Qu'est-ce que la conformité HIPAA : Directives pour devenir conforme

La Health Insurance Portability and Accountability Act (HIPAA) est une loi américaine conçue pour protéger la vie privée des individus en établissant des normes nationales pour la conservation des informations de santé sensibles et des dossiers médicaux des patients. Les règles de conformité HIPAA intègrent des exigences issues de plusieurs autres actes législatifs, y compris le Public Health Service Act et le Health Information Technology for Economic and Clinical Health (HITECH) Act.

Dans cet article, nous offrons une vue approfondie des exigences HIPAA et fournissons tous les détails que votre organisation doit connaître d'un point de vue de la sécurité informatique pour garantir la conformité HIPAA. Pour en savoir plus sur les meilleures pratiques de conformité, consultez la HIPAA Compliance Checklist.

Qu'est-ce que la conformité HIPAA ?

Les exigences de conformité HIPAA établissent des normes pour la protection des données de santé électroniques et médicales des patients. Les législateurs ont créé HIPAA pour atteindre plusieurs objectifs fondamentaux :

• Améliorez la santé
• Protégez la confidentialité des patients.
• Exiger que les entités fournissent les dossiers médicaux aux patients sur demande.
• Améliorez la portabilité de l'assurance maladie.
• Assurez-vous que les patients soient notifiés en cas de violation des violations de données.

Le Département de la Santé et des Services Sociaux des États-Unis (HHS) supervise HIPAA, et le Bureau des Droits Civils (OCR) du HHS réalise périodiquement des audits HIPAA pour évaluer la conformité.

Qu'est-ce que les informations de santé protégées (PHI) ?

Pour se conformer à HIPAA, une organisation doit disposer de mesures de Sécurité des Données appropriées telles que HIPPA Compliance Software pour les informations de santé protégées.

Les informations de santé protégées (PHI) sont toutes les informations de santé personnellement identifiables qui sont transmises ou stockées électroniquement, sur papier ou verbalement. Les PHI comprennent toute information concernant un individu qui se rapporte à sa santé passée, présente ou future ; les détails des traitements de soins de santé ; et les informations de paiement qui peuvent identifier l'individu. Des exemples de PHI incluent :

• Numéro de sécurité sociale
• Nom
• Dates de naissance, de décès ou de traitement, et autres dates liées aux soins des patients
• Photographies
• Informations de contact
• Numéros de dossier médical

Qui doit se conformer à HIPAA ?

HIPAA réglemente les informations pour deux groupes qui gèrent les données de santé des patients : les entités couvertes et les associés commerciaux.

Qu'est-ce qu'une entité couverte ?

Une entité couverte est une personne ou une organisation qui traite et détient des informations de santé protégées (PHI) pour les clients. Des exemples incluent les médecins, les pharmacies, les maisons de retraite, les cliniques et les compagnies d'assurance santé.

Toutefois, toutes les organisations qui traitent des informations de santé ne sont pas considérées comme des entités couvertes. Un exemple est celui des organisations de recherche qui ne fournissent pas de services de soins de santé et ne transmettent pas d'informations de santé en lien avec des transactions couvertes par une réglementation HIPAA.

Qu'est-ce qu'un associé commercial ?

Un partenaire commercial est une organisation qui fournit des services aux entités couvertes afin de les aider dans leurs activités et fonctions liées aux soins de santé. Les entités couvertes peuvent divulguer des informations de santé protégées (PHI) à leurs partenaires commerciaux pour les aider dans ces fonctions, mais non pour les besoins ou l’utilisation indépendants du partenaire commercial.

En général, un accord ou contrat d'associé commercial est nécessaire lors de l'établissement d'une relation entre une entité couverte et un associé commercial. Dans certains cas, cependant, un accord n'est pas nécessaire, il est donc nécessaire pour les organisations de faire leurs propres recherches.

Comment HIPAA protège la confidentialité des patients

La principale forme de protection des patients prévue par la HIPAA est sa Règle de confidentialité. Cette règle établit les normes relatives à l’utilisation et à la divulgation des informations de santé des individus. Elle définit également les droits des patients en matière de confidentialité ainsi que les contrôles qu’ils peuvent exercer sur l’utilisation de leurs informations de santé.

