Qu’est-ce que la loi HIPAA ? Explications en langage clair

La loi HIPAA (Health Insurance Portability and Accountability Act) est une loi fédérale américaine de 1996 qui établit des normes nationales pour la protection des données de santé des patients et oblige les organismes de santé et leurs prestataires à les garantir. La plupart des gens pensent que la loi HIPAA ne concerne que les hôpitaux et les médecins. En réalité, elle s'applique également aux sociétés de facturation, aux fournisseurs informatiques, etc. cloud fournisseurs, et les fax service qui transmet une recommandation.

Le président Bill Clinton a promulgué la loi HIPAA le 21 août 1996 (loi publique 104-191). Le Congrès et le département de la Santé et des Services sociaux (HHS) l'ont modernisée à quatre reprises : la règle relative à la confidentialité (2003), la règle relative à la sécurité (2005), la règle relative à la notification des violations de données (2009) et la règle omnibus (2013). Une cinquième mise à jour, la plus importante refonte de la règle relative à la sécurité depuis 20 ans, figure à l'ordre du jour réglementaire de l'OCR pour mai 2026.

Ce guide explique ce que signifie la loi HIPAA, les quatre règles, ce qui est considéré comme une information de santé protégée (ISP), qui doit s'y conformer, les sanctions en cas de non-respect et comment la loi HIPAA s'applique. fax Vous y trouverez des informations sur la conformité aux normes HIPAA (courriel, SMS, Slack) et une liste de contrôle initiale en huit étapes. Une seule lecture vous permettra de savoir si votre organisation est concernée par la loi HIPAA et quelles sont les prochaines étapes.

Définition et bref historique de la loi HIPAA (1996 à aujourd'hui)

La loi HIPAA a été initialement conçue pour permettre aux travailleurs de conserver leur assurance maladie lors d'un changement d'emploi. Les règles de confidentialité et de sécurité auxquelles on l'associe aujourd'hui ont été ajoutées ultérieurement.

Que signifie HIPAA ?

La loi HIPAA (Health Insurance Portability and Accountability Act) de 1996 a été signée par le président Bill Clinton le 21 août 1996 sous le nom de loi publique 104-191. Elle visait initialement quatre objectifs : rendre l’assurance maladie transférable d’un emploi à l’autre, réduire la fraude et les abus dans le secteur de la santé, normaliser les transactions électroniques de santé et protéger les informations de santé.

La partie relative à la protection des données de santé était la plus petite du texte initial de la loi. Le Congrès a chargé le Département de la Santé et des Services sociaux (HHS) d'édicter ultérieurement la réglementation proprement dite en matière de confidentialité et de sécurité. C'est cette réglementation que la plupart des gens désignent aujourd'hui par l'expression « HIPAA ».

Évolution de la loi HIPAA : les quatre principales mises à jour

• La règle de confidentialité (2003) a établi les premières normes nationales concernant les personnes autorisées à utiliser et à divulguer des renseignements personnels sur la santé et a donné aux patients des droits sur leurs dossiers.
• La règle de sécurité (2005) a ajouté des garanties administratives, physiques et techniques pour les informations de santé électroniques.
• La loi HITECH et la règle relative à la notification des violations de données (2009) ont porté l'amende maximale de 25 000 $ à 1,5 million de dollars par an, instauré la notification obligatoire des violations de données et encouragé l'adoption des dossiers médicaux électroniques grâce à des incitations financières de 25 milliards de dollars. La loi HITECH a également conféré aux procureurs généraux des États le pouvoir de faire appliquer la loi HIPAA.
• La règle Omnibus (2013) a rendu les partenaires commerciaux directement responsables des violations de la loi HIPAA et a inversé la charge de la preuve en matière de notification de violation.

Où en est la loi HIPAA en 2025-2026

En janvier 2025, le département de la Santé et des Services sociaux (HHS) a proposé une importante mise à jour des règles de sécurité. Celle-ci rendrait obligatoires l'authentification multifacteurs et le chiffrement, et supprimerait la distinction entre les spécifications « obligatoires » et « facultatives ». Les coûts estimés par l'industrie s'élèvent à 34 milliards de dollars. Le Bureau des droits civiques a reporté la finalisation de cette mise à jour à mai 2026. Il est donc conseillé de considérer dès maintenant l'authentification multifacteurs et le chiffrement comme obligatoires afin d'éviter des problèmes ultérieurs.

Explication des quatre règles HIPAA

On parle souvent de « HIPAA » comme s'il s'agissait d'une seule et même chose. En réalité, ce sont quatre règles interdépendantes, et la plupart des violations se produisent à l'interface entre elles.

