O que HIPAA Realmente Diz sobre Rastreamento

O próprio HIPAA não menciona cookies, pixels ou rastreamento web — a lei foi escrita em 1996 e alterada pela Lei HITECH em 2009. As regras relevantes para rastreamento online vêm de dois lugares: a definição de PHI da Regra de Privacidade e os requisitos da Regra de Segurança para salvaguardar PHI eletrônicas (ePHI). Juntos, eles dizem que qualquer informação de saúde individualmente identificável mantida por uma entidade coberta ou associado de negócios deve ser protegida, e que a divulgação a terceiros sem autorização ou um Contrato de Associado de Negócios é um uso não permitido.

O Boletim de Tecnologia de Rastreamento do OCR

O documento regulatório fundamental para editores é o boletim do OCR intitulado Uso de Tecnologias de Rastreamento Online por Entidades Cobertas pelo HIPAA e Associados de Negócios. A versão original de dezembro de 2022 adotou uma posição agressiva — que qualquer endereço IP coletado em uma página web era potencialmente PHI se a página dissesse respeito a uma condição de saúde específica. Após uma decisão de tribunal federal em 2024 que derrubou partes do boletim por exceder a autoridade do OCR, o OCR revisou o documento para traçar uma linha mais nítida entre páginas de marketing não autenticadas e páginas de portal do paciente autenticadas. A revisão de 2024 é o texto vigente em 2026, e é o documento que as equipes jurídicas dos editores devem manter aberto em um segundo monitor enquanto configuram o CMP.

O que Conta como PHI em um Contexto de Rastreamento

O OCR trata a combinação de um identificador (endereço IP, ID de dispositivo, impressão digital do navegador, e-mail com hash) com informações sobre a saúde de um indivíduo específico (uma pesquisa por uma condição, um clique em uma página de tratamento, o envio de um formulário com sintomas) como PHI quando a combinação se refere a um paciente conhecido ou uma pessoa que pode ser identificada. O identificador sozinho não é PHI; a informação de saúde sozinha não é PHI; a combinação é. Este é o movimento analítico que pega os editores de surpresa, porque o pixel padrão de ad-tech é projetado para passar exatamente essa combinação a um terceiro para fins de medição e personalização.

A Distinção entre Páginas Autenticadas e Não Autenticadas

O conceito mais importante no boletim do OCR é a linha entre uma página autenticada — uma que o usuário alcança ao fazer login em um portal de paciente, um sistema de agendamento conectado ao EHR, um console de faturamento — e uma página não autenticada — as páginas de marketing públicas, os artigos de informação sobre condições, a busca para encontrar um médico. A postura de conformidade difere bastante entre as duas.

Páginas Autenticadas

As páginas autenticadas são a superfície de alto risco. Uma vez que um usuário fez login, a entidade coberta sabe quem ele é, e qualquer tecnologia de rastreamento que é acionada nessas páginas está potencialmente divulgando PHI a qualquer fornecedor que recebe a solicitação. Pixels de terceiros, pixels de marketing e qualquer tag de análise que opera fora de um Contrato de Associado de Negócios não devem rodar em páginas autenticadas. A posição do OCR aqui é inequívoca e os acordos de casos foram substanciais.

Páginas Não Autenticadas

As páginas não autenticadas são mais matizadas. A revisão do OCR de 2024 reconheceu que nem toda visita a uma página de marketing pública produz PHI — um usuário lendo um artigo geral sobre diabetes não está necessariamente revelando que tem diabetes. Mas a linha muda quando a página combina um identificador com um contexto de saúde claro: um verificador de sintomas que aceita entrada de texto livre e dispara um pixel com a entrada anexada, uma página de destino específica para uma condição que usa a URL como parâmetro de rastreamento, uma ferramenta de busca de especialistas que passa a especialidade e o CEP para um fornecedor de análise. Esses fluxos transformam uma página não autenticada em uma superfície PHI.

O Teste Prático

O teste prático que os editores realizam em 2026 é o teste de expectativa razoável. Uma pessoa razoável visitando esta página esperaria que sua visita indica uma preocupação de saúde específica? Se sim, a página é tratada como portadora de PHI para fins de rastreamento, independentemente do estado de autenticação. O teste é conservador por design — errar pelo lado permissivo produz risco de fiscalização, enquanto errar pelo lado restritivo produz apenas perda de receita publicitária.

Contratos de Associado de Negócios e a Pilha de Fornecedores

HIPAA permite que uma entidade coberta compartilhe PHI com um fornecedor apenas quando o fornecedor assinou um Contrato de Associado de Negócios (BAA) comprometendo-os com proteções equivalentes ao HIPAA. Entre os principais fornecedores de ad-tech e análise, a situação dos BAA é desigual e consequente.

Fornecedores que Assinam BAAs

O Google oferece um BAA HIPAA para Google Workspace, Google Cloud Platform e um subconjunto limitado de implantações do Google Analytics 4 sob configurações específicas. A Microsoft assina BAAs para Azure e uma configuração restrita do Microsoft Clarity. Um punhado de plataformas de análise especializadas em saúde — Freshpaint, Heap com complemento HIPAA, a configuração de saúde do FullStory — assinam BAAs. Esses são os fornecedores que um editor coberto pelo HIPAA pode usar em superfícies autenticadas ou portadoras de PHI.