Droit des patients à accéder à leur PHI

Les patients ont le droit d'accéder à leurs propres informations de santé en vertu de la Règle de confidentialité. Ils peuvent également désigner par écrit et signature qui d'autre peut voir leurs informations de santé protégées (PHI).

Lorsqu'un patient demande des informations sur son dossier de santé personnel (PHI), les données sont généralement fournies dans un ensemble de dossiers désigné, qui contient :

• Dossiers de facturation et dossiers médicaux tels que les résultats d'analyses de laboratoire, les dossiers de traitement et les radiographies
• Informations sur les réclamations, l'inscription et le paiement pour le régime de santé du patient
• D'autres dossiers utilisés pour prendre des décisions concernant le patient

Certaines informations sont exclues de l'ensemble des dossiers désignés puisque ces informations n'ont pas été utilisées pour prendre des décisions. Cela inclut des données concernant :

• Dossiers de sécurité des patients
• Informations sur le contrôle de qualité
• Informations recueillies pour des procédures légales

Traitement des demandes de PHI

Une entité couverte peut exiger que les demandes de PHI soient faites par écrit ou par des communications électroniques telles que le courriel ou un portail web. Les entités couvertes ne peuvent pas créer de mesures déraisonnables pour les demandes ou la vérification, ni retarder de manière déraisonnable l'accès d'un patient.

Les demandes peuvent être satisfaites sous forme papier ou électronique, selon les informations demandées. Une entité couverte doit fournir les informations demandées dans les 30 jours calendaires suivant la demande.

Une entité couverte peut facturer des frais pour récupérer les coûts engagés pour :

• Création de copies
• Achat de fournitures pour la demande
• Affranchissement
• Préparation de résumés des PHI, si accepté par l'individu

Dans certains cas, une entité couverte refusera une demande de PHI. Ces circonstances peuvent inclure :

• Notes de psychothérapie
• Les informations de santé protégées qui font partie d'une étude de recherche en cours
• Situations où l'accès est raisonnablement susceptible de causer du tort à quelqu'un

Sécurité et confidentialité des dossiers médicaux électroniques

En septembre 2013, les législateurs ont intégré le HITECH Act dans le HIPAA avec la Règle Omnibus. Le HITECH Act a été conçu pour encourager les prestataires de soins de santé à utiliser des dossiers de santé électroniques (EHRs), également connus sous le nom d'informations de santé protégées électroniques (ePHI). Le HITECH Act a également stipulé que les entités reconnues non conformes au HIPAA pourraient être sujettes à des amendes substantielles.

Transactions standard HIPAA

HITECH aborde les transactions standard dans la Règle des transactions et de l'ensemble de codes (TCS). La règle TCS adopte des normes pour la transmission électronique des données de santé entre les fournisseurs, les assureurs santé et les clients d'assurance santé.

Gestion de la sécurité pour HIPAA

La règle de sécurité HIPAA

Pour garantir la sécurité des données des dossiers de santé électroniques, la HIPAA Security Rule a établi des normes de sécurité pour les entités couvertes et les associés commerciaux. Selon la règle, les entités couvertes doivent :

• Assurez la confidentialité, l'intégrité et la disponibilité de toutes les e-PHI qu'ils créent, reçoivent, maintiennent ou transmettent.
• Identifiez et protégez-vous contre les menaces raisonnablement anticipées pour la sécurité ou l'intégrité des informations.
• Protégez-vous contre les utilisations ou divulgations interdites raisonnablement anticipées.
• Assurez la conformité par leur personnel.

Pour garantir la conformité avec la règle de sécurité HIPAA, une organisation peut suivre les directives établies par le National Institute of Standards and Technology (NIST), qui comprennent des contrôles et des recommandations de politique pour que les organisations les mettent en œuvre pour la conformité HIPAA.

Sauvegardes HIPAA

Le NIST définit trois catégories de mesures de protection des dossiers de santé électroniques :

• Mesures de sauvegarde administratives
• Mesures de sécurité techniques
• Mesures de protection physiques

Ces mesures de protection peuvent être obligatoires (doivent être mises en œuvre) ou ajustables (devraient être mises en œuvre si raisonnable et approprié pour l'environnement).

