PHIPA et HIPAA : principales différences en matière de conformité dans le secteur de la santé

Que signifie PHIPA ?

PHIPA est l'acronyme de Personal Health Information Protection Act, 2004 (Loi de 2004 sur la protection des renseignements personnels sur la santé), la loi qui encadre les informations de santé des patients en Ontario, au Canada. Entrée en vigueur en 2004, elle est supervisée par le commissaire à l'information et à la protection de la vie privée de l'Ontario, un organisme de réglementation indépendant qui enquête sur les plaintes et les violations de données.

La PHIPA fixe les règles de collecte, d'utilisation, de conservation et de partage de ce qu'elle appelle les renseignements personnels sur la santé (PHI) : toute information qui identifie un patient et concerne sa santé, comme les dossiers médicaux, les résultats d'examens et les ordonnances.

Que signifie HIPAA ?

La HIPAA est l'acronyme de Health Insurance Portability and Accountability Act, la loi fédérale des États-Unis qui protège les informations de santé des patients. Adoptée en 1996, elle désigne ce même type de données par le terme protected health information (informations de santé protégées), qui s'abrège aussi en PHI.

La HIPAA repose sur quelques règles fondamentales : une règle de confidentialité (Privacy Rule) qui limite l'utilisation et le partage des données de santé, une règle de sécurité (Security Rule) qui impose des mesures de protection pour les dossiers électroniques, et une règle de notification des violations (Breach Notification Rule) qui définit la marche à suivre en cas d'exposition des données. Pour une vue d'ensemble, consultez notre article expliquant ce qu'est la HIPAA et notre présentation détaillée des trois règles de la HIPAA.

La HIPAA s'applique-t-elle au Canada ?

Non, la HIPAA ne s'applique pas au Canada. Il s'agit d'une loi fédérale américaine qui n'a aucune force juridique de l'autre côté de la frontière. La confusion est très fréquente : une clinique canadienne demande un service de fax « conforme à la HIPAA » alors qu'elle a en réalité besoin d'un service conforme à la législation canadienne sur la protection de la vie privée. Pour la santé en Ontario, cette loi est la PHIPA.

Quel est l'équivalent canadien de la HIPAA ?

Il n'existe pas d'équivalent canadien unique de la HIPAA. Au Canada, la protection de la vie privée en matière de santé relève de chaque province : l'Ontario a la PHIPA, tandis qu'une loi nationale distincte, la LPRPDE (PIPEDA), couvre plus largement les données personnelles du secteur privé. Pour un prestataire de santé en Ontario, c'est la PHIPA qui s'applique aux dossiers des patients.

C'est aussi la réponse courte à une question connexe, PHIPA ou PIPEDA : la PHIPA est la loi spécifique sur la protection des renseignements de santé en Ontario, tandis que la LPRPDE est la loi fédérale générale sur la protection de la vie privée. Les PHI au sens de la PHIPA sont également plus restreintes et plus précises que les renseignements personnels au sens de la LPRPDE, car elles concernent directement la santé et les soins d'une personne. Lorsque des renseignements de santé sont en jeu en Ontario, c'est la PHIPA qui prime.

Quelles sont les principales différences entre la PHIPA et la HIPAA ?

Les principales différences entre la PHIPA et la HIPAA tiennent à la juridiction et aux noms que chaque loi donne à des rôles identiques. Les deux lois visent à protéger la confidentialité des données des patients et exigent une sécurité solide, le consentement et la déclaration des violations, mais les détails divergent d'une manière qui compte pour un prestataire.

‍

Les deux structures se répondent presque rôle pour rôle. La PHIPA désigne l'organisme de santé comme un dépositaire de renseignements sur la santé ; la HIPAA parle d'entité couverte. La PHIPA appelle mandataire un prestataire qui traite des données pour le compte du professionnel de santé ; la HIPAA parle de associé commercial. Dans les deux systèmes, le professionnel de santé porte l'obligation légale principale, et le prestataire ne traite les données que dans le cadre d'un accord écrit.

En quoi la PHIPA et la HIPAA diffèrent-elles pour la notification des violations ?

Le délai constitue la différence pratique la plus importante. Avec la HIPAA, une entité couverte dispose généralement de 60 jours au maximum pour notifier, et les violations touchant 500 dossiers ou plus sont signalées à l'autorité fédérale. La PHIPA est plus rapide et plus large : un dépositaire doit informer le patient concerné et le commissaire à l'information et à la protection de la vie privée de l'Ontario immédiatement dès qu'un critère de signalement d'une violation s'applique, sans seuil minimal de dossiers. La PHIPA ajoute aussi une étape que la HIPAA ne prévoit pas : les dépositaires remettent chaque année au CIPVP un rapport comptabilisant les violations à signaler de l'année civile précédente, au plus tard le 1er mars.

Pour un prestataire de fax, cela conditionne le fonctionnement de la gestion des incidents. Un service conçu uniquement autour du délai de 60 jours de la HIPAA serait trop lent pour l'Ontario. Le prestataire doit signaler tout incident concerné et transmettre sans attendre les détails au dépositaire, afin que ce dernier puisse respecter le délai plus court de la PHIPA.

Comment la PHIPA et la HIPAA traitent-elles le consentement des patients ?

