Protéger les données de santé électroniques (Security Rule)
HIPAA (Health Insurance Portability and Accountability Act) encadre la protection des informations de santé aux États-Unis, mais sert de référence internationale pour toute organisation qui traite des données de santé électroniques (ePHI) - y compris hors des États-Unis, pour des raisons contractuelles avec des partenaires américains. Le référentiel couvert ici est spécifiquement la Security Rule (Titre 45, parties 160, 162 et 164 sous-partie C) : les sauvegardes de sécurité, pas la Privacy Rule ni la Breach Notification Rule, qui relèvent d'un périmètre juridique distinct.
Trois catégories de sauvegardes
La Security Rule structure ses exigences en sauvegardes administratives (analyse de risque, gestion des accès, formation), physiques (contrôle d'accès aux locaux et aux postes de travail, gestion des supports) et techniques (contrôle d'accès logique, chiffrement, journalisation des accès aux ePHI). Une organisation ne peut pas se contenter du volet technique : l'analyse de risque administrative est le préalable qui justifie le choix et le dimensionnement des autres mesures.
Entités couvertes et sous-traitants
La règle distingue les entités couvertes (fournisseurs de soins, assureurs santé) de leurs sous-traitants (business associates) qui accèdent à des ePHI pour leur compte - un hébergeur cloud ou un éditeur de logiciel de gestion de dossiers patients en fait partie, et doit signer un accord de sous-traitance spécifique (Business Associate Agreement) précisant ses propres obligations de sécurité.
Suggestion générée à titre pédagogique - validation humaine requise. Ce guide ne constitue pas un conseil juridique et ne se substitue pas à un auditeur externe accrédité.