La confidentialité des patients et des données de santé est une priorité absolue pour les prestataires de soins. Cependant, avec l'essor des dossiers médicaux électroniques, les accès non autorisés et les violations de données des patients deviennent plus fréquents. C'est là qu'intervient la loi Health Insurance Portability and Accountability Act (HIPAA).
La HIPAA est une loi fédérale promulguée en 1996 qui fixe des normes de confidentialité et de sécurité pour les informations de santé protégées (PHI). Elle vise à fournir un cadre pour protéger la vie privée des patients et garantir la confidentialité, l'intégrité et la disponibilité des PHI. La loi comprend deux règles principales la Privacy Rule et la Security Rule. Dans cet article, nous nous concentrerons sur la Privacy Rule et verrons ce qu'elle implique et pourquoi elle est importante.
HIPAA est l'acronyme de
La HIPAA a été créée pour répondre à plusieurs préoccupations, notamment la portabilité de la couverture d'assurance maladie, la simplification administrative, ainsi que la confidentialité et la sécurité des PHI. Avant la HIPAA, aucune réglementation fédérale n'encadrait la confidentialité et la sécurité des PHI. La HIPAA visait à fournir un cadre pour protéger la vie privée des patients et garantir la confidentialité, l'intégrité et la disponibilité des PHI.
Les dispositions de la HIPAA sont réparties en cinq titres, le Titre II portant spécifiquement sur la confidentialité et la sécurité des PHI. Au titre du Titre II, la HIPAA comprend deux règles principales la Privacy Rule et la Security Rule. La Privacy Rule établit des normes nationales pour la protection des PHI et s'applique aux prestataires de soins, aux régimes d'assurance maladie et aux chambres de compensation des soins de santé. La Security Rule fixe des normes pour la protection des PHI électroniques (ePHI) et ne s'applique qu'aux entités couvertes qui créent, reçoivent, conservent ou transmettent des ePHI.
La HIPAA et la
La HIPAA fixe des normes strictes pour la confidentialité des PHI. Les entités couvertes ne doivent utiliser et divulguer les PHI que pour les soins, le paiement et les opérations de santé, ou avec le consentement du patient, ou encore dans les cas autrement permis par la loi. Elles doivent également mettre en œuvre des mesures de protection des PHI, notamment administratives, physiques et techniques. Ces mesures doivent être examinées et mises à jour régulièrement afin de garantir une conformité continue.
La règle exige que les organisations de santé obtiennent le consentement écrit des patients avant d'utiliser ou de divulguer leurs PHI, sauf dans certaines situations telles que les soins, le paiement et les opérations de santé.
En vertu de la HIPAA, les patients ont le droit de :
- accéder à leur dossier médical et demander des corrections
- recevoir un avis sur les pratiques de confidentialité de la part de leur prestataire de soins
- déposer une plainte auprès de l'OCR s'ils estiment que leurs droits ont été violés.
- désignent un responsable de la confidentialité chargé de superviser la conformité à la HIPAA
- dispensent régulièrement aux employés une formation sur les réglementations HIPAA
- obtiennent des accords écrits avec les sous-traitants (business associate agreements) des fournisseurs qui traitent des ePHI
- élaborent des politiques et des procédures garantissant la conformité à la Privacy Rule.
La Security Rule de la HIPAA établit des normes pour la protection des ePHI. Elle exige que les organisations de santé mettent en œuvre des mesures de protection administratives, physiques et techniques spécifiques afin de garantir la confidentialité, l'intégrité et la disponibilité des ePHI.
La Security Rule de la HIPAA exige que les organisations de santé
- mettent en œuvre des politiques et des procédures pour prévenir, détecter, contenir et corriger les violations de sécurité
- réalisent régulièrement des évaluations des risques pour identifier les vulnérabilités potentielles
- mettent en œuvre des programmes de sensibilisation et de formation à la sécurité pour les effectifs
- établissent des contrôles d'accès limitant l'accès aux ePHI au seul personnel autorisé
- chiffrent et déchiffrent les ePHI lorsqu'elles sont stockées ou transmises
- mettent en œuvre des contrôles d'audit pour enregistrer et examiner l'activité dans les systèmes d'information contenant des ePHI
- mettent en œuvre des contrôles d'intégrité pour s'assurer que les ePHI n'ont pas été altérées ou détruites
- élaborent des plans de continuité pour répondre aux urgences ou autres incidents endommageant les systèmes contenant des ePHI.
La HIPAA exige que les organisations de santé réalisent des évaluations des risques afin d'identifier les vulnérabilités potentielles et de mettre en œuvre des mesures de protection adaptées pour les ePHI. Les évaluations des risques sont un élément important de la stratégie de sécurité d'une organisation de santé, car elles aident à identifier les menaces et vulnérabilités potentielles et à hiérarchiser les mesures de sécurité.
