceção do Artigo 9(2), pelo que nada é permitido por defeito e o consentimento deve ser explícito, específico e revogável.
A HIPAA começa com usos permitidos: uma entidade abrangida pode usar e divulgar PHI para tratamento, pagamento e operações de cuidados de saúde sem pedir, e para uma lista de propósitos de interesse público; tudo o resto necessita de uma autorização escrita. O RGPD começa com uma proibição (para dados de saúde) com exceções; nada é permitido "por defeito", e o consentimento, quando utilizado, deve ser explícito, específico e revogável. O instinto de uma equipa de produto dos EUA de que "operações" abrange análises não se transfere; na UE, as análises de dados de saúde necessitam de consentimento ou anonimização.
A diferença de direitos
Quanto aos direitos individuais, tanto a HIPAA como o RGPD concedem acesso e correção, mas o RGPD adiciona a eliminação, a portabilidade num formato legível por máquina, a oposição e o direito de retirar o consentimento, que a HIPAA não possui como tal. Um produto concebido para os direitos do RGPD, com exportação, eliminação e revogação no produto, satisfaz os direitos de acesso da HIPAA com margem.
As regras de bloqueio de informação do Cures Act e o direito de acesso a PHI eletrónico através de APIs aproximam os pacientes dos EUA da portabilidade.
Segurança e violações
A Regra de Segurança da HIPAA é prescritiva, com uma análise de risco obrigatória, salvaguardas administrativas, físicas e técnicas designadas, políticas, formação e controlos de auditoria; o Artigo 32 do RGPD é baseado em resultados, solicitando medidas apropriadas ao risco, geralmente demonstradas através da ISO 27001. Os prazos de violação diferem acentuadamente: 60 dias para indivíduos e HHS ao abrigo da HIPAA, 72 horas para a autoridade ao abrigo do RGPD.
A Regra de Segurança da HIPAA é prescritiva: análise de risco, salvaguardas nomeadas, políticas, formação, controlos de auditoria e uma atualização proposta para 2025 que tornaria a encriptação e a autenticação multifator obrigatórias em vez de abordáveis. O Artigo 32.º do RGPD é baseado em resultados: adequado ao risco, com encriptação e pseudonimização nomeadas como exemplos; a ISO 27001 é a forma usual de o demonstrar. Os prazos de violação diferem acentuadamente: 60 dias para indivíduos e HHS ao abrigo da HIPAA, 72 horas para a autoridade ao abrigo do RGPD. Um plano de incidentes conjunto utiliza o prazo mais curto. Ver ISO 27001 vs ISO 27799.
Desidentificação
O Safe Harbor da HIPAA remove 18 identificadores listados e os dados deixam de ser PHI; a determinação por perito certifica um risco de reidentificação muito pequeno. O RGPD não tem lista: os dados são anónimos apenas se ninguém os puder razoavelmente reidentificar, e os dados pseudonimizados permanecem dados pessoais. O resultado do Safe Harbor muitas vezes não atinge o patamar do RGPD, especialmente com datas e condições raras. Ver Desidentificação de dados de saúde.
Construir para ambos
Um produto que sirva tanto os EUA como a UE é melhor concebido primeiro para o RGPD (consentimento por finalidade, direitos no produto, DPIA, plano de ação para violações em 72 horas, opção de alojamento na UE) com os artefactos prescritivos da HIPAA adicionados por cima: um documento de análise de risco, um modelo de BAA, políticas da Regra de Segurança, um procedimento de violação em 60 dias e registos de formação da força de trabalho.
Projete para o RGPD (consentimento por finalidade, direitos no produto, DPIA, plano de 72 horas, opção de alojamento na UE) e adicione os artefactos prescritivos da HIPAA por cima (documento de análise de risco, modelo de BAA, conjunto de políticas da Regra de Segurança, procedimento de violação de 60 dias, registos de formação da força de trabalho). Mantenha os dados dos EUA e da UE em regiões separáveis, porque as transferências do RGPD e algumas leis estaduais dos EUA preocupam-se com a localização. A Anpheros é construída desta forma: RGPD em primeiro lugar como empresa europeia, com a plataforma capaz de operar como associado comercial sob um BAA para clientes dos EUA. O site do programador documenta RGPD para programadores e segurança.
Esta página explica a regulamentação para equipas de produto e engenharia. Não constitui aconselhamento jurídico; os textos ligados em Fontes são a autoridade, e o seu encarregado da proteção de dados, organismo notificado ou consultor decide para o seu caso. Última revisão: Outubro de 2026.
Páginas relacionadas
- Artigo 9.º do RGPD para dados de saúde
- Desidentificação de dados de saúde
- ISO 27001 vs ISO 27799
- TEFCA e QHINs explicados
- Mapa de regulamentação de dados de saúde
- RGPD para programadores (site do programador)
Fontes
- HHS: HIPAA para profissionais (Regras de Privacidade, Segurança, Notificação de Violações)
- HHS: Regra de Notificação de Violações
- FTC Health Breach Notification Rule (16 CFR Part 318)
- Estado de Washington: My Health My Data Act (HB 1155)
- Regulamento (UE) 2016/679 (RGPD), EUR-Lex
- Comissão Europeia: Quadro de Proteção de Dados UE-EUA
Perguntas frequentes
Uma aplicação compatível com a HIPAA é automaticamente compatível com o RGPD?
Não. A conformidade com a HIPAA não diz nada sobre a base jurídica, a qualidade do consentimento, o apagamento, a portabilidade, as DPIAs, os DPOs ou as transferências. Cobre um subconjunto das expectativas de segurança do RGPD e um regime de violação diferente.
A HIPAA aplica-se à minha aplicação se um médico a recomendar?
Não por si só. A HIPAA aplica-se se a aplicação atuar em nome de uma entidade abrangida ao abrigo de um acordo de associado comercial (por exemplo, integrada no fluxo de trabalho da clínica a pedido da clínica). Uma aplicação que o paciente escolhe e controla está fora da HIPAA e sujeita às regras da FTC e estaduais.
Qual o prazo de violação que devo seguir para um incidente conjunto UE-EUA?
Ambos: 72 horas para a autoridade da UE para dados de residentes da UE, 60 dias para indivíduos e HHS para PHI, mais quaisquer prazos estaduais (frequentemente 30 a 60 dias) e os 60 dias da regra da FTC para aplicações de saúde para o consumidor. Os planos de incidentes são escritos para o mais curto.
Os dados de saúde da UE podem ser processados nos EUA?
Sim, com uma ferramenta de transferência do Capítulo V: o Quadro de Proteção de Dados UE-EUA para empresas certificadas, ou cláusulas contratuais padrão com uma avaliação de impacto da transferência. Muitos clientes europeus exigem, no entanto, o alojamento na UE como condição contratual.
Experimente grátis no sandbox
Sua primeira chamada FHIR em 5 minutos. Uma API HL7 FHIR R4 com o consentimento do paciente integrado: experimente na sandbox e depois conecte a sua própria app ou sistema clínico.
Grátis · 30 pacientes sintéticos · sem cartão
A Anpheros desenvolve um registo médico que o doente controla e pode partilhar com qualquer clínica, numa plataforma HL7 FHIR R4, sediada na UE. Estes guias ajudam-no a compreender e organizar a sua saúde; não substituem o seu médico.
Sobre a Anpheros →