HIPAA Breach Notification Rule

Définition

La HIPAA Breach Notification Rule est le volet du Health Insurance Portability and Accountability Act américain imposant aux entités couvertes et à leurs partenaires commerciaux de notifier toute violation d'informations de santé protégées non sécurisées, selon un mécanisme comparable dans sa logique à celui de l'article 33 du RGPD, mais structuré avec ses propres seuils et délais spécifiques au contexte réglementaire américain. Cette règle impose une notification aux personnes concernées dans un délai de soixante jours suivant la découverte de la violation, une notification au ministère de la Santé américain, dont les modalités varient selon que la violation affecte plus ou moins de cinq cents personnes, et, pour les violations affectant plus de cinq cents résidents d'un même État ou juridiction, une notification aux principaux médias locaux, exigence sans équivalent direct dans le régime européen. La règle prévoit une présomption de violation dès lors qu'un accès, une utilisation ou une divulgation non autorisée d'informations de santé protégées est constatée, sauf si l'entité couverte démontre, au terme d'une évaluation des risques documentée, une faible probabilité de compromission effective de ces informations. Pour les acteurs opérant simultanément sous RGPD et HIPAA, la gestion coordonnée de ces deux régimes de notification, aux délais et critères distincts, constitue un enjeu de gouvernance de crise à anticiper en amont de la survenance d'un incident transatlantique.