Règle de confidentialité (2003)

La réglementation sur la protection de la vie privée définit les informations de santé protégées (ISP) et précise qui peut y accéder et dans quelles conditions. Les patients ont le droit d'accéder à leur dossier, de demander des rectifications, d'obtenir un relevé des divulgations et de demander des restrictions quant à l'utilisation de leurs informations. Les professionnels de santé doivent répondre aux demandes d'accès dans un délai de 30 jours, avec une prolongation possible de 30 jours supplémentaires.

La règle autorise l'utilisation des renseignements personnels sur la santé sans l'autorisation du patient à des fins de traitement, de paiement et de gestion des soins (l'exception dite « TPO »). Pour tout le reste, le principe de minimisation des informations est appliqué : seules les informations nécessaires à la réalisation de l'objectif sont divulguées. Le traitement constitue la seule exception permettant la circulation intégrale des dossiers entre professionnels de santé.

Un exemple classique de violation des règles de confidentialité : un cabinet médical faxe le statut sérologique d’un patient à ce que le personnel croit être son médecin traitant, mais qui s’avère être son employeur. Numéro erroné, absence de contrôles minimaux, aucune vérification.

Règle de sécurité (2005)

La règle de sécurité s'applique uniquement aux données de santé électroniques (ePHI). Elle définit trois catégories de mesures de protection :

• Administration : analyse des risques, formation du personnel, politique de sanctions, gestion des accès
• Éléments physiques : contrôle d’accès aux installations, sécurité des postes de travail, mise au rebut des appareils
• Techniques : contrôles d'accès, journaux d'audit, contrôles d'intégrité, chiffrement des transmissions

La distinction actuelle entre spécifications « obligatoires » et « facultatives » devrait disparaître avec la mise à jour proposée pour 2025. Les défaillances en matière d'analyse des risques sont prédominantes dans l'application de la réglementation. Elles ont été constatées dans 13 des 22 résolutions de l'OCR clôturées en 2024.

Règle de notification des violations (2009, via HITECH)

En cas de violation de données de santé protégées non sécurisées, les entités concernées doivent en informer trois publics :

• Personnes concernées dans un délai de 60 jours
• HHS (immédiatement pour les infractions touchant 500 personnes ou plus, dans les 60 jours suivant la fin de l'année pour les infractions moins importantes)
• Les principaux médias couvriront l'affaire si 500 résidents ou plus d'un même État sont touchés.

Le chiffrement crée une zone de sécurité. Les données correctement chiffrées, même perdues ou volées, ne déclenchent pas de notification. L'accord à l'amiable de 1,5 million de dollars conclu par Warby Parker en 2025 combinait des manquements aux règles de sécurité et aux règles de notification des violations de données après qu'une attaque par bourrage d'identifiants ait exposé les données de prescriptions de lunettes de ses clients.

Il existe trois exceptions en matière de violation de données : l’accès involontaire par un employé autorisé, la divulgation involontaire entre deux personnes autorisées et la divulgation à une partie qui ne pouvait raisonnablement pas conserver l’information.

Règlement Omnibus (2013)

La règle Omnibus a rendu les partenaires commerciaux et leurs sous-traitants directement responsables du respect de la loi HIPAA. Avant 2013, seules les entités couvertes étaient passibles d'amendes.

La loi Omnibus a également inversé la charge de la preuve en cas de violation. Toute utilisation ou divulgation non autorisée par la règle de confidentialité est désormais présumée constituer une violation, sauf si l'entité concernée peut démontrer, au moyen d'une évaluation des risques à quatre facteurs, une faible probabilité de compromission des données de santé protégées.

Qu’est-ce que les informations de santé protégées (PHI) ? Les 18 identifiants qui déclenchent la loi HIPAA.

Les données de santé protégées (DSP) désignent l'un des 18 identifiants spécifiques associés à un lien avec la santé, les soins de santé ou le paiement des soins d'une personne. Si ces 18 identifiants sont correctement supprimés, les données sont dépersonnalisées et cessent d'être des DSP.