Mesures de sauvegarde administratives

• Processus de gestion de la sécurité: Utilisez des systèmes pour détecter, prévenir, contenir et corriger les violations de sécurité.
• Responsabilité de sécurité attribuée: Désigner un responsable officiel pour la mise en œuvre et le développement des politiques et procédures.
• Sécurité de la main-d'œuvre: Accordez l'accès aux informations de santé protégées (ePHI) uniquement aux employés qui en ont besoin et empêchez les utilisateurs non autorisés d'y accéder.
• Gestion de l'accès à l'information: Utilisez des systèmes de sécurité pour autoriser l'accès aux ePHI.
• Sensibilisation à la sécurité et formation: Formez tous les employés aux pratiques et à la sensibilisation à la sécurité des données.
• Procédures d'incident de sécurité: Établissez des protocoles pour les incidents de sécurité.
• Plans de contingence: Élaborez des plans de gestion d'urgence pour les dommages systémiques.
• Évaluation: Effectuez des évaluations périodiques du système pour mesurer la sécurité des données et la fiabilité.

Sauvegardes techniques

• Contrôle d'accès: Autoriser l'accès uniquement aux individus ou programmes logiciels qui ont reçu des droits d'accès.
• Contrôles d'audit: Utilisez des systèmes qui enregistrent et examinent l'activité concernant les ePHI.
• Intégrité: Établissez des méthodes pour prévenir la mauvaise manipulation des
• Authentification de personne ou d'entité: Utilisez des systèmes de sécurité avec des mesures de vérification robustes.
• Sécurité de la transmission: Mettez en œuvre des mesures de sécurité pour protéger contre l'accès non autorisé aux ePHI lors de la transmission électronique.

Mesures de protection physiques

• Contrôle d'accès aux installations: Limitez l'accès physique aux ePHI.
• Utilisation des postes de travail: Établissez des flux de travail et des exigences de configuration pour les postes de travail où l'ePHI est consulté.
• Sécurité des postes de travail: Limitez l'utilisation des postes de travail aux utilisateurs autorisés.
• Contrôle des appareils et des supports: Gérez la réception et le retrait du matériel et des supports contenant des ePHI.

Analyse des risques de données

Selon les directives du processus de gestion de la sécurité, la règle de sécurité exige une analyse des risques, ou une évaluation et gestion des risques.

Les directives du NIST sur l'analyse des risques liés aux données comportent plusieurs étapes, qui incluent :

1. Identification des vulnérabilités et des menaces.
2. Évaluation de la sécurité actuelle des données.
3. Détermination de la probabilité des menaces et des impacts potentiels.

Coût des violations de la HIPAA

Notification de violation

Une violation est toute utilisation ou divulgation non autorisée de PHI en vertu de la Règle de confidentialité. Dans certains cas, une organisation peut démontrer une faible probabilité de PHI compromise sur la base d'une analyse des risques.

Si une violation de données se produit, l'organisation doit notifier les individus affectés par courrier ou email, alerter les médias et déposer un rapport au Secrétaire du HHS via un formulaire en ligne — le tout dans un délai de 60 jours.

Pénalités et amendes HIPAA

Lorsque les violations entraînent des infractions à la HIPAA Enforcement Rule , celle-ci régit les enquêtes, les auditions et les sanctions. Les causes courantes des pénalités HIPAA incluent la perte ou le vol d'appareils non cryptés, le manque de formation des employés, les violations de bases de données et les commérages de bureau concernant les informations des patients.

La loi HITECH décrit quatre niveaux d'amendes pour les violations :

• Niveau A: Infraction où une personne ou une entité ne savait pas qu'elle commettait une infraction.
• Niveau B: Violation de cause raisonnable mais sans négligence volontaire.
• Niveau C : Violation due à une négligence délibérée mais la personne ou l'entité peut remédier à la situation.
• Niveau D: Infraction de niveau C non corrigée dans un délai de 30 jours.

