Liste de contrôle de conformité HIPAA : comment être conforme à la HIPAA

La loi Health Insurance Portability and Accountability Act (HIPAA), telle que modifiée par la loi Health Information Technology for Economic and Clinical Health (HITECH), est conçue pour protéger les informations médicales et les dossiers de santé des individus. En atteignant et en maintenant la conformité à HIPAA compliance, les organisations de soins de santé peuvent protéger les informations de santé sensibles des patients tout en atténuant les risques de violations de données et de sanctions légales.

Cet article détaille les exigences clés de HIPAA et HITECH et fournit des ressources importantes pour que vous puissiez vous assurer que votre entreprise est conforme à HIPAA et éviter de vous retrouver dans les gros titres de violation de données.

Qu'est-ce que la conformité HIPAA ?

La conformité HIPAA fait référence au respect des réglementations établies par la Health Insurance Portability and Accountability Act pour garantir la confidentialité, la sécurité et l'intégrité des informations de santé protégées (PHI) des individus.

Les organisations tenues de se conformer à la HIPAA comprennent les prestataires de soins de santé, les plans de santé et les centres de traitement des données de santé, ainsi que leurs associés commerciaux. Les entités couvertes par la HIPAA doivent garantir la confidentialité et la sécurité des données des informations de santé protégées. Des exemples de PHI incluent :

• Noms des individus
• Photos de face complète et images comparables
• Identifiants biométriques
• Adresses e-mail
• Numéros de téléphone
• Numéros de fax
• Données géographiques
• Numéros de sécurité sociale
• Numéros de dossier médical
• Numéros de compte
• Numéros des bénéficiaires de la couverture santé
• Numéros de certificat et de licence
• Identifiants de véhicules et numéros de série
• Identifiants de périphériques et numéros de série
• Dates, sauf l'année
• Adresses IP
• URLs Web
• Tout numéro ou code d'identification unique

Qu'est-ce que HITECH ?

La loi Health Information Technology for Economic and Clinical Health (HITECH) renforce les réglementations HIPAA en incitant les prestataires à numériser les dossiers médicaux et de santé. La loi pénalise les manquements à l'utilisation significative des dossiers de santé électroniques et vise à encourager l'utilisation à l'échelle nationale de données de santé électroniques fiables, interopérables et sécurisées.

Quelles sont les règles et les contrôles HIPAA ?

Les règles HIPAA comprennent :

• Règle de confidentialité HIPAA
• Règle de sécurité HIPAA
• Règle de notification de violation HIPAA
• Règle d'application de la HIPAA
• Règle Omnibus HIPAA

Les contrôles HIPAA sont des politiques, procédures et autres mesures que les entités couvertes par HIPAA doivent mettre en place pour protéger les PHI et se conformer aux règles HIPAA, comme détaillé ci-dessous.

Règle de confidentialité HIPAA

La règle de confidentialité HIPAA Privacy Rule décrit un ensemble de normes régissant la manière dont les informations de santé protégées peuvent être utilisées et divulguées. Cette règle vise à appliquer des directives strictes qui régissent la manipulation des données de santé sensibles, favorisant la confidentialité et la vie privée des patients au sein des systèmes de santé.

Voici les contrôles HIPAA pour les exigences de la règle de confidentialité :

1. Politiques et procédures de confidentialité: Les entités couvertes doivent élaborer et mettre en œuvre un ensemble de politiques et procédures pour garantir la confidentialité des PHI.

2. Personnel: Les entités couvertes par la HIPAA doivent :

• Désignez un responsable de la confidentialité chargé du développement et de l'administration des pratiques et ressources de confidentialité de l'entité.
• Établissez un point de contact responsable de la réception des plaintes et de l'information des individus sur les pratiques de confidentialité de l'entité.

3. Formation et gestion du personnel: Les entités couvertes doivent former tous les membres du personnel sur les pratiques de confidentialité afin qu'ils puissent exercer leurs fonctions conformément à la Règle de confidentialité.

4. Atténuation: Les entités couvertes doivent atténuer tout effet préjudiciable causé par l'utilisation ou la divulgation de PHI qui viole les politiques de confidentialité ou la Règle de confidentialité HIPAA.

5. Mesures de protection des données: Les entités couvertes doivent établir et maintenir des mesures de protection administratives, techniques et physiques pour prévenir les violations malveillantes et non intentionnelles des PHI.

6. Plaintes: Les entités concernées doivent établir des canaux par lesquels les individus peuvent déposer des plaintes concernant la conformité à la vie privée.

