Services de conformité HIPAA

La HIPAA s’applique aux « entités couvertes », qui comprennent les prestataires de soins (médecins, cliniques, hôpitaux, pharmacies, maisons de retraite), les régimes d’assurance santé (compagnies d’assurance, HMO, Medicare, Medicaid) et les organismes d’intermédiation de données de santé. Elle s’applique également aux « partenaires commerciaux », c’est-à-dire les fournisseurs ou sous-traitants qui créent, reçoivent, conservent ou transmettent des PHI pour le compte d’une entité couverte.

La HIPAA protège toutes les « informations de santé permettant d’identifier une personne » détenues ou transmises par les entités couvertes et leurs partenaires commerciaux. Ces informations de santé protégées (PHI) comprennent les données démographiques, les antécédents médicaux, les résultats d’examens, les informations d’assurance et toute autre information permettant d’identifier une personne et se rapportant à son état de santé physique ou mentale passé, présent ou futur, aux soins reçus ou au paiement de ces soins.

Une violation désigne une utilisation ou une divulgation non autorisée de PHI non sécurisées, qui compromet la sécurité ou la confidentialité de ces informations. Exemples : perte ou vol d’appareils contenant des PHI non chiffrées, accès non autorisé à des PHI, partage d’informations sans autorisation ou destruction inappropriée de PHI. Toute utilisation ou divulgation non autorisée ne constitue pas forcément une violation : une évaluation des risques permet de déterminer si la probabilité que des PHI aient été compromises est faible.

La HIPAA impose aux entités couvertes et à leurs partenaires commerciaux de réaliser régulièrement des évaluations des risques, sans en préciser la fréquence. La plupart des organisations de santé effectuent une évaluation complète chaque année, complétée par des évaluations supplémentaires après tout changement important des systèmes ou des environnements. Entre deux évaluations formelles, un audit et une surveillance réguliers doivent être menés en continu pour détecter de nouveaux risques ou de nouvelles vulnérabilités.