Les 18 identifiants HIPAA

1. Noms
2. Données géographiques inférieures à un État
3. Toutes les dates, à l'exception de l'année, se rapportent à une personne.
4. numéros de téléphone
5. Fax Nombres
6. adresses e-mail
7. Numéros de sécurité sociale
8. numéros de dossier médical
9. numéros de bénéficiaires du régime de santé
10. Numéros de compte
11. Numéros de certificat ou de licence
12. Identifiants du véhicule, y compris les plaques d'immatriculation
13. Identifiants et numéros de série des appareils
14. URL Web
15. adresses IP
16. Identifiants biométriques, notamment les empreintes digitales et vocales
17. Photos de visage entier et images comparables
18. Tout autre numéro, caractéristique ou code d'identification unique

Lorsque ces mêmes données ne sont PAS des données de santé protégées

Les identifiants sans contexte de santé ne constituent pas des informations de santé protégées (ISP). Le nom d'un client sur la liste de diffusion d'un détaillant n'est qu'un nom. Un contexte de santé sans identifiants n'est pas non plus une ISP. Les statistiques hospitalières agrégées et correctement anonymisées ne sont pas soumises à la loi HIPAA. La présence simultanée des deux éléments est requise pour que la loi s'applique. Le nom d'un patient associé à un diagnostic constitue une ISP. Un diagnostic sans identifiant n'en est pas une.

Qui est tenu de se conformer à la loi HIPAA (et qui ne l'est pas)

Vos données Fitbit ne sont pas protégées par la loi HIPAA. Le programme de bien-être de votre employeur ne l'est probablement pas non plus. La loi HIPAA ne couvre qu'une liste précise d'organisations, et cette liste est plus restreinte que la plupart des gens ne le pensent.

Entités couvertes (EC)

Une entité soumise à la loi HIPAA appartient à l'une des trois catégories suivantes :

1. Régimes de santé : assureurs, organismes de gestion de la santé (HMO), Medicare, Medicaid et régimes collectifs d’employeur. La plupart des régimes collectifs d’employeur sont couverts, quelle que soit leur taille. Une exception notable concerne les régimes collectifs autogérés comptant moins de 50 participants ; ces régimes ne sont pas soumis à la loi HIPAA. Si un assureur ou un tiers gestionnaire gère le régime, celui-ci est couvert.
2. Centres de traitement des données de santé : entités qui traduisent des données non standardisées en transactions électroniques standardisées.
3. Les prestataires de soins de santé qui transmettent électroniquement des informations de santé dans le cadre d'une transaction couverte (demandes de remboursement, vérifications d'admissibilité, orientations).

Le déclenchement des transactions électroniques explique pourquoi presque tous les prestataires modernes sont couverts. Dès que vous facturez l'assurance par voie électronique ou que vous envoyez une demande d'orientation électronique, vous êtes pris en charge.

Business associés (BA)

Un partenaire commercial est toute personne ou organisation qui exerce une fonction pour le compte d'une entité couverte impliquant des informations de santé protégées. Exemples courants : sociétés de facturation, fournisseurs informatiques, cloud fournisseurs de stockage, services de destruction de documents, cabinets d'avocats ayant accès aux informations de santé protégées, services de transcription et conformité à la loi HIPAA fax fournisseurs.

Depuis la règle Omnibus de 2013, les partenaires commerciaux sont directement responsables devant l'OCR. Signez un Business Accord de partenariat (BAA) avant le transfert des données de santé protégées. Gulf Coast Pain Consultants a versé 1,19 million de dollars après qu'un sous-traitant a conservé l'accès au système après la résiliation de son contrat et a déposé des demandes de remboursement frauduleuses auprès de Medicare, illustrant les conséquences d'une défaillance des contrôles d'accès liés à un accord de partenariat.

Qui n'est PAS couvert par la loi HIPAA

• Employeurs gérant les informations de santé des employés en dehors d'un régime d'assurance maladie collectif (l'ADA et la FMLA régissent alors ces informations).
• Les applications de fitness grand public qui ne vendent pas leurs services aux fournisseurs, notamment Fitbit, Apple Health et MyFitnessPal (c'est la règle de notification des violations de données de santé de la FTC qui s'applique).
• Écoles et universités (la loi FERPA régit les dossiers des étudiants)
• Les assureurs vie, les assureurs en matière d'accidents du travail et la plupart des assureurs invalidité
• forces de l'ordre
• Entreprises d'analyse marketing sans accès aux informations de santé protégées

Loi HIPAA et canaux de communication : fax , courriel, SMS, Slack, vidéo

Un cabinet dentaire du Texas a dû payer 10 000 $ parce qu'un employé a répondu à un avis négatif sur Yelp en divulguant les coordonnées d'un patient. La loi HIPAA s'applique au message, et non au moyen de transmission. Chaque canal utilisé par votre personnel pour communiquer des informations de santé protégées (ISP) doit faire l'objet d'une réponse spécifique.

