L'envoi d'informations sur les patients par fax est courant dans le secteur de la santé, et la loi HIPAA l'autorise. Ce qu'elle exige, ce sont des mesures de protection adaptées pour chaque fax. Ce guide explique ces mesures en termes simples, la façon de les respecter avec un service de fax en ligne, et ce qui change dans votre compte lorsque le mode HIPAA est activé.
- La loi HIPAA autorise l'envoi de PHI par fax moyennant des mesures de protection raisonnables et un BAA signé avec votre prestataire.
- Sur Fax.Plus, l'envoi de fax conforme à la loi HIPAA est inclus dans Enterprise, avec des Advanced Security Controls appliqués à l'ensemble du compte.
- Le mode HIPAA active des notifications par email sans pièce jointe. Les pièces jointes facultatives nécessitent le consentement d'un administrateur, une activation individuelle et TLS 1.2 ou supérieur sur le serveur de messagerie destinataire. Zapier est désactivé ; l'API, le streaming et les webhooks continuent de fonctionner.
Le fax est-il autorisé par la loi HIPAA ?
Oui. Le Département de la Santé et des Services sociaux des États-Unis (HHS) confirme qu'un professionnel de santé peut envoyer par fax des informations de santé protégées à un autre professionnel de santé dans le cadre d'un traitement. Les informations de santé protégées (PHI) désignent toute information de santé permettant d'identifier un patient, d'un diagnostic à une date de naissance.
Ce que la loi HIPAA exige, c'est de la vigilance, pas une technologie précise. Le HHS cite l'article 45 CFR 164.530(c), qui porte sur l'obligation de mesures de protection dans la règle de confidentialité (Privacy Rule), et donne des exemples simples : vérifier le numéro de fax avant l'envoi, et placer l'appareil de fax dans un endroit inaccessible aux personnes non autorisées.
Qu'exige la loi HIPAA lorsque vous envoyez un fax ?
La loi HIPAA décrit les mesures de protection en trois catégories. Voici ce que chacune implique pour l'envoi de fax.
Mesures administratives. Les règles et les personnes. Déterminez qui est autorisé à envoyer et à recevoir des PHI par fax, formez ces personnes et vérifiez les numéros des destinataires avant l'envoi. N'envoyez que les informations dont le destinataire a besoin.
Mesures physiques. L'endroit où arrivent les documents. Un fax papier laissé dans un bac partagé est le risque classique. Avec le fax en ligne, l'équivalent consiste à s'assurer que les fax arrivent dans une boîte de réception protégée, et non sur un appareil ou dans une boîte aux lettres partagée.
Mesures techniques. La façon dont les données sont protégées dans les systèmes. Cela comprend le chiffrement, l'accès utilisateur individuel et les journaux d'audit indiquant qui a envoyé, reçu ou consulté un fax.
De nombreuses organisations utilisent aussi une page de garde accompagnée d'un avis de confidentialité. La loi HIPAA ne l'exige pas expressément, mais c'est une pratique courante. Fax.Plus propose gratuitement un modèle de page de garde de fax conforme à la loi HIPAA.
Qu'est-ce qui change avec un service de fax en ligne ?
Lorsqu'un prestataire stocke ou transmet des PHI pour votre compte, il devient votre sous-traitant (business associate). La loi HIPAA exige alors un Business Associate Agreement (BAA) : un contrat dans lequel le prestataire s'engage à protéger les PHI qu'il traite pour vous. Sans BAA, l'envoi de PHI via le service n'est pas conforme, quel que soit son niveau de sécurité.
Il faut aussi que les mesures techniques soient intégrées au service. Avec le plan Fax.Plus Enterprise, cela comprend :
- Le chiffrement AES-256 pour les fax stockés et le chiffrement TLS pendant la transmission
- Accès basé sur les rôles : chaque membre ne voit que ce que son rôle lui permet de consulter
- Authentification à deux facteurs, que les administrateurs peuvent imposer à toute l'équipe
- Pistes d'audit de l'activité du compte et des fax
- Le choix du lieu de stockage de vos données de fax, notamment aux États-Unis et au Canada
Il n'existe aucune certification HIPAA officielle, que ce soit pour le fax ou pour tout autre service. Lorsqu'un fournisseur se dit « conforme à HIPAA », ce qui compte, c'est qu'il signe un BAA et mette en œuvre les mesures de protection requises.