7. Rétorsion et renonciation: Une entité couverte par HIPAA ne peut pas exercer de représailles contre un individu pour :

• Exerçant leurs droits tels que prévus par la règle de confidentialité HIPAA
• Aider une enquête menée par HHS ou d'autres autorités pertinentes
• Refus de s'engager dans tout acte considéré comme une violation de la règle de confidentialité HIPAA

8. Documentation et conservation des enregistrements: Une entité couverte doit conserver toute la documentation créée dans le but de se conformer aux réglementations de la Privacy Rule (politiques et procédures de confidentialité, registres des plaintes, avis sur les pratiques de confidentialité, etc.) pendant au moins six ans après la date de création ou la dernière date d'efficacité.

9. Exception: Les régimes d'assurance santé collective entièrement assurés sont tenus de se conformer uniquement aux exigences (7) et (8).

Règle de sécurité HIPAA

La règle de sécurité HIPAA Security Rule établit des directives qui protègent l'intégrité des dossiers de santé électroniques (EHR) et garantissent leur confidentialité et disponibilité.

L'Institut national des normes et de la technologie (NIST) dispose d'un ensemble de directives établies pour aider les organisations à développer des pratiques de sécurité conformes à la règle de sécurité HIPAA. Elles peuvent également utiliser le CIA Triad, où « CIA » représente ces trois composants :

• Confidentialité: Assurez-vous que les ePHI ne sont pas accessibles ou divulgués à des personnes ou des processus non autorisés.
• Intégrité: Assurez-vous que les ePHI ne sont pas altérés ou détruits de manière non autorisée.
• Disponibilité: Assurez-vous que les ePHI sont accessibles et utilisables à la demande par les personnes autorisées.

Les exigences de la règle de sécurité HIPAA comprennent les types de contrôles suivants pour les données sensibles :

• Mesures de sécurité techniques: Contrôles d'accès, contrôles d'audit, contrôles d'intégrité, authentification de personne/entité, sécurité de transmission
• Mesures de protection physiques: Contrôle d'accès aux installations, utilisation des postes de travail, sécurité des postes de travail, dispositifs et contrôles des supports
• Mesures administratives de sauvegarde: Processus de gestion de la sécurité, responsabilité attribuée en matière de sécurité, sécurité du personnel, gestion de l'accès à l'information, sensibilisation et formation à la sécurité, procédures en cas d'incident de sécurité, plans de contingence, évaluation, plans d'associés commerciaux et autres procédures

Les organisations font souvent la distinction entre les mesures de protection « obligatoires » et « applicables » :

• Les mesures de protection obligatoires doivent être suivies à la lettre ; il n'y a pas de place pour l'interprétation.
• Addressable requirements afford organizations some flexibility to account for unique infrastructural or technical limitations.

Règle de notification de violation HIPAA

The HIPAA Breach Notification Rule requires covered entities to notify certain parties when they suffer a breach of PHI. Specifically, the HIPAA Breach Notification Rule requires:

• Avis individuel: Les entités couvertes doivent notifier les individus affectés lors de la découverte d'une violation de PHI.
• Avis aux médias: En cas de violation affectant plus de 500 résidents d'un État ou d'une juridiction, les entités couvertes doivent notifier les principaux médias desservant l'État ou la juridiction.
• Avis au Secrétaire: Les entités couvertes doivent notifier le Secrétaire lors de la découverte d'une violation de PHI.

Il est possible pour les entités de prouver leur diligence raisonnable et de démontrer une faible probabilité de compromission des informations de santé protégées en se basant sur des procédures d'évaluation des risques adéquates.

Règle d'application de la HIPAA

La règle d'application de la HIPAA établit des normes sur la manière d'enquêter sur les violations de données et décrit une structure de pénalités pour les parties responsables.

Règle Omnibus HIPAA

La règle Omnibus HIPAA :

• Établit une structure de pénalités échelonnée comme l'exige HITECH
• Introduit des modifications au seuil de préjudice et inclut la règle finale sur la Notification de Violation pour les ePHI non sécurisés sous le HITECH Act
• Modifie HIPAA pour inclure des dispositions de la Genetic Information Nondiscrimination Act (GINA), qui interdit la divulgation d'informations génétiques à des fins de tarification d'assurance
• Empêche l'utilisation des informations de santé protégées et des identifiants personnels à des fins de marketing

Les exigences de la règle Omnibus HIPAA comprennent les éléments suivants :

• Nouveaux accords d'associé commercial (BAAs): Avant d'employer les services d'un associé commercial, les entités doivent signer un nouveau BAA conforme à HIPAA
• Mises à jour de l'Accord d'Associé Commercial: Les Accords d'Associé Commercial existants doivent être mis à jour pour se conformer à la Règle Omnibus.
• Mises à jour de la politique de confidentialité: Les politiques de confidentialité doivent être mises à jour pour se conformer aux modifications de la Règle Omnibus.
• Avis de mise à jour des pratiques de confidentialité (NPP): Les NPP doivent être mis à jour pour couvrir les informations requises par la Règle Omnibus.
• Formation du personnel mise à jour sur HIPAA: La formation du personnel sur les modifications de la règle Omnibus et les changements de définition doit être fournie et documentée.