La PHIPA et la HIPAA permettent toutes deux la circulation des informations de santé à des fins de traitement, sans formulaire signé distinct à chaque fois. Avec la PHIPA, un professionnel de santé ontarien peut s'appuyer sur le consentement implicite au sein du cercle de soins, c'est-à-dire les praticiens directement impliqués dans le traitement d'un patient, dès lors qu'un ensemble de conditions est réuni. La HIPAA repose sur un principe similaire : les informations peuvent circuler pour le traitement, le paiement et les activités de soins sans autorisation distincte. Les deux lois exigent un consentement explicite dès que l'on sort de ces finalités de base, par exemple pour du marketing.

Pour un prestataire de fax, le point pratique est le même dans les deux lois : la gestion du consentement incombe au professionnel de santé, pas au prestataire. Un service de fax transmet le document ; il ne décide jamais si un consentement existe.

Qu'exigent la PHIPA ou la HIPAA pour l'envoi de dossiers de patients par fax ?

Pour faxer des dossiers de patients conformément à la PHIPA ou à la HIPAA, le service doit faire bien plus qu'envoyer un document. Le fax reste courant dans le secteur de la santé car il crée une trace claire de point à point entre deux parties identifiées, mais un outil de fax ordinaire ne satisfera ni l'une ni l'autre loi. Un service conforme doit proposer le chiffrement des données en transit et au repos, des contrôles d'accès tels que des identifiants uniques et l'authentification à deux facteurs, des journaux d'audit indiquant qui a envoyé ou ouvert chaque document, une suppression sécurisée empêchant toute récupération, et un accord écrit qui formalise les obligations du prestataire.

La même logique s'applique lorsque des formulaires de patients doivent être signés électroniquement. Si un cabinet recueille des formulaires d'admission, des formulaires de consentement, des documents d'orientation ou d'autres documents liés aux patients via une plateforme de signature électronique, ce service doit lui aussi disposer des mesures de protection et de l'accord écrit adéquats. Toutes les signatures figurant sur un formulaire faxé ne sont pas de ce type : de nombreux formulaires d'admission et de consentement qui arrivent encore par fax comportent une signature fac-similé, c'est-à-dire une reproduction tamponnée ou préimprimée d'une signature manuscrite, et non une signature recueillie électroniquement ; cette distinction influe sur la piste d'audit sur laquelle une équipe de conformité peut réellement s'appuyer. Pour les professionnels de santé ontariens, cela implique d'utiliser un service proposant un contrat de prestataire de services (Service Provider Agreement) conforme à la PHIPA ; pour les professionnels de santé américains, d'utiliser un prestataire conforme à la HIPAA avec un BAA signé.

Cet accord écrit fait toute la différence. Sans contrat de prestataire de services PHIPA (Service Provider Agreement) ni BAA HIPAA, un outil de fax ne peut pas être utilisé pour des données de patients, quelle que soit la solidité de sa technologie. C'est l'accord signé qui engage formellement la responsabilité du prestataire.

Existe-t-il une certification ou un registre PHIPA ?

Non, la PHIPA ne prévoit aucun programme central de certification ou d'enregistrement. La conformité n'est pas un label que l'on obtient auprès d'un registre : une organisation doit la démontrer. Le dépositaire et ses fournisseurs conservent leurs politiques, leurs mesures de protection, leurs procédures de consentement et leurs registres de violations, et les présentent si un client ou le commissaire le demande. C'est pourquoi un fournisseur sérieux affirme être conforme à la PHIPA et peut en démontrer les contrôles, au lieu de mettre en avant un sceau PHIPA officiel qui n'existe pas.

Un même service de fax peut-il être conforme à la fois à la PHIPA et à la HIPAA ?

Oui, une même plateforme de documents de santé peut prendre en charge les flux de travail PHIPA et HIPAA , et c'est le cas de Fax.Plus et de Sign.Plus . Fax.Plus permet d'envoyer des fax en ligne de manière conforme pour les dossiers de patients, tandis que Sign.Plus permet de recueillir des signatures électroniques sécurisées sur les formulaires de santé, les documents de consentement, les lettres d'orientation et les documents administratifs.

Les deux services sont conformes à la PHIPA pour les prestataires de santé de l'Ontario et à la HIPAA pour les organisations de santé américaines. Tous deux fournissent l'accord écrit exigé par chaque loi : un Service Provider Agreement PHIPA pour les prestataires ontariens et un Business Associate Agreement signé pour les organisations américaines. Les dépositaires ontariens peuvent aussi choisir une région de traitement canadienne pour leur instance, appliquée grâce à l'épinglage technique de région (region-pinning) et au Service Provider Agreement PHIPA.

Sur le plan technique, les deux services protègent les documents grâce au chiffrement en transit et au repos, à des accès utilisateur uniques, à des autorisations basées sur les rôles, à l'authentification à deux facteurs et à des journaux d'audit pour l'activité sur les documents. Ils reposent sur des programmes ISO 27001 et SOC 2 Type II audités de manière indépendante, avec une résidence des données en Suisse et plus de 20 lieux de résidence disponibles. Ces certifications attestent, par des contrôles indépendants, de la manière dont les services protègent les données, ce que la PHIPA comme la HIPAA attendent précisément derrière le texte juridique.

Pour en savoir plus, consultez notre article pour savoir si Fax.Plus est sûr, découvrez la solution de fax pour la santé, voyez comment fonctionne le fax conforme à la HIPAA ou consultez l'API de fax conforme à la HIPAA si vous intégrez le fax à un système existant.