O Escritório de Direitos Civis do HHS (OCR) relatou 725 violações de dados de saúde em 2024 afetando 275 milhões de registros de pacientes — o maior número já registrado em um único ano. O custo médio de uma violação de dados de saúde alcançou $10,22 milhões em 2025 (Relatório de Custo de Violação de Dados da IBM), impulsionado por penalidades monetárias civis da HIPAA, custos legais, notificações a pacientes, monitoramento de crédito e danos à reputação.
Para as entidades cobertas e associados comerciais de saúde dos EUA, 2025 representa um ano de conformidade crucial: a proposta de atualização da Regra de Segurança da HIPAA (março de 2025) criaria os requisitos técnicos mais significativos da HIPAA desde que a Regra de Segurança original foi finalizada em 2003.
725 Violações: O que Deu Errado em 2024
Os dados do portal de violações do OCR revelam as categorias de falha que impulsionam o volume recorde de violações de 2024:
Incidentes de Hacking/TI: 74% das violações relatadas — a categoria dominante. Compromissos de servidores de rede, ransomware e comprometimento de e-mails comerciais representam a maioria. A mudança é estrutural: os atacantes mudaram de alvos individuais de estações de trabalho para ataques em nível de rede que comprometem sistemas EHR inteiros, extraindo milhões de registros simultaneamente.
Acesso/divulgação não autorizados: 18% das violações. Inclui ameaças internas, controles de acesso mal configurados expondo dados de pacientes a funcionários não autorizados e divulgação acidental a destinatários errados.
Incidentes de terceiros/associados comerciais: Cada vez mais significativos — 35% das violações de 2024 se originaram em associados comerciais em vez de entidades cobertas. A Change Healthcare (subsidiária do UnitedHealth Group) sozinha afetou mais de 190 milhões de pacientes — a maior violação de dados de saúde dos EUA na história.
Roubo/perda de mídias portáteis: 8% das violações. Laptops, drives USB e registros em papel roubados ou perdidos sem proteção de criptografia.
Os 18 Identificadores de PHI: Padrão de Porto Seguro da HIPAA
O método de desidentificação de Porto Seguro da HIPAA (45 CFR §164.514(b)) exige a remoção de todos os 18 identificadores de PHI especificados. A maioria das entidades cobertas e associados comerciais está familiarizada com a lista conceitualmente, mas o desafio de detecção é técnico:
- Nomes: Todos os nomes de pacientes, membros da família, empregadores
- Dados geográficos: Todas as subdivisões menores que o estado (endereço, cidade, condado, distrito, primeiros 3 dígitos do CEP se <20.000 habitantes)
- Datas: Todas as datas diretamente relacionadas ao paciente (nascimento, admissão, alta, morte) além do ano
- Números de telefone: Todos os números de telefone
- Números de fax: Todos os números de fax
- Endereços de e-mail: Todos os endereços de e-mail
- Números de seguro social: Todos os SSNs
- Números de registro médico: Todos os formatos de MRN (variam por sistema EHR)
- Números de beneficiários de planos de saúde: Todos os IDs de membros de seguros
- Números de contas: Todos os números de contas financeiras
- Números de certificados/licenças: Licença médica, registro da DEA, números de licenças estaduais
- Identificadores de veículos: VINs, números de placas
- Identificadores de dispositivos: Números de série, identificadores únicos de dispositivos
- URLs da web: Todos os endereços da web
- Endereços IP: Todos os endereços IP
- Identificadores biométricos: Impressões digitais e de voz
- Fotografias de rosto completo e imagens comparáveis
- Qualquer outro número, código ou característica única de identificação
O 18º identificador — "qualquer outro número único de identificação" — é o requisito de detecção mais desafiador. Isso significa que qualquer identificador específico de banco de dados que possa vincular registros de volta a um paciente específico deve ser detectado e removido, mesmo que não corresponda a um padrão pré-definido.
Proposta de Atualização da Regra de Segurança da HIPAA: Quais Mudanças em 2025-2026
A proposta de atualização da Regra de Segurança da HIPAA publicada em março de 2025 exigiria:
Auditorias anuais de criptografia: Entidades cobertas devem realizar auditorias técnicas anuais verificando que todos os PHI em repouso estão criptografados com AES-256 ou equivalente, e que a gestão de chaves de criptografia atende a padrões documentados.
Procedimentos de desidentificação documentados: Para qualquer PHI usado em pesquisa, melhoria de qualidade, treinamento de IA ou análises, as entidades cobertas devem manter procedimentos documentados demonstrando como a desidentificação é alcançada — não apenas uma declaração de política, mas documentação técnica com evidências de validação.
Requisitos de segurança para associados comerciais: Associados comerciais agora devem atender a requisitos técnicos de segurança específicos (anteriormente delegados a acordos de associados comerciais sem especificação técnica). Avaliações técnicas de BA se tornam obrigatórias antes da integração.
Autenticação multifatorial: Todos os membros da força de trabalho com acesso eletrônico a PHI devem usar MFA. Sem exceções para "sistemas legados" — a regra proposta exige MFA independentemente da idade do sistema.
Teste de resposta a incidentes: Exercícios anuais de mesa e testes técnicos dos procedimentos de resposta a incidentes. Evidências de testes devem ser mantidas.
A Lição da Change Healthcare
A violação da Change Healthcare (fevereiro de 2024) — afetando mais de 190 milhões de americanos — ilustrou o risco sistêmico da infraestrutura interconectada da saúde. A Change Healthcare processou 15 bilhões de transações de saúde anualmente como um intermediário entre provedores, pagadores e farmácias.
A violação começou com uma credencial de acesso remoto Citrix sem proteção de MFA. Uma vez dentro, os atacantes se moveram lateralmente pela rede da Change Healthcare por 9 dias antes de implantar ransomware.
A lição sistêmica: qualquer associado comercial com acesso à rede de dados de transações de saúde representa um risco sistêmico para todo o ecossistema de saúde que conecta. O framework de associados comerciais da HIPAA não foi projetado para provedores de infraestrutura sistêmica com acesso a um terço de todas as transações de saúde dos EUA.
Para entidades cobertas e associados comerciais: a violação da Change Healthcare informou diretamente os requisitos da proposta de Regra de Segurança da HIPAA para segmentação de rede, MFA e avaliações técnicas de associados comerciais.
Fontes: