Qu'est-ce que HIPAA ? Explication en langage clair

HIPAA, le Health Insurance Portability and Accountability Act, est une loi fédérale américaine de 1996 qui établit les normes nationales de protection des informations de santé des patients et oblige les organisations de santé et leurs prestataires à les protéger. On pense souvent que HIPAA ne concerne que les hôpitaux et les médecins. En réalité, la loi s'applique aussi aux sociétés de facturation, aux prestataires informatiques, aux fournisseurs de cloud et au service de fax qui transmet une lettre d'orientation.

Le président Bill Clinton a signé HIPAA le 21 août 1996 sous le nom de Public Law 104-191. Le Congrès et le HHS l'ont modernisée à quatre reprises : la Privacy Rule (2003), la Security Rule (2005), la Breach Notification Rule (2009) et l'Omnibus Rule (2013). Une cinquième mise à jour, la plus importante refonte de la Security Rule en 20 ans, figure au programme réglementaire de l'OCR pour mai 2026.

Ce guide explique ce que signifie HIPAA, présente les quatre règles, définit ce qui constitue des PHI, indique qui doit s'y conformer et quelles sont les sanctions en cas de manquement. Il détaille aussi l'application de HIPAA au fax, à l'email, aux SMS et à Slack, et propose une liste de contrôle en huit étapes pour démarrer. Après cette lecture, vous saurez si HIPAA s'applique à votre organisation et quelles démarches entreprendre.

Définition de HIPAA et bref historique (de 1996 à aujourd'hui)

HIPAA a été conçue à l'origine pour aider les salariés à conserver leur assurance santé lorsqu'ils changeaient d'emploi. Les règles de confidentialité et de sécurité que l'on associe aujourd'hui à cette loi ont été ajoutées par la suite.

Que signifie HIPAA

HIPAA est l'acronyme de Health Insurance Portability and Accountability Act de 1996. Le président Bill Clinton l'a signée le 21 août 1996 sous le nom de Public Law 104-191. Cette loi poursuivait quatre objectifs initiaux : rendre l'assurance santé transférable d'un emploi à l'autre, réduire la fraude et les abus dans le domaine de la santé, standardiser les transactions de santé électroniques et protéger les informations de santé.

Le volet consacré à la protection des informations de santé était la plus petite partie de la loi d'origine. Le Congrès a chargé le Department of Health and Human Services (HHS) de publier ultérieurement les règlements de confidentialité et de sécurité proprement dits. Ce sont ces règlements que la plupart des gens désignent aujourd'hui par « HIPAA ».

L'évolution de HIPAA : les quatre grandes mises à jour

• La Privacy Rule (2003) a fixé les premières normes nationales sur les personnes autorisées à utiliser et à divulguer des PHI, et a donné aux patients des droits sur leurs dossiers.
• La Security Rule (2005) a ajouté des mesures de protection administratives, physiques et techniques pour les PHI électroniques.
• Le HITECH Act et la Breach Notification Rule (2009) ont fait passer la sanction maximale de 25 000 $ par an à 1,5 million de dollars par an, ont instauré la notification obligatoire des violations de données et ont favorisé l'adoption des dossiers médicaux électroniques grâce à 25 milliards de dollars d'incitations. Le HITECH a également donné aux procureurs généraux des États le pouvoir de faire appliquer HIPAA.
• L'Omnibus Rule (2013) a rendu les associés commerciaux directement responsables des violations de HIPAA et a inversé la charge de la preuve en matière de notification des violations de données.

Où en est HIPAA en 2025-2026

Le HHS a proposé une mise à jour majeure de la Security Rule en janvier 2025. Elle rendrait obligatoires l'authentification multifacteur et le chiffrement, et supprimerait la distinction entre spécifications « obligatoires » et « adressables ». Les estimations du secteur évaluent le coût à 34 milliards de dollars. L'Office for Civil Rights a maintenu la finalisation à son programme réglementaire pour mai 2026. Considérez dès maintenant l'authentification multifacteur et le chiffrement comme obligatoires, afin d'éviter de vous précipiter plus tard.

Les quatre règles de HIPAA expliquées

On parle de « HIPAA » comme s'il s'agissait d'un seul texte. En réalité, il s'agit de quatre règles imbriquées, et la plupart des violations se produisent aux points de jonction entre elles.