L'évaluation des risques pour la conformité HIPAA consiste à évaluer les mesures de protection administratives, physiques et techniques en place pour protéger les ePHI. Les organisations doivent évaluer la probabilité et l'impact des menaces potentielles pesant sur les ePHI, et déterminer les mesures appropriées pour y répondre.
La Security Rule de la HIPAA exige également que les organisations de santé mettent en œuvre des mesures de sécurité raisonnables et appropriées, fondées sur les résultats de leurs évaluations des risques. Cela inclut la mise en œuvre de politiques et procédures de sécurité, la formation des effectifs à la sécurité, les contrôles d'accès, le chiffrement, les contrôles d'audit et la planification de la continuité.
Les violations de la HIPAA peuvent avoir de lourdes conséquences pour les entités couvertes et les sous-traitants. Les types de pénalités et d'amendes pouvant être imposés dépendent de la gravité de la violation, du nombre de personnes concernées et du niveau d'intention.
Une violation courante de la HIPAA est le défaut d'obtention du consentement du patient avant la divulgation de PHI. Cela se produit lorsque des prestataires de soins divulguent les informations de santé protégées de patients à des personnes ou entités sans avoir obtenu le consentement écrit du patient. Le défaut de mise en œuvre de mesures de protection des PHI est une autre violation courante, qui peut survenir lorsque des organisations de santé ne sécurisent pas correctement les données des patients.
L'accès non autorisé aux PHI ou leur divulgation non autorisée constitue également une violation importante de la HIPAA. Cela peut se produire lorsque des employés ou d'autres personnes accèdent à des PHI qu'ils ne sont pas autorisés à consulter, ou lorsque des PHI sont divulguées à des parties non autorisées. Le défaut de donner aux patients accès à leurs propres PHI est une autre violation, qui peut survenir lorsque des prestataires de soins ne permettent pas aux patients de consulter ou d'obtenir des copies de leur dossier médical.
Enfin, le défaut de former les employés aux politiques et procédures HIPAA peut entraîner des violations de la HIPAA. Cela peut se produire lorsque des organisations de santé ne forment pas suffisamment leurs employés à l'importance de la protection des données des patients ou aux politiques et procédures spécifiques liées à la conformité HIPAA.
Les violations de la HIPAA entraînent des sanctions importantes, allant de 100 $ à 50 000 $ par violation, avec un maximum de 1,5 million de dollars par an pour chaque violation d'une disposition identique. Outre les sanctions financières, la violation de la réglementation HIPAA entraîne d'autres conséquences négatives. Les violations peuvent entraîner une perte de confiance des patients et des clients, une attention médiatique négative et une atteinte à la réputation d'une organisation. Dans certains cas, les violations de la HIPAA peuvent même donner lieu à des poursuites pénales et à des peines de prison.
Pour illustrer la gravité des violations de la HIPAA, il convient de mentionner quelques cas où des organisations de santé ont été sanctionnées pour non-conformité. Par exemple, en 2020, Premera Blue Cross a dû verser 6,85 millions de dollars pour régler d'éventuelles violations de la HIPAA. L'OCR a constaté que Premera n'avait pas réalisé d'analyse des risques adéquate, mis en œuvre de plans de gestion des risques, ni chiffré systématiquement les ePHI, ce qui a conduit à une violation de données touchant plus de 10 millions de personnes.
De même, en 2019, l'OCR a infligé au University of Rochester Medical Center (URMC) une amende de 3 millions de dollars pour des violations de la HIPAA. L'OCR a découvert que l'URMC n'avait pas chiffré les ePHI sur ses appareils mobiles, ce qui a entraîné une violation de données touchant plus de 3 000 personnes. L'URMC n'avait pas non plus réalisé d'analyse des risques, mis en œuvre de plans de gestion des risques, ni formé ses effectifs aux réglementations HIPAA.
Pour éviter de telles sanctions, les organisations de santé doivent faire de la conformité HIPAA une priorité et prendre des mesures proactives pour protéger les PHI. Cela comprend la réalisation d'analyses des risques régulières, la mise en œuvre de plans de gestion des risques, le chiffrement des ePHI et la formation des effectifs aux réglementations HIPAA. Ce faisant, les organisations de santé peuvent éviter des violations coûteuses de la HIPAA et préserver la confidentialité et la sécurité de leurs patients.
Le
Hideez Service élimine le besoin de mots de passe, source courante de vulnérabilités de sécurité. La solution utilise une application mobile permettant une authentification sécurisée sur poste de travail avec vérification biométrique, ainsi que des clés de sécurité matérielles, pour authentifier les utilisateurs et leur donner accès aux systèmes et données protégés.
De plus, le Hideez Authentication Service aide les organisations de santé à se conformer aux règles de sécurité de la HIPAA en fournissant des politiques et procédures de sécurité complètes, des contrôles d'accès et des pistes d'audit. Pour soutenir davantage les organisations de santé, Hideez propose un