Fornecedores que Não Assinam BAAs

A Meta não assina BAAs para Meta Pixel ou Conversions API em nenhuma configuração padrão. O TikTok não assina BAAs para TikTok Pixel. A maioria dos SSPs e DSPs programáticos não assina BAAs. O Google Analytics padrão, os modelos padrão do Google Tag Manager e as tags de conversão padrão do Google Ads não são cobertos pelo BAA do Google. Executar qualquer um desses em uma superfície portadora de PHI é uma violação do HIPAA, independentemente da configuração do banner de consentimento — o consentimento não substitui um BAA quando PHI está envolvido.

A Pilha de Consentimento Mais BAA

O padrão compatível para as páginas de marketing de um editor de saúde é a pilha de consentimento mais BAA. As páginas de marketing não autenticadas executam um CMP com portões de consentimento para qualquer rastreamento não essencial, a camada de análise é configurada sob um BAA com um fornecedor ciente de HIPAA, e a camada de pixels de marketing ou roda apenas em páginas que passam no teste de expectativa razoável ou é roteada por uma API de conversão do lado do servidor que remove informações de identificação antes de encaminhar para fornecedores sem BAA.

A Arquitetura CMP para Editores de Saúde

O CMP para um editor coberto pelo HIPAA faz mais do que coletar consentimento. Ele aplica a distinção de classe de página, controla fornecedores por status de BAA e produz um log de auditoria que satisfaz os requisitos de documentação da Regra de Segurança do HIPAA e qualquer lei de privacidade estadual aplicável.

Detecção de Classe de Página

O CMP deve saber em qual classe de página está sendo renderizado. O padrão mais limpo é uma variável JavaScript injetada por CSP — definida pelo servidor com base no padrão de URL, estado de autenticação e metadados de tipo de conteúdo — que o CMP lê na inicialização. A variável produz um tri-estado: público-baixo-risco (sem contexto de saúde), público-portador-de-PHI (contexto de saúde, sem autenticação) ou autenticado. A lista de fornecedores do CMP e os padrões de consentimento mudam nos três estados.

Controle de Fornecedores por Status de BAA

Cada fornecedor na lista de fornecedores do CMP deve ser marcado com seu status de BAA e as condições sob as quais o BAA se aplica. Um fornecedor sem BAA é bloqueado rigidamente em superfícies portadoras de PHI e autenticadas, independentemente do estado de consentimento. Um fornecedor com um BAA condicional — um que requer escolhas de configuração específicas — é permitido apenas quando essas condições são confirmadas. O log de auditoria registra cada decisão de fornecedor com a classe de página, o estado de consentimento e a decisão de BAA, produzindo um registro defensável para uma investigação regulatória.

A Camada de Lei Estadual

HIPAA é um piso federal; as leis estaduais — o CMIA da Califórnia, a Lei My Health My Data de Washington e as disposições de privacidade de saúde do consumidor em Connecticut e Nevada — ficam por cima com requisitos mais rigorosos em seus escopos específicos. A arquitetura CMP deve tratar HIPAA como a linha de base e aplicar a regra estadual mais estrita aplicável por cima sempre que o sinal geográfico de um usuário indicar um estado com um regime de saúde do consumidor mais forte.

Erros Comuns de Rastreamento HIPAA que Geram Acordos

As ações de fiscalização de rastreamento HIPAA ao longo de 2024 e 2025 produziram uma lista clara dos padrões que levam a investigações do OCR. Meta Pixel disparando em portais de pacientes porque alguém o adicionou para análise de marketing sem consultar a conformidade. Google Analytics rodando em uma ferramenta de verificação de sintomas com o sintoma passado como dimensão personalizada. Uma página de busca de médicos passando a especialidade como parâmetro de URL que a tag de análise captura e encaminha. Um fluxo de integração de telesaúde com TikTok Pixel instalado para aquisição paga e não removido quando o usuário entrou no portal autenticado. Um teste A/B da equipe de marketing que disparou um gravador de mapa de calor em todas as páginas, incluindo os formulários voltados para o paciente. Cada um desses produziu um acordo público ou plano de ação corretiva na janela de fiscalização pós-2022.

A Conclusão

HIPAA em 2026 não é mais um regime de conformidade de back-office que a equipe de marketing pode ignorar. O boletim do OCR, os acordos públicos e a linha de fiscalização maturada contra o uso de pixels em páginas autenticadas tornaram o rastreamento online uma questão de nível de conselho para qualquer entidade coberta com presença digital. A postura de conformidade não é impossível — é um CMP que conhece a classe de página, uma pilha de fornecedores que respeita o limite do BAA, uma camada de consentimento que lida com a sobreposição da lei estadual e uma arquitetura documentada que um investigador do OCR pode ler em uma hora e sair convicto. Os editores que investem nessa arquitetura em 2026 mantêm seus canais digitais abertos e suas audiências monetizáveis; os editores que continuam tratando páginas de saúde como páginas de e-commerce passam os próximos dois anos redigindo acordos de liquidação com o governo federal.