HIPAA

Qu'est-ce que HIPAA ?

HIPAA (Health Insurance Portability and Accountability Act) est une loi fédérale des États-Unis, adoptée en 1996, qui fixe des normes nationales de protection des informations de santé identifiables. Sa règle de confidentialité encadre l'usage et la divulgation des informations de santé protégées, tandis que sa règle de sécurité définit les garanties administratives, physiques et techniques exigées pour ces informations sous forme électronique.

À qui HIPAA s'applique

• Entités couvertes : organismes d'assurance santé, chambres de compensation santé, et professionnels de santé transmettant des informations de santé par voie électronique.
• Partenaires commerciaux : toute organisation traitant des informations de santé protégées pour le compte d'une entité couverte, éditeurs de logiciels inclus.
• L'obligation se transmet par un contrat de partenaire commercial, de nature contractuelle et non facultative.
• Les sous-traitants des partenaires commerciaux sont soumis aux mêmes exigences.
• L'application relève de l'Office for Civil Rights du département de la Santé des États-Unis.

Ce qu'exige la règle de sécurité en matière d'accès

Trois exigences concernent directement les équipes identité. Le contrôle d'accès, au 45 CFR 164.312(a), impose une identification unique des utilisateurs et un mécanisme restreignant l'accès aux personnes autorisées. La sécurité du personnel, au 164.308(a)(3), impose des procédures de fin de contrat qui retirent les accès à la sortie. La gestion des accès à l'information, au 164.308(a)(4), impose une autorisation, une attribution et une modification documentées des droits d'accès. Ce sont les contrôles d'offboarding et de revue d'accès, écrits dans le langage de 1996.

Exemples et cas d'usage

Un éditeur européen de logiciels de santé signe son premier client hospitalier américain et devient partenaire commercial. Le contrat exige la preuve que l'accès aux systèmes hébergeant des informations de santé protégées est restreint, documenté et retiré à la fin du contrat de travail. L'entreprise respecte déjà le RGPD, mais personne n'a jamais produit de revue d'accès datée sur les applications concernées. Cette preuve représente le même travail dans les deux référentiels, et c'est ce que Corma automatise. Satelia a emprunté cette voie pour sa gouvernance des identités en environnement de santé réglementé.

Concepts associés

• Revues d'accès automatisées et conformes
• Gouvernance et administration des identités
• Gouvernance des identités en santé chez Satelia

FAQ

HIPAA s'applique-t-il aux entreprises européennes ?

Pas directement, puisqu'il s'agit de droit américain. Il s'applique contractuellement à toute entreprise européenne agissant comme partenaire commercial d'une entité couverte américaine, par le contrat de partenariat qu'elle signe.

Quelle différence entre HIPAA et le RGPD ?

HIPAA est un texte américain sectoriel qui couvre les informations de santé. Le RGPD est un règlement européen général qui couvre toutes les données personnelles, les données de santé y étant traitées comme catégorie particulière au titre de l'article 9.

Qu'est-ce qu'un contrat de partenaire commercial ?

Le contrat qui soumet un prestataire manipulant des informations de santé protégées aux garanties HIPAA, à la notification des violations et aux obligations relatives aux sous-traitants, pour le compte d'une entité couverte.

HIPAA exige-t-il des revues d'accès ?

Le texte n'emploie pas l'expression, mais les normes de gestion des accès à l'information et de sécurité du personnel exigent une autorisation, une modification et un retrait documentés des accès, ce qu'une revue d'accès matérialise.

Demander une démo