Início → Blog

Legal

Requisitos legais do consultório particular nos EUA

HIPAA e o BAA, consentimento TCPA para SMS, o Good Faith Estimate, receita eletrônica por estado, registro e seguros. A lista completa, com custos.

July 28, 2026 · 8 min de leitura

Entre médicos e dentistas brasileiros que abrem consultório na Flórida ou em Massachusetts, uma frase se repete: "como não trabalho com seguros, a maior parte das regras não vale para mim". Meia verdade, e a metade falsa custa caro. Ficar fora dos seguros elimina uma burocracia enorme: claims, clearinghouses, auditoria de operadora, nada parecido com a papelada dos convênios no Brasil. Mas não elimina a HIPAA, não elimina o No Surprises Act, e acrescenta uma lei federal que quase ninguém leu: a TCPA, a que multa por cada SMS mal enviado.

Esta é a lista que revisamos com cada consultório particular, com números. E um aviso que vale para todos os pontos: cada estado tem suas particularidades, confirme com o conselho profissional do seu estado e com um advogado local antes de tomar qualquer coisa como certa.

1. HIPAA e o Business Associate Agreement

Tecnicamente, a condição de "covered entity" sob a HIPAA é acionada ao transmitir certas transações eletrônicas a seguradoras. Um consultório 100% particular poderia estar numa zona cinzenta. Na prática, essa zona cinzenta não protege ninguém, por três motivos:

• Quase todos os estados têm leis próprias de privacidade médica que se aplicam de qualquer forma, e algumas (Califórnia, Texas, Nova York) são mais duras que a HIPAA.
• A FTC vem multando negócios de saúde por falhas de privacidade com autoridade própria, sem precisar da HIPAA.
• No momento em que um único paciente apresenta o superbill dele ao plano PPO, você já entrou no ecossistema das seguradoras.

Então opere como se a HIPAA valesse 100%. As sanções dão o incentivo: as multas civis são escalonadas por grau de culpa, de pouco mais de $100 por infração no nível mais baixo até mais de $50.000 por infração no nível de "negligência deliberada não corrigida", com tetos anuais que chegam a milhões. Um notebook perdido com uma lista de pacientes sem criptografia pode contar como uma infração por paciente.

A lista prática é curta:

1. Uma avaliação de riscos por escrito. O HHS publica uma ferramenta gratuita (Security Risk Assessment tool); um consultório individual completa numa tarde.
2. Um BAA assinado com cada fornecedor que toque dados de pacientes: o software médico, o e-mail, o serviço de SMS, o armazenamento em nuvem. Sem BAA, sem fornecedor. Se o software cobra à parte pelo BAA ou o reserva para o plano caro, péssimo sinal.
3. Criptografia em trânsito e em repouso, login próprio para cada funcionário, logout automático.
4. Treinamento anual da equipe com folha de assinaturas e um plano escrito de resposta a vazamentos.

Nada disso exige consultor num consultório pequeno. Exige uma tarde e disciplina.

2. TCPA: a lei que multa por SMS

O Telephone Consumer Protection Act regula ligações automáticas e SMS. Lembretes de consulta enviados por software estão dentro, sem discussão. As indenizações legais são de $500 por mensagem, e até $1.500 por mensagem se a infração for deliberada, e as ações coletivas por TCPA contra clínicas médicas e odontológicas são uma indústria em si, porque todos os pacientes da sua base receberam as mesmas mensagens.

O que protege você:

• Consentimento por escrito no intake. Uma caixa de seleção com texto claro: "Aceito receber lembretes de consulta e comunicações do consultório por SMS. Podem se aplicar tarifas de mensagem. Responda STOP para cancelar." Guarde a data e o texto exato.
• Respeitar o STOP na hora. O cancelamento tem que parar de verdade tudo o que é automático.
• Registro A2P 10DLC. Desde que as operadoras implantaram o 10DLC, qualquer negócio que envia SMS de um número comum precisa registrar sua marca e sua campanha através do provedor de mensagens. Tráfego sem registro é filtrado ou bloqueado, e o próprio registro é sua prova de uso legítimo. O software de lembretes deveria cuidar disso; peça para mostrarem.

Um detalhe para quem atende a comunidade brasileira: boa parte dos seus pacientes prefere WhatsApp, e o consentimento precisa cobrir também esse canal e o idioma da comunicação. E mensagens de marketing (campanhas de retorno, aniversário com oferta) precisam de um consentimento que mencione marketing, não só lembretes. Duas caixas de seleção no intake não custam nada e evitam uma ação coletiva.

3. O Good Faith Estimate: obrigatório desde 2022

Este é o ponto que mais surpreende. Pelo No Surprises Act, desde 1º de janeiro de 2022 todo prestador deve entregar aos pacientes sem seguro ou que pagam do próprio bolso um orçamento escrito de boa-fé (Good Faith Estimate, GFE) com os valores previstos, antes da consulta ou no agendamento. Não é "se pedirem". É por padrão.

A mecânica:

• Consulta agendada com pelo menos 3 dias úteis de antecedência: GFE em até 1 dia útil após o agendamento. Com 10 ou mais dias úteis: em até 3 dias úteis.
• O GFE lista os serviços previstos, os códigos quando aplicável e os valores esperados, além do seu nome, NPI e TIN.
• Se a conta final ultrapassar o GFE em $400 ou mais, o paciente pode acionar o processo federal de disputa paciente-prestador pagando $25, e o ônus de justificar a diferença é seu.
• Guarde cópias. O orçamento faz parte do prontuário.