Comment configurer l'envoi de fax conforme à HIPAA sur Fax.Plus ?
L'envoi de fax conforme à HIPAA sur Fax.Plus est disponible avec le plan Enterprise. La configuration se fait en trois étapes :
- Disposer du plan Enterprise. Les plans Free, Basic, Premium et Business ne sont pas éligibles à HIPAA et ne doivent pas être utilisés pour des PHI.
- Activer les Advanced Security Controls. Le propriétaire du compte ou un administrateur les active dans Paramètres, Sécurité. Ils s'appliquent à toute l'équipe en une seule fois.
- Demander et signer le BAA. Une fois le BAA signé et les contrôles de sécurité activés, votre équipe peut envoyer et recevoir des PHI.
Le mode HIPAA se définit au niveau du compte, et non par utilisateur ou par service. Tous les membres du compte Enterprise travaillent dans le même environnement protégé, ce qui élimine le risque qu'une personne de l'équipe envoie des PHI par fax depuis une partie non protégée du compte.
Qu'est-ce qui change lorsque le mode HIPAA est activé ?
Les équipes souhaitent généralement connaître la réponse avant de basculer. Voici donc le tableau complet.
| Fonctionnalité | Compte standard | Avec le mode HIPAA activé |
|---|---|---|
| Notifications par email | Peuvent inclure le fax en pièce jointe | Par défaut, notification uniquement ; pièces jointes facultatives après consentement d'un administrateur et activation individuelle, avec TLS 1.2 ou supérieur sur le serveur de messagerie destinataire. |
| Notifications Slack | Peuvent inclure le fax en pièce jointe | Notification uniquement, sans pièce jointe. |
| Fax reçus par email | Envoi des pièces jointes si l'option est activée ; formats PDF ou TIFF disponibles | Par défaut, notification uniquement, ou pièces jointes après l'activation requise et la configuration de TLS. Le client est responsable de la protection des PHI remises dans son environnement de messagerie. |
| Email-to-Fax | Envoi depuis l'adresse email vérifiée de votre compte vers number@fax.plus | Envoi vers number@tls.fax.plus, avec TLS imposé ; seuls les utilisateurs provisionnés dans le compte peuvent envoyer |
| Zapier | Disponible avec Enterprise | Désactivé |
| API REST et webhooks | Disponible avec Enterprise | Continuent de fonctionner, y compris Fax.Plus AI |
| Applications web et mobiles | Disponibles | Continuent de fonctionner |
| Gestion des utilisateurs et attribution des numéros | Disponibles | Continuent de fonctionner |
Deux points méritent d'être connus. Si une personne disposant d'un compte HIPAA envoie par erreur un email à l'adresse standard @fax.plus, Fax.Plus redirige automatiquement le message vers le circuit protégé par TLS. Et comme Zapier est désactivé, l'API est le moyen de connecter le fax à vos autres systèmes dans un workflow HIPAA. Consultez l'API de fax HIPAA pour en savoir plus.
Automatiser les workflows de fax conformes à HIPAA
Le mode HIPAA désactive Zapier, mais il n'empêche pas l'automatisation. Les pièces jointes des emails constituent un workflow facultatif, activé séparément. Sur un compte HIPAA, l'API Fax.Plus continue de fonctionner, et trois fonctionnalités sont particulièrement utiles pour la réception des documents dans le secteur de la santé :
- Streaming de fax. Chaque page d'un fax entrant est envoyée à votre système dès sa réception, ce qui permet de trier une demande d'orientation dès la première page. Le streaming est activé sur demande et fonctionne sur les comptes HIPAA.
- Webhooks de niveau production. Les événements sont signés pour que votre serveur puisse les vérifier. Ils peuvent être filtrés par type d'événement et par numéro de fax, et s'accompagnent d'un journal de livraison, de la relecture des événements manqués et d'alertes lorsqu'un endpoint échoue de façon répétée.