Le HHS OCR publie les violations sur leur site web «Wall of Shame». D'autres sites publient des amendes et des liens vers des accords. Des exemples récents incluent :

• En septembre 2020, Premera Blue Cross a été condamnée à une amende de 6 850 000 dollars pour régler une violation de données affectant plus de 6 millions d'individus.
• En juillet 2020, Lifespan Health System a été condamné à une amende de plus de 1 million de dollars pour un ordinateur portable volé qui n'était pas chiffré.

En octobre 2019, Elite Dental Associates a été condamnée à une amende de 10 000 dollars pour divulgation d'informations sur les patients sur les réseaux sociaux.

FAQ

À quelle fréquence la formation HIPAA est-elle requise ?

La formation HIPAA doit être réalisée au moins annuellement pour tous les membres du personnel qui manipulent des informations de santé protégées (PHI). Cependant, les organisations de santé ne se contentent pas de cocher une case une fois par an. Vous voudrez des sessions de formation supplémentaires lorsque de nouveaux employés commencent, lorsque les politiques changent, après des incidents de sécurité, et lorsque de nouvelles technologies sont mises en œuvre. La clé de la conformité HIPAA n'est pas de répondre aux exigences minimales – c'est de construire une culture consciente de la sécurité où la protection des données des patients devient une seconde nature.

Quelle est la meilleure description de la règle de sécurité HIPAA ?

La règle de sécurité HIPAA est votre feuille de route technique pour la protection des informations de santé électroniques (ePHI). Contrairement à la règle de confidentialité qui se concentre sur qui peut accéder aux données, la règle de sécurité s'attaque aux détails techniques de la manière de sécuriser ces données électroniquement. Elle exige que les entités couvertes mettent en œuvre des mesures de protection administratives, physiques et techniques qui garantissent la confidentialité, l'intégrité et la disponibilité des ePHI. C'est le guide pratique pour transformer les principes de confidentialité en contrôles de sécurité concrets qui fonctionnent réellement.

Quel est la clé pour être conforme à HIPAA ?

La clé de la conformité HIPAA est de comprendre que la sécurité des données commence par l'identité. Vous ne pouvez pas protéger ce que vous ne voyez pas, et vous ne pouvez pas contrôler ce que vous ne gérez pas. Une conformité HIPAA réussie nécessite trois éléments fondamentaux : savoir qui a accès aux PHI, surveiller ce qu'ils font avec cet accès et maintenir des pistes d'audit détaillées de toutes les activités. Il ne s'agit pas d'une sécurité parfaite – il s'agit de faire preuve de diligence raisonnable et de la capacité à détecter et répondre aux menaces avant qu'elles ne se transforment en violations.

HIPAA exige-t-elle le chiffrement ?

La loi HIPAA n'impose pas explicitement le chiffrement, mais il est considéré comme « adressable » dans le cadre des mesures de protection techniques de la Règle de sécurité. La réalité pratique : si vous stockez ou transmettez des ePHI sans chiffrement et qu'une violation se produit, vous serez confronté à des pénalités plus sévères et à des exigences de notification accrues. L'approche pratique consiste à traiter le chiffrement comme essentiel, et non optionnel. Chiffrez les données au repos, en transit et même en cours d'utilisation lorsque c'est possible. Lorsqu'il est correctement mis en œuvre, le chiffrement peut réduire vos obligations de notification de violation et démontrer votre engagement à protéger la confidentialité des patients.

Comment garantir la conformité HIPAA ?

Pour garantir la conformité HIPAA, une approche systématique est nécessaire, qui dépasse les politiques et procédures. Commencez par une évaluation complète des risques pour identifier les vulnérabilités dans votre environnement. Mettez en œuvre le principe du moindre privilège – donnez aux gens uniquement l'accès aux PHI dont ils ont besoin pour leurs fonctions spécifiques. Déployez une surveillance continue pour suivre qui accède à quelles données et quand. Établissez des procédures claires de réponse aux incidents et exercez-les régulièrement. Plus important encore, rappelez-vous que la conformité n'est pas une destination – c'est un processus continu qui exige une attention constante et des mises à jour régulières à mesure que votre organisation et le paysage des menaces évoluent.