HIPAA Security Rule

Définition

La Security Rule de la loi américaine HIPAA (Health Insurance Portability and Accountability Act) définit les exigences de sécurité applicables aux informations de santé protégées électroniques (ePHI) traitées par les entités couvertes, comme les prestataires de soins, les assureurs santé, et leurs partenaires commerciaux (business associates) traitant ces données pour leur compte. Elle structure les obligations en trois catégories de mesures : administratives, incluant l'analyse de risque obligatoire, la formation du personnel et la gestion des accès ; physiques, couvrant la sécurisation des locaux et des équipements hébergeant ou accédant aux données ; et techniques, imposant le contrôle d'accès, le chiffrement des données au repos et en transit lorsque raisonnablement applicable, ainsi que la journalisation des accès aux dossiers médicaux électroniques. Contrairement à des référentiels prescriptifs, la Security Rule adopte une approche fondée sur le risque, laissant une certaine flexibilité dans le choix des mesures techniques tant que le niveau de protection global reste adapté au risque identifié. En pratique de conformité, tout partenaire commercial traitant des ePHI doit signer un Business Associate Agreement formalisant ses obligations de sécurité, et toute violation de données de santé impose une notification aux personnes concernées et, selon l'ampleur, au département américain de la santé (HHS), sous peine de sanctions financières significatives en cas de manquement constaté.