La matrice de conformité

‍

Fax : toujours le pilier de la santé

En vertu de l'exception relative aux communications par conduit, l'opérateur téléphonique n'est pas considéré comme un partenaire commercial lorsqu'il transmet un appel. fax car le transporteur n'inspecte ni ne stocke jamais le contenu. Cela préserve la tradition fax dans les canaux autorisés par la loi HIPAA.

Analogique fax présente deux problèmes pratiques. Il n'existe aucune piste d'audit et une simple erreur de saisie peut exposer des informations de santé protégées (comme lors de la divulgation du statut sérologique à l'employeur). Une solution conforme à la loi HIPAA cloud fax service comme Fax .Plus signe un accord de partenariat commercial (BAA) sur son Enterprise Ce système de planification chiffre les données en transit et au repos, enregistre chaque envoi et réception, et permet aux employés d'envoyer des e-mails ou des fax directement depuis leur messagerie électronique ou un navigateur web. Ils peuvent ainsi envoyer des fax sans quitter leur flux de travail habituel.

Courriel et messagerie

L'utilisation gratuite de la messagerie électronique est la violation silencieuse la plus fréquente de la loi HIPAA. Gmail, Outlook.com, Yahoo et iCloud refusent de signer un accord de partenariat commercial (BAA) pour leurs offres gratuites. Les services payants Google Workspace et Microsoft 365 sont conformes à la loi HIPAA, mais uniquement après la signature d'un BAA et la sécurisation de la configuration (désactivation de l'accès aux applications tierces, activation de la journalisation d'audit et application de l'authentification multifacteur).

Les SMS standard ne sont pas conformes. Les opérateurs ne signent pas d'accords de partenariat commercial (BAA) et les messages sont stockés en clair sur les appareils et dans leurs systèmes. Utilisez plutôt une application de messagerie sécurisée conforme à la norme HIPAA.

Vidéo et collaboration

FaceTime et les comptes Zoom personnels ne sont plus disponibles. Zoom pour le secteur de la santé, Doxy.me et… Microsoft Teams (avec BAA) sont inclus. Slack exige Enterprise Grid signera un accord de partenariat commercial (BAA) avant Slack. Les espaces de travail Slack standard, aussi bien configurés soient-ils, ne sont pas conformes à la loi HIPAA.

Violations et sanctions liées à la loi HIPAA : quels sont les coûts de la non-conformité ?

En 2024, le Bureau des droits civiques du HHS a clôturé 22 procédures d'application de la loi pour un montant de 9,9 millions de dollars. La même cause première, « l'absence d'analyse de risques adéquate », est apparue dans 13 d'entre elles.

Échelons de sanctions civiles (2026)

• Niveau 1 (manque de connaissances) : de 145 $ à 73 011 $ par infraction, jusqu’à concurrence de 2 190 294 $ par année
• Niveau 2 (motif raisonnable) : de 1 461 $ à 73 011 $ par infraction
• Niveau 3 (négligence délibérée, corrigée dans les 30 jours) : de 14 618 $ à 73 011 $ par infraction
• Niveau 4 (négligence délibérée non corrigée) : de 73 011 $ à 2 190 294 $ par infraction

sanctions pénales

L'OCR transmet les dossiers criminels au ministère de la Justice, qui les poursuit. Obtention ou divulgation en connaissance de cause d'informations médicales confidentielles : amende pouvant atteindre 50 000 $ et 1 an d'emprisonnement. Obtention sous de faux prétextes : amende pouvant atteindre 100 000 $ et 5 ans d'emprisonnement. Vente, transfert ou utilisation à des fins commerciales ou malveillantes : amende pouvant atteindre 250 000 $ et 10 ans d'emprisonnement.

Cas réels d'application de la loi en 2024-2025

• Warby Parker 1,5 million de dollars (2025) : attaque par bourrage d’identifiants ; le détaillant de lunettes était une entité visée.
• Centre médical Montefiore : 4,75 millions de dollars – un employé a dérobé plus de 12 000 dossiers ; contrôles d’audit défaillants.
• Enzo Biochem : 4,5 millions de dollars de pertes suite à une attaque de ransomware liée à des identifiants partagés et à un mot de passe vieux de dix ans.
• Gulf Coast Pain Consultants (1,19 million de dollars) : un sous-traitant résilié a conservé l'accès au système et a déposé des demandes de remboursement frauduleuses auprès de Medicare.
• Cabinet dentaire au Texas : le propriétaire a répondu à un avis Yelp contenant des informations sur un patient, pour un montant de 10 000 $.