Règle de confidentialité (Privacy Rule, 2003)

La Privacy Rule définit les PHI et précise qui peut y accéder, et dans quelles conditions. Les patients disposent de droits : accéder à leur dossier, demander des corrections, obtenir un relevé des divulgations et demander des restrictions sur l'utilisation de leurs informations. Les prestataires de soins doivent répondre aux demandes d'accès dans un délai de 30 jours, avec une seule prolongation de 30 jours possible.

Cette règle autorise l'utilisation des PHI sans autorisation du patient pour les traitements, les paiements et les opérations de soins de santé (l'exception « TPO »). Tout le reste est soumis à la norme du minimum nécessaire : ne divulguer que ce qui est requis pour atteindre l'objectif visé. Le traitement est la seule exception qui permet la circulation de dossiers complets entre prestataires de soins.

Un exemple classique de manquement à la Privacy Rule : un cabinet médical envoie par fax le statut VIH d'un patient à ce que le personnel croit être le médecin traitant du patient, mais qui se révèle être son employeur. Mauvais numéro, aucun contrôle du minimum nécessaire, aucune vérification.

Règle de sécurité (Security Rule, 2005)

La Security Rule s'applique uniquement aux PHI électroniques (ePHI). Elle définit trois catégories de mesures de protection :

• Administratives : analyse des risques, formation du personnel, politique de sanctions, gestion des accès
• Physiques : contrôle d'accès aux locaux, sécurité des postes de travail, mise au rebut des appareils
• Techniques : contrôle d'accès, journaux d'audit, contrôles d'intégrité, chiffrement des transmissions

La distinction actuelle entre spécifications « obligatoires » et « adressables » devrait disparaître avec la mise à jour proposée en 2025. Les défaillances en matière d'analyse des risques dominent les mesures d'application : elles figuraient dans 13 des 22 résolutions closes par l'OCR en 2024.

Breach Notification Rule (2009, via le HITECH)

En cas de violation de PHI non sécurisées, les entités couvertes doivent en informer trois destinataires :

• Les personnes concernées, dans un délai de 60 jours
• Le HHS (immédiatement pour les violations touchant 500 personnes ou plus, dans les 60 jours suivant la fin de l'année pour les violations de moindre ampleur)
• Les principaux médias, si 500 résidents ou plus d'un même État sont concernés

Le chiffrement crée une règle de protection (« safe harbor »). Des données correctement chiffrées qui sont perdues ou volées n'entraînent pas d'obligation de notification. L'accord de 1,5 million de dollars conclu par Warby Parker en 2025 sanctionnait des manquements combinés à la Security Rule et à la Breach Notification Rule, après une attaque par bourrage d'identifiants ayant exposé des données d'ordonnances de lunettes de clients.

Il existe trois exceptions en matière de violation : l'accès involontaire par un employé autorisé, la divulgation par inadvertance entre deux personnes autorisées, et la divulgation à une partie qui n'aurait raisonnablement pas pu conserver l'information.

Règle Omnibus (Omnibus Rule, 2013)

L'Omnibus Rule a rendu les associés commerciaux et leurs sous-traitants directement responsables au regard de HIPAA. Avant 2013, seules les entités couvertes étaient exposées à des amendes.

L'Omnibus Rule a également inversé la charge de la preuve en cas de violation. Une utilisation ou une divulgation non autorisée par la Privacy Rule est désormais présumée constituer une violation, sauf si l'entité couverte peut démontrer qu'il y a une faible probabilité que les PHI aient été compromises, à l'aide d'une évaluation des risques selon quatre critères.

Qu'est-ce que les PHI ? Les 18 identifiants qui déclenchent l'application de HIPAA

Les PHI correspondent à l'un des 18 identifiants spécifiques associé à un lien avec la santé d'une personne, ses soins de santé ou le paiement de ces soins. Si vous retirez correctement les 18 identifiants, les données sont désidentifiées, ce qui signifie qu'elles cessent d'être des PHI.

Les 18 identifiants HIPAA

1. Noms
2. Données géographiques plus précises que l'État
3. Toutes les dates, à l'exception de l'année, liées à une personne
4. Numéros de téléphone
5. Numéros de fax
6. Adresses email
7. Numéros de sécurité sociale
8. Numéros de dossier médical
9. Numéros de bénéficiaire d'un régime d'assurance santé
10. Numéros de compte
11. Numéros de certificat ou de licence
12. Identifiants de véhicule, y compris les plaques d'immatriculation
13. Identifiants d'appareils et numéros de série
14. URL de sites web
15. Adresses IP
16. Identifiants biométriques, y compris les empreintes digitales et les empreintes vocales
17. Photos du visage entier et images comparables
18. Tout autre numéro, caractéristique ou code d'identification unique

Quand les mêmes données ne sont PAS des PHI

Des identifiants sans contexte de santé ne sont pas des PHI. Le nom d'un client figurant sur la liste de diffusion d'un commerçant n'est qu'un nom. Un contexte de santé sans identifiants n'est pas non plus constitutif de PHI. Les statistiques hospitalières agrégées et correctement désidentifiées échappent à HIPAA. Les deux éléments doivent être réunis en même temps pour que la loi s'applique. Le nom d'un patient associé à un diagnostic constitue des PHI. Un diagnostic sans aucun identifiant n'en constitue pas.