Para um consultório com preços fixos publicados, cumprir custa quase zero: o GFE é a sua tabela de preços num modelo com seus identificadores. E é, francamente, uma ferramenta de venda. Pense no seu público: estudos situam em torno de 20% a parcela de brasileiros nos EUA sem cobertura médica, e esse paciente compara preços antes de decidir. Um orçamento claro por escrito antes da consulta gera mais confiança que um "depende". Desenvolvemos isso no guia do superbill e do reembolso.

4. Receita eletrônica: veja seu estado antes de escolher as ferramentas

Não existe obrigação federal de prescrever eletronicamente medicamentos não controlados num consultório particular. Mas os estados andaram por conta própria. Califórnia, Nova York, Flórida, Michigan, Minnesota e Delaware estão entre os estados que exigem receita eletrônica para a maioria ou a totalidade das prescrições, com exceções que variam (prescritores de baixo volume, falhas técnicas, certas classes de medicamentos). O Texas, por outro lado, ainda permite papel em não controlados; os controlados são eletrônicos em quase todo lugar pelas regras estaduais de EPCS.

A consequência prática: se você prescreve num estado com mandato, precisa de uma plataforma de e-prescribing, e se o seu software de gestão não a inclui (o nosso não inclui, e dizemos isso com clareza), reserve orçamento para uma ferramenta de e-Rx à parte, normalmente entre $30 e $80 por prescritor ao mês. Se prescreve pouco, veja se os limites de exceção do seu estado cobrem seu caso. E confirme a regra vigente com o conselho: essa lista muda quase toda legislatura. Isso vale para a Flórida, onde está boa parte dos consultórios brasileiros: lá o mandato de e-Rx existe.

5. Registro, entidade e a "corporate practice of medicine"

Três temas estruturais que as pessoas descobrem tarde:

• Entidade profissional. A maioria dos estados exige que profissionais licenciados atuem através de uma entidade profissional (PLLC ou professional corporation), não uma LLC comum. A Califórnia vai além: não existe PLLC, médicos usam Professional Corporation. As taxas de constituição ficam entre uns $100 e $800 conforme o estado, mais exigências de publicação em alguns (a de Nova York pode somar algumas centenas de dólares).
• Corporate practice of medicine. Em muitos estados, quem não é médico não pode ser dono de uma prática médica. Se há um cônjuge, um investidor ou uma estrutura MSO envolvida, procure um advogado antes de assinar qualquer coisa.
• Registro do consultório ou licença de estabelecimento. Um consultório privado normalmente não precisa de licença de estabelecimento de saúde, mas alguns estados pedem registro do endereço, licença de nome fantasia, ou registro especial se você dispensa medicamentos, opera lasers ou faz cirurgia ambulatorial. Pergunte diretamente ao conselho do estado; a resposta é gratuita e específica.

6. Seguros: malpractice, cyber e responsabilidade geral

Ficar fora das seguradoras não reduz sua exposição diante dos pacientes. E aqui não existe o colchão do convênio brasileiro: a relação é direta com o paciente e com o advogado dele.

Apólice	O que cobre	Custo anual realista (consultório pequeno)
Malpractice / responsabilidade profissional	Alegações de negligência	Terapeutas e counselors, muitas vezes $400-1.500 · médicos, comumente $4.000-12.000 ou mais, conforme especialidade e estado
Cyber	Resposta a vazamentos, notificação, ransomware	Em torno de $500-2.000
Responsabilidade geral	Quedas, danos no local	Em torno de $400-1.000

Dois detalhes que valem a conversa com o corretor: se a apólice de malpractice é "claims-made" (mais barata hoje, exige cobertura de cauda ao sair) ou "occurrence", e se a apólice cyber cobre multas regulatórias e os custos de notificar os pacientes, que são a despesa real depois de um vazamento. Só a notificação pode custar vários dólares por paciente, e com 3.000 pacientes isso vira dinheiro de verdade.

A lista em uma página

Item	Custo	Frequência
Avaliação de riscos + políticas HIPAA escritas	$0 (ferramenta do HHS) + seu tempo	Revisão anual
BAA com cada fornecedor de dados	$0, recuse quem cobrar por ele	Uma vez por fornecedor
Treinamento HIPAA da equipe	$0-30 por pessoa	Anual
Consentimento TCPA no intake	$0	Cada paciente novo
Registro A2P 10DLC	Normalmente $0-50 via provedor	Uma vez
Fluxo de Good Faith Estimate	$0 com modelos	Cada paciente self-pay
Plataforma e-Rx (estados com mandato, se prescreve)	$30-80/prescritor/mês	Mensal
Entidade profissional + registros	$100-800 mais extras	Uma vez + relatórios anuais
Malpractice, cyber, responsabilidade geral	Ver tabela acima	Anual

Nada desta lista é exótico e quase nada é caro. O padrão entre os consultórios que se dão mal não é ignorância médica, é tratar a camada administrativa como algo "para depois". Depois é quando chega o processo.

Se você ainda está na fase de planejamento, o guia passo a passo para abrir consultório nos EUA coloca estes itens em ordem junto com o NPI, o EIN e a papelada da entidade. E quando avaliar software, inclua a camada legal na avaliação: BAA incluído em todos os preços, consentimentos assinados no intake, segurança documentada e superbills limpos para os pacientes que vão pedir reembolso por conta própria. Se o seu consultório atende principalmente brasileiros, temos uma página específica para clínicas brasileiras.

DrinCloud é um software de gestão feito para consultórios particulares e clínicas brasileiras, com BAA, consentimento de SMS e superbills em todos os planos. Quinze dias grátis, sem cartão: comece aqui.

← Todos os artigos