- Aucune PHI dans la charge utile. Les événements webhook contiennent des informations sur le fax, comme son statut et son nombre de pages, mais pas le document. Votre système télécharge lui-même le fax via l'API.
Le serveur MCP de Fax.Plus, qui permet aux assistants IA d'utiliser le fax, n'est pas disponible sur les comptes avec Advanced Security Controls. Les workflows HIPAA passent donc par l'API.
Quels plans Fax.Plus peut-on utiliser pour des PHI ?
Uniquement Enterprise. Ce plan réunit tout ce dont le fax conforme à HIPAA a besoin : le BAA, Advanced Security Controls, la journalisation d'audit, l'accès basé sur les rôles et des options de résidence des données. Les plans inférieurs n'incluent pas ces éléments et ne sont donc pas éligibles pour les PHI.
Pour la liste complète des contrôles, consultez Fax conforme à HIPAA. Pour une présentation de la loi elle-même, consultez Qu'est-ce que la HIPAA ?.
Liste de contrôle pour le fax conforme à HIPAA
Avant que votre équipe n'envoie des PHI par fax, vérifiez chacun des points suivants :
- Un BAA est signé avec votre fournisseur de fax.
- Le mode HIPAA (Advanced Security Controls sur Fax.Plus) est activé sur le compte.
- Seul le personnel formé a accès au compte, avec des rôles adaptés à ses fonctions.
- L'authentification à deux facteurs est obligatoire.
- Les numéros des destinataires sont vérifiés avant l'envoi et, si possible, enregistrés comme contacts.
- Les fax ne contiennent que les informations dont le destinataire a besoin.
- Le personnel sait où arrivent les fax reçus et sait que les PHI ne doivent pas être transférées vers une messagerie personnelle ou des outils non approuvés.
FAQ
Comment envoyer un fax conforme à HIPAA ?
Utilisez un service de fax qui signe un BAA et protège les fax par chiffrement et contrôles d'accès. Sur Fax.Plus, cela suppose un compte Enterprise avec Advanced Security Controls activé et un BAA signé. Vérifiez ensuite le numéro du destinataire, n'envoyez que les informations dont il a besoin et utilisez une page de garde comportant un avis de confidentialité.
Un numéro de fax est-il protégé par HIPAA ?
Un numéro de fax seul n'est pas une information de santé. Mais les numéros de fax figurent dans la liste des identifiants de HIPAA : un numéro de fax associé aux informations de santé d'un patient fait donc partie des PHI de ce patient et doit bénéficier de la même protection.
La loi HIPAA exige-t-elle une page de garde pour les fax ?
Aucune règle précise n'en impose une. De nombreuses organisations utilisent une page de garde avec un avis de confidentialité dans le cadre de leurs mesures de protection. Vous pouvez partir du modèle gratuit de page de garde de fax HIPAA et consulter ce qu'il faut inclure dans une page de garde HIPAA.
Fax.Plus est-il certifié HIPAA ?
Il n'existe pas de programme officiel de certification HIPAA. Avec le plan Enterprise, Fax.Plus met en œuvre les mesures de protection techniques de HIPAA et signe des BAA avec les entités couvertes et les sous-traitants.
Puis-je activer le mode HIPAA pour un seul service ?
Non. Sur Fax.Plus, le mode HIPAA s'applique à l'ensemble du compte Enterprise. Un seul BAA couvre le compte, et tous les membres travaillent dans le même environnement protégé.
Puis-je toujours envoyer des fax depuis ma messagerie avec le mode HIPAA activé ?
Oui. Les comptes HIPAA utilisent l'Email-to-Fax via une adresse dédiée, number@tls.fax.plus, avec chiffrement TLS obligatoire. Seuls les utilisateurs provisionnés dans votre compte peuvent envoyer des fax de cette manière.
Puis-je utiliser Fax.Plus pour des PHI avec le plan Basic, Premium ou Business ?
Non. Le fax conforme à HIPAA nécessite le plan Enterprise avec Advanced Security Controls et un BAA signé.
Articles à la une
Tout afficher
Confédération Suisse
Confederazione Svizzera
Confederaziun Svizra
Confédération suisse
Innosuisse - Agence suisse pour l'encouragement de l'innovation