Liste de contrôle HIPAA

Utilisez la liste de contrôle suivante pour aider votre organisation à garantir la conformité avec HIPAA.

1) Audits et évaluations

Effectuez régulièrement un audit interne HIPAA, évaluation de la sécurité et audit de la confidentialité pour soutenir la sécurité des données:

• Déterminez les audits et évaluations annuels HIPAA requis applicables à votre organisation, conformément à la règle HIPAA SP 800-66, Révision 1, en utilisant les directives NIST.
• Réalisez les audits et évaluations requis, analysez et comprenez les résultats, et documentez tout problème ou déficience.
• Créez et documentez des plans de remédiation approfondis pour traiter ces problèmes et insuffisances.
• Mettez les plans en œuvre, examinez les résultats et mettez à jour le plan si les résultats souhaités n'ont pas été atteints.

2) Conformité à la règle de confidentialité

Mettez en place les contrôles de la règle de confidentialité HIPAA qui régissent l'utilisation et la divulgation des PHI :

• Élaborez et appliquez des politiques et procédures de confidentialité pour l'utilisation et la divulgation des PHI.
• Désignez un responsable de la confidentialité et un point de contact pour les plaintes relatives à la confidentialité, et formez le personnel aux pratiques de confidentialité.
• Établissez des garanties administratives, techniques et physiques pour prévenir les violations malveillantes ou accidentelles des PHI.
• Mettez en place un canal permettant de déposer des plaintes relatives à la confidentialité, ainsi qu'un processus pour atténuer les effets néfastes de toute divulgation enfreignant la règle de confidentialité.
• Évitez toute mesure de rétorsion contre les personnes qui exercent leurs droits au titre de la règle de confidentialité, collaborent à une enquête du HHS ou refusent de participer à une violation de la règle de confidentialité.
• Conservez les politiques de confidentialité, les procédures et les registres de plaintes pendant au moins six ans, comme l'exige la règle de confidentialité.

3) Conformité à la règle de sécurité

Mettez en œuvre les garanties techniques, physiques et administratives exigées par la règle de sécurité :

• Garanties techniques : contrôle d'accès, contrôles d'audit, contrôles d'intégrité, authentification des personnes/entités et sécurité de la transmission.
• Garanties physiques : contrôle d'accès aux installations, utilisation et sécurité des postes de travail, et contrôle des appareils et supports.
• Garanties administratives : processus de gestion de la sécurité, responsabilité de sécurité attribuée, sécurité du personnel, gestion de l'accès à l'information, sensibilisation et formation à la sécurité, procédures en cas d'incident, plans d'urgence et évaluation périodique.
• Documentez quelles garanties sont obligatoires et lesquelles sont optionnelles pour votre organisation, ainsi que votre justification pour chacune.

4) Préparation à la notification des violations

Préparez votre organisation à respecter les délais et obligations de la règle de notification des violations :

• Mettez en place un processus pour notifier rapidement les personnes concernées après la découverte d'une violation des PHI.
• Préparez un plan de notification aux médias pour les violations touchant plus de 500 résidents d'un état ou d'une juridiction.
• Mettez en place un processus pour notifier le secrétaire du HHS de toute violation impliquant des PHI.
• Conservez la documentation d'évaluation des risques pour démontrer la diligence raisonnable et, le cas échéant, une faible probabilité de compromission des PHI.

5) Gestion des associés commerciaux et des politiques

Maintenez à jour les accords avec les associés commerciaux et la documentation de confidentialité conformément à la règle Omnibus :

• Signez de nouveaux accords d'associé commercial (BAA) conformes à HIPAA avant de faire appel à tout associé commercial.
• Révisez et mettez à jour les BAA existants pour refléter les exigences actuelles de la règle Omnibus.
• Mettez à jour les politiques de confidentialité et votre Avis de pratiques de confidentialité (NPP) pour refléter les modifications de la règle Omnibus.
• Documentez la formation du personnel sur les modifications et les changements de définitions de la règle Omnibus.

6) Surveillance et documentation continues

La conformité n'est pas un projet ponctuel. Maintenez-la à jour :

• Surveillez en continu l'accès aux PHI et examinez les journaux d'audit à la recherche d'activités suspectes ou non autorisées.
• Maintenez à jour les plans de correction, les résultats d'audit et la documentation de conformité, prêts à être présentés à un auditeur.
• Revoyez cette liste de contrôle au moins une fois par an, et chaque fois que les réglementations, les recommandations ou votre environnement informatique changent.

Pour un aperçu plus détaillé de la manière dont le portefeuille de sécurité des identités et des données de Netwrix répond directement à ces exigences HIPAA, consultez notre page solutions de conformité HIPAA.