Google Workspace est-il conforme à la norme HIPAA ?

Tous les forfaits Google Workspace ne garantissent pas automatiquement la conformité à la norme HIPAA. Bien que Google offre des fonctionnalités de sécurité et de confidentialité dans l'ensemble de ses offres Workspace, les organisations qui traitent des renseignements personnels sur la santé (PHI) ont généralement besoin d'au moins une édition payante (p. ex., Business ou Enterprise) pour accéder aux configurations de sécurité avancées et signer le BAA Google (Business Associate Agreement).

Les forfaits qui prennent généralement en charge la conformité à la norme HIPAA comprennent :

• Business (Standard, Plus)

• Enterprise (Standard, Plus)

• Éducation (Dans certains cas, avec des exigences supplémentaires)

Même au sein de ces forfaits, vous devez configurer correctement les paramètres de confidentialité. Le simple fait de s'abonner à un forfait admissible ne garantit pas que votre environnement est conforme à la norme HIPAA : vous devez également suivre les directives sur la façon de rendre Google Workspace conforme à la norme HIPAA, y compris le traitement approprié des PHI électroniques (ePHI).

Plusieurs services de base de Google Workspace peuvent être utilisés conformément à la norme HIPAA, une fois que vous avez signé le BAA de Google et que vous les avez correctement configurés. Ceux-ci inclus :

• Gmail (souvent appelé  « Gmail conforme à la norme HIPAA » lorsqu’il est correctement configuré)

• Google Drive (y compris Docs, Sheets et Slides)

• Google Meet

• Google Chat (scénarios d’utilisation limités ; assurez-vous d’une configuration correcte)

• Google Agenda

Les services qui ne figurent pas dans le BAA de Google peuvent nécessiter un examen plus approfondi ou ne pas être adaptés au stockage ou à la transmission d’ePHI. Par exemple, Google Voice peut ne pas être couvert par le BAA standard. Il est donc important de vérifier directement auprès de la documentation de Google avant de l’utiliser pour la communication liée aux PHI.

• Signez le BAA de Google : il s’agit d’un document juridiquement contraignant qui décrit les responsabilités de Google en tant qu’associé Business. Le BAA garantit que Google accepte de traiter les ePHI d’une manière conforme aux exigences de la norme HIPAA.

• Activez les fonctions de sécurité : activez les fonctions de sécurité telles que la validation en deux étapes, la prévention de la perte de données (DLP) et les contrôles d’accès pour aider à protéger les ePHI.

• Configurez les contrôles administratifs : utilisez la console d’administration Google pour configurer le partage restreint, contrôler le transfert de courriels externes et limiter les applications tierces.

• Formez votre personnel : même avec des mesures de protection techniques, la formation des utilisateurs demeure essentielle. Assurez-vous que les employés comprennent comment maintenir la conformité à la norme HIPAA lorsqu’ils utilisent Gmail, Google Drive, Google Docs et d’autres outils Google Workspace.

• Surveillez et auditez : examinez régulièrement les journaux d’audit et les rapports d’activité pour détecter tout accès non autorisé ou toute activité inhabituelle. Une surveillance adéquate vous permet de cerner rapidement les violations potentielles.

Conseil : si vous êtes particulièrement préoccupé par la façon de rendre Gmail conforme à la norme HIPAA ou par la façon de rendre Google Workspace conforme à la norme HIPAA, concentrez-vous sur les paramètres de sécurité dans la console d’administration, appliquez le chiffrement (comme l’utilisation de S/MIME) et assurez-vous que les utilisateurs connaissent les pratiques exemplaires.

Google Workspace est-il conforme à la norme HIPAA? Bref, Google Workspace peut être conforme à la norme HIPAA si vous :

• Choisissez un forfait admissible (éditions Business ou Enterprise, principalement).

• Signez le BAA de Google.

• Activez et maintenez les paramètres de sécurité et les contrôles de confidentialité requis.

• Utilisez les services uniquement de manière approuvée par la norme HIPAA.

Le simple fait de posséder un compte Google Workspace ne suffit pas—vous devez configurer et surveiller attentivement l'environnement, former le personnel et suivre les meilleures pratiques pour la gestion des informations médicales protégées (PHI). En respectant ces exigences, de nombreuses organisations utilisent avec succès Google Workspace comme solution conforme à la norme HIPAA.