L'initiative du Bureau des droits civiques (OCR) relative au droit d'accès a donné lieu à 54 mesures d'application de la loi depuis 2019, avec des amendes allant de 3 500 $ à 160 000 $ pour les fournisseurs qui n'ont pas livré les dossiers à temps.

Qui fait appliquer la loi HIPAA ?

Le Bureau des droits civiques du HHS est chargé de l'application civile de la loi. Les procureurs généraux des États peuvent également intenter des actions en vertu de la loi HIPAA (la loi HITECH leur a conféré ce pouvoir en 2009). Le ministère de la Justice poursuit les affaires pénales. La FTC veille à l'application de la règle de notification des violations de données de santé pour les applications de santé non soumises à la loi HIPAA, telles que les traqueurs d'activité physique.

Lois étatiques qui vont au-delà de la loi HIPAA

La loi HIPAA constitue le socle fédéral. Quelques États ont érigé des normes plus strictes par-dessus, et c'est la loi de l'État qui prévaut lorsqu'elle est plus contraignante.

• Loi californienne sur l'information médicale (CMIA) : définition plus large des informations médicales, s'applique à un plus grand nombre de types d'entités, donne aux patients un droit d'action privé pour intenter une action en justice directement et exige un accès aux dossiers dans un délai de 5 jours contre 30 jours pour la loi HIPAA.
• Projet de loi HB 300 du Texas : élargit la notion d’« entité couverte » à pratiquement toute personne manipulant des informations médicales protégées au Texas, impose une formation bisannuelle du personnel dans les 90 jours suivant l’embauche et autorise les amendes du procureur général jusqu’à 1,5 million de dollars par an.
• Loi MHMDA de l'État de Washington : la loi américaine la plus étendue en matière de protection des données de santé des consommateurs. Elle couvre les données des traqueurs d'activité physique, les applications de suivi des règles et les informations des applications de bien-être exemptées par la loi HIPAA, et elle accorde un droit d'action privé.

La loi SHIELD de New York et la loi sur la protection des informations génétiques de l'Illinois ajoutent des couches supplémentaires dans leurs États respectifs.

Lorsque la législation d'un État est plus stricte que la loi HIPAA, c'est la législation de l'État qui prévaut. Lorsque la loi HIPAA est plus stricte, c'est elle qui prévaut. Établissez une correspondance entre les deux pour chaque État où vous traitez des informations de santé protégées.

Comment démarrer la mise en conformité avec la loi HIPAA : une liste de contrôle pratique

La conformité à la loi HIPAA ne se limite pas à un seul objectif. C'est un processus continu. Huit étapes permettent de mettre en place une conformité crédible.

Liste de contrôle de démarrage HIPAA en 8 étapes

1. Déterminez votre statut. Êtes-vous une entité couverte, un partenaire commercial ou ni l'un ni l'autre ? La réponse déterminera toutes les étapes suivantes.
2. Effectuez une analyse des risques de sécurité (ARS). Il s'agit de la principale lacune relevée par l'OCR (13 sur 22 en 2024). Recensez tous les emplacements où sont stockées les données de santé protégées, tous les systèmes qui y accèdent et toutes les menaces.
3. Désignez un responsable de la protection des données et un responsable de la sécurité. Dans les petites structures, il peut s'agir de la même personne. Précisez leurs rôles par écrit.
4. Rédigez les politiques requises : politique de confidentialité, politique de sécurité, plan de réponse aux incidents de sécurité, politique de sanctions et politique relative aux appareils. Les modèles génériques ne sont qu’un point de départ, pas une finalité.
5. Signez des accords de partenariat commercial (BAA) avec chaque fournisseur manipulant des informations de santé protégées (PHI). Fournisseur de messagerie électronique, cloud stockage, fax Services ( Fax .Plus Enterprise inclut un accord de partenariat commercial ), société de facturation, assistance informatique, service de transcription. Sans accord de partenariat commercial, sans données de santé protégées.
6. Formez votre personnel. Formation initiale à l'embauche, formations de recyclage périodiques, formations spécifiques au poste pour le personnel clinique et informatique. Consignez les présences.
7. Mettre en œuvre des mesures de protection techniques : contrôle d’accès basé sur les rôles, journaux d’audit, chiffrement des données en transit et au repos, authentification multifacteur pour chaque compte accédant aux données de santé protégées.
8. Élaborez un plan d'intervention en cas de violation de données. Ce plan doit comprendre une évaluation des risques en quatre points, un délai de notification de 60 jours, une liste de contacts pour l'OCR et les procureurs généraux des États, ainsi qu'un exercice de simulation au moins une fois par an.

‍