Qui doit se conformer à HIPAA (et qui n'y est pas tenu)

Les données de votre Fitbit ne sont pas protégées par HIPAA. Le programme de bien-être de votre employeur ne l'est probablement pas non plus. HIPAA couvre une liste précise d'organisations, et cette liste est plus restreinte que ce que la plupart des gens imaginent.

Entités couvertes (CE)

Une entité couverte par HIPAA relève de l'une des trois catégories suivantes :

1. Régimes d'assurance santé : assureurs, HMO, Medicare, Medicaid et régimes de santé collectifs d'employeurs. La plupart des régimes de santé collectifs d'employeurs sont couverts, quelle que soit leur taille. L'exception étroite concerne les régimes de santé collectifs autogérés comptant moins de 50 participants : ces régimes échappent à HIPAA. Si un assureur ou un administrateur tiers gère le régime, il est couvert.
2. Centres d'échange de données de santé (clearinghouses) : entités qui convertissent des données non standard en transactions électroniques standard.
3. Prestataires de soins qui transmettent par voie électronique des informations de santé dans le cadre d'une transaction couverte (demandes de remboursement, vérifications d'éligibilité, orientations vers un confrère).

Ce critère de transaction électronique explique pourquoi presque tous les prestataires actuels sont couverts. Dès que vous facturez une assurance par voie électronique ou envoyez une orientation électronique, vous êtes concerné.

Associés commerciaux (BA)

Un associé commercial est toute personne ou organisation qui exerce, pour le compte d'une entité couverte, une fonction impliquant des PHI. Exemples courants : sociétés de facturation, prestataires informatiques, fournisseurs de stockage cloud, services de destruction de documents, cabinets d'avocats ayant accès à des PHI, services de transcription et fournisseurs de fax conformes à HIPAA.

Depuis la règle Omnibus de 2013, les associés commerciaux sont directement responsables devant l'OCR. Signez un Business Associate Agreement (BAA) avant tout échange de PHI. Gulf Coast Pain Consultants a versé 1,19 million de dollars après qu'un sous-traitant a conservé son accès au système après la fin de son contrat et déposé de fausses demandes de remboursement auprès de Medicare, ce qui montre les conséquences d'un défaut de contrôle des accès des associés commerciaux.

Qui n'est PAS couvert par HIPAA

• Les employeurs qui traitent les informations de santé de leurs salariés en dehors d'un régime de santé collectif (ce sont alors l'ADA et la FMLA qui s'appliquent)
• Les applications de fitness grand public qui ne vendent pas leurs services aux prestataires de soins, notamment Fitbit, Apple Health et MyFitnessPal (c'est alors la Health Breach Notification Rule de la FTC qui s'applique)
• Les écoles et universités (les dossiers des élèves et étudiants relèvent de la loi FERPA)
• Les assureurs vie, les assureurs d'accidents du travail et la plupart des assureurs invalidité
• Les forces de l'ordre
• Les sociétés d'analyse marketing sans accès aux PHI

HIPAA et canaux de communication : fax, email, SMS, Slack, visioconférence

Un cabinet dentaire du Texas a payé 10 000 $ parce qu'un employé avait répondu à un avis Yelp à une étoile en détaillant des informations sur un patient. HIPAA suit le message, pas le support. Chaque canal que votre personnel utilise pour transmettre des PHI doit faire l'objet de sa propre réponse.

La matrice de conformité

‍

Le fax : toujours l'outil de référence en santé

Selon l'exception de simple transport (conduit exception), l'opérateur téléphonique n'est pas un associé commercial lorsqu'il transmet un fax, car il n'inspecte ni ne stocke jamais le contenu. Le fax traditionnel reste ainsi parmi les canaux autorisés par HIPAA.

