Qu’est-ce que HIPAA
Qu’est-ce que HIPAA (Health Insurance Portability and Accountability Act)?
HIPAA (Health Insurance Portability and Accountability Act de 1996) est la loi fédérale américaine qui régit la confidentialité et la sécurité des renseignements de santé protégés (PHI). La règle de sécurité établit des mesures de protection administratives, physiques et techniques, la règle de confidentialité régit l’utilisation et la communication des PHI, et la règle de notification des atteintes fixe les délais de signalement.
Cartographiez vos contrôles HIPAA Voir les composantes principales
Règle de sécurité · Règle de confidentialité · Notification des atteintes · Business Associate Agreements
Définition
HIPAA (Health Insurance Portability and Accountability Act de 1996) est la loi fédérale américaine qui régit la confidentialité et la sécurité des renseignements de santé protégés (PHI).
HIPAA est appliquée par l’Office for Civil Rights (OCR) du département de la Santé et des Services sociaux des États-Unis. Les sanctions pour violation vont de 100$ US à 50 000$ US par violation, jusqu’à un plafond annuel de 1,5 million de dollars américains par type de violation identique, avec des sanctions pénales en cas de négligence volontaire.
La règle de sécurité (45 CFR Part 164 Subpart C) est le cœur technique et opérationnel qui touche le plus directement les FSG. Elle exige que les entités couvertes et les associés d’affaires effectuent une analyse de risques, mettent en œuvre des mesures de protection administratives, physiques et techniques, et documentent leurs politiques et procédures.
Les associés d’affaires sont des organisations (ou des personnes) qui agissent au nom d’une entité couverte et qui traitent des PHI. Les FSG qui servent des clients du secteur de la santé sont généralement des associés d’affaires et doivent signer un Business Associate Agreement (BAA) avec chaque client qui est une entité couverte.
Composantes principales
Règle de sécurité
Mesures de protection administratives, physiques et techniques, ainsi que exigences relatives aux politiques, aux procédures et à la documentation (45 CFR, sections 164.308 à 164.316).
Règle de confidentialité
Règles régissant l’utilisation et la communication des PHI, les droits d’accès des patients et les exigences du minimum nécessaire (45 CFR Part 164 Subpart E).
Règle de notification des atteintes
Un délai de notification de 60 jours pour les atteintes touchant 500 personnes ou plus, avec des règles supplémentaires pour les atteintes de moindre envergure.
Entité couverte
Fournisseurs de soins de santé qui transmettent des renseignements de santé par voie électronique, régimes de santé et chambres de compensation en santé.
Associé d’affaires
Organisations ou personnes qui agissent au nom d’une entité couverte et qui traitent des PHI. Cela comprend la plupart des FSG qui servent des clients du secteur de la santé.
Business Associate Agreement (BAA)
Le contrat entre une entité couverte et un associé d’affaires qui établit les obligations de l’associé d’affaires en vertu de HIPAA.
Analyse de risques (section 164.308(a)(1)(ii)(A))
Évaluation exacte et approfondie des risques et des vulnérabilités potentiels pour la confidentialité, l’intégrité et la disponibilité des PHI électroniques. Documentation obligatoire.
Gestion des risques (section 164.308(a)(1)(ii)(B))
Mise en œuvre de mesures de sécurité suffisantes pour ramener les risques et les vulnérabilités à un niveau raisonnable et approprié.
Pourquoi c’est important
Pour les organisations de santé américaines, la conformité à HIPAA n’est pas facultative. Les audits de l’OCR et les mesures d’application déclenchées par des atteintes ont donné lieu à des règlements de plusieurs millions de dollars. Les procureurs généraux des États peuvent aussi faire appliquer HIPAA en vertu des modifications de la loi HITECH.
Pour les FSG qui servent le secteur de la santé aux États-Unis, l’exposition à HIPAA passe par le Business Associate Agreement. Des mesures de protection techniques insuffisantes du côté du FSG deviennent le problème du client qui est une entité couverte et la responsabilité du FSG.
Pour les organisations de santé canadiennes, HIPAA ne s’applique pas. Ce sont plutôt les lois canadiennes sur la vie privée qui s’appliquent (la LPRPDE, ainsi que des régimes provinciaux, dont la BC E-Health Act, la HIA de l’Alberta, la Loi 25 du Québec, la PIPA de la C.-B. et la PIPA de l’Alberta). Les FSG canadiens qui servent des clients de santé transfrontaliers ou établis aux États-Unis doivent composer avec les deux régimes.
Comment Lavawall® vous aide avec HIPAA
Lavawall® traite la règle de sécurité HIPAA comme un cadre de première classe, avec une correspondance directe avec les mesures de protection des sections 164.308 (administratives), 164.310 (physiques), 164.312 (techniques), 164.314 (organisationnelles) et 164.316 (politiques et procédures) du 45 CFR.
S’ensuivent des preuves continues sur les postes et dans le nuage. La posture de chiffrement, la journalisation d’audit, le contrôle d’accès, les politiques de mots de passe, l’application de l’AMF, la déconnexion automatique, les contrôles d’intégrité, la sécurité des transmissions, la sécurité des postes de travail et la gestion des supports amovibles sont recueillis sur de véritables postes Windows, macOS et Linux et sur des locataires M365 et Google Workspace.
La conception multilocataire permet à un FSG qui dessert 30 cliniques dentaires et 5 cliniques de soins primaires de les gérer toutes à partir d’une seule console, avec isolation par client. Les modèles de flux de travail d’analyse et de gestion des risques appuient l’exigence de documentation. ThreeShield, la firme d’audit qui a conçu Lavawall®, a une expérience directe de la conformité en santé.
Questions fréquentes
- HIPAA est-elle la même chose que HITECH?
- Non. La loi HITECH (Health Information Technology for Economic and Clinical Health Act de 2009) a modifié HIPAA pour renforcer les exigences de notification des atteintes et étendre directement l’application de HIPAA aux associés d’affaires.
- HIPAA s’applique-t-elle à l’extérieur des États-Unis?
- Parfois. HIPAA est une loi américaine, mais les organisations canadiennes ou d’autres pays qui traitent des PHI de patients américains en vertu d’un contrat avec une entité couverte américaine sont généralement des associés d’affaires et sont assujetties à HIPAA par le BAA.
- Le chiffrement est-il exigé par HIPAA?
- Pas strictement, mais il n’est pas facultatif non plus. Le chiffrement est une spécification « adressable » en vertu de la section 164.312. Adressable ne veut pas dire facultatif. Cela signifie que l’entité couverte doit soit le mettre en œuvre, soit documenter la raison pour laquelle elle ne le fait pas et adopter une solution de rechange équivalente.
- Quelle est la différence entre une entité couverte et un associé d’affaires?
- Une entité couverte est un fournisseur de soins de santé, un régime de santé ou une chambre de compensation en santé. Un associé d’affaires est une organisation qui agit au nom d’une entité couverte et qui traite des PHI. Les FSG qui servent le secteur de la santé sont habituellement des associés d’affaires.