Conformité HIPAA Santé Données Médicales

HIPAA Security Rule : les 3 catégories de protections

L'HIPAA Security Rule impose 3 catégories de protections pour les ePHI (electronic Protected Health Information) : (1) Protections administratives — politique de sécurité documentée, formation du personnel, évaluation des risques (Risk Analysis obligatoire — identification et évaluation des risques pour la confidentialité, l'intégrité et la disponibilité des ePHI), gestion des incidents de sécurité, plan de continuité et reprise, contrôles des accès des sous-traitants (Business Associate Agreements) ; (2) Protections physiques — contrôle d'accès aux installations hébergeant des ePHI, gestion des postes de travail (règles d'usage des postes accédant aux ePHI), contrôle des médias amovibles (procédures de destruction des supports contenant des ePHI) ; (3) Protections techniques — contrôle d'accès unique aux systèmes contenant des ePHI (chaque utilisateur a son propre identifiant), journalisation et piste d'audit, protection de l'intégrité des ePHI, chiffrement des transmissions (le chiffrement est une mesure adressable — fortement recommandé mais formellement pas obligatoire, l'organisation doit documenter sa décision).

La Risk Analysis HIPAA est l'une des exigences les plus fréquemment sanction-nées (absence ou insuffisance de la Risk Analysis) : une évaluation systématique et documentée de toutes les menaces et vulnérabilités qui pourraient compromettre la confidentialité, l'intégrité ou la disponibilité des ePHI est requise, avec évaluation de la probabilité et de l'impact de chaque risque.

Business Associate Agreements (BAA)

Un Business Associate est tout prestataire traitant des PHI pour le compte d'une Covered Entity (hôpital, assureur santé, prestataire de soins). Les BAA (Business Associate Agreements) sont obligatoires entre la Covered Entity et tous ses Business Associates. Un BAA ressemble au DPA RGPD dans son esprit : le BA s'engage à protéger les PHI avec les mêmes mesures que la CE, à notifier les violations, à restreindre les usages aux finalités définies, et à coopérer aux audits.

Les fournisseurs cloud majeurs (AWS, Azure, Google Cloud, Salesforce) signent des BAA avec leurs clients du secteur de la santé. Ces BAA standardisés couvrent les services cloud utilisés pour héberger des PHI. Les fournisseurs de logiciels SaaS de santé (Epic, Cerner, Meditech) sont des Business Associates et doivent avoir signé des BAA avec leurs clients hôpitaux. L'absence de BAA avec un fournisseur traitant des PHI est une violation grave de l'HIPAA.

HDS vs HIPAA : comparaison des réglementations de santé

Comparaison des réglementations santé France (HDS) et USA (HIPAA) : Périmètre HDS — tout hébergement de données de santé à caractère personnel pour le compte d'établissements de santé en France ; périmètre HIPAA — PHI de patients américains traités par Covered Entities et Business Associates. HDS — certification ISO 27001 + certification HDS par un organisme accrédité COFRAC, périmètre des activités d'hébergement certifiées ; HIPAA — pas de certification formelle mais conformité attestée par Risk Analysis et politiques documentées, audits HHS/OCR possibles.

Pour une organisation française hébergeant des données de santé de patients français ET américains, les deux réglementations peuvent s'appliquer simultanément. La certification HDS en France est souvent utilisée comme élément de preuve partielle de la conformité HIPAA (notamment pour les protections techniques), bien que les deux référentiels ne soient pas parfaitement alignés. La CNIL supervise la conformité RGPD des données de santé en France, tandis que l'HHS/OCR (Office for Civil Rights) supervise la conformité HIPAA aux USA.