Le fax analogique pose deux problèmes pratiques. Il n'offre aucune piste d'audit, et un seul chiffre erroné peut exposer des PHI (l'incident de la divulgation d'une séropositivité au VIH à un employeur). Un service de fax cloud conforme à HIPAA comme Fax.Plus signe un BAA avec son plan Enterprise, chiffre le trafic en transit et au repos, consigne chaque envoi et chaque réception, et permet au personnel d'envoyer depuis un email ou un navigateur web. Le personnel peut envoyer des fax directement depuis sa messagerie sans quitter l'environnement de travail qu'il utilise déjà.

Email et messagerie

Les emails gratuits grand public sont la violation de HIPAA la plus courante, et la plus discrète. Gmail, Outlook.com, Yahoo et iCloud ne signent pas de BAA pour leurs offres gratuites. Les versions payantes de Google Workspace et de Microsoft 365 peuvent être conformes à HIPAA, mais seulement après la signature du BAA et un verrouillage de la configuration (désactiver l'accès des applications tierces, activer la journalisation des audits, imposer l'authentification multifacteur).

Les SMS standard ne sont pas conformes. Les opérateurs ne signent pas de BAA, et les messages sont stockés sans chiffrement sur les appareils et dans les systèmes des opérateurs. Utilisez plutôt une application de messagerie sécurisée conforme à HIPAA.

Visioconférence et collaboration

FaceTime et les comptes Zoom personnels sont à proscrire. Zoom for Healthcare, Doxy.me et Microsoft Teams (avec BAA) sont acceptables. Slack n'accepte de signer un BAA que pour Enterprise Grid. Les espaces de travail Slack standard, même bien configurés, ne sont pas conformes à HIPAA.

Violations de HIPAA et sanctions : ce que coûte la non-conformité

En 2024, l'Office for Civil Rights du HHS a clos 22 actions de mise en conformité, pour un total de 9,9 millions de dollars. La même cause profonde, « l'absence d'analyse de risques adéquate », apparaît dans 13 d'entre elles.

Niveaux de sanctions civiles (2026)

• Niveau 1 (méconnaissance) : de 145 $ à 73 011 $ par violation, jusqu'à 2 190 294 $ par an
• Niveau 2 (cause raisonnable) : de 1 461 $ à 73 011 $ par violation
• Niveau 3 (négligence délibérée, corrigée sous 30 jours) : de 14 618 $ à 73 011 $ par violation
• Niveau 4 (négligence délibérée, non corrigée) : de 73 011 $ à 2 190 294 $ par violation

Sanctions pénales

L'OCR transmet les affaires pénales au ministère de la Justice (Department of Justice), qui engage les poursuites. Obtention ou divulgation intentionnelle de PHI : jusqu'à 50 000 $ d'amende et 1 an de prison. Sous de faux prétextes : jusqu'à 100 000 $ et 5 ans. Avec l'intention de vendre, de transférer ou d'utiliser ces informations à des fins commerciales ou pour causer un préjudice malveillant : jusqu'à 250 000 $ et 10 ans.

Cas réels de sanctions en 2024-2025

• Warby Parker, 1,5 M$ (2025) : attaque par bourrage d'identifiants ; ce détaillant d'optique était une entité couverte
• Montefiore Medical Center, 4,75 M$ : un collaborateur interne a volé plus de 12 000 dossiers ; contrôles d'audit insuffisants
• Enzo Biochem, 4,5 M$ : exposition à un ransomware liée à des identifiants partagés et à un mot de passe vieux de dix ans
• Gulf Coast Pain Consultants, 1,19 M$ : un prestataire dont le contrat avait pris fin a conservé son accès au système et déposé de fausses demandes de remboursement Medicare
• Cabinet dentaire au Texas, 10 000 $ : le propriétaire a répondu à un avis Yelp en donnant des informations sur un patient

L'initiative Right of Access de l'OCR a donné lieu à 54 mesures d'application depuis 2019, avec des amendes de 3 500 $ à 160 000 $ pour les prestataires de soins qui n'ont pas remis les dossiers dans les délais.

Qui fait appliquer la loi HIPAA ?

Le HHS Office for Civil Rights est chargé de l'application au civil. Les procureurs généraux des États peuvent également engager des actions au titre de HIPAA (HITECH leur a accordé ce pouvoir en 2009). Le ministère de la Justice poursuit les affaires pénales. La FTC applique la Health Breach Notification Rule aux applications de santé non soumises à HIPAA, comme les trackers d'activité.

Les lois des États qui vont plus loin que HIPAA

HIPAA constitue le socle fédéral. Quelques États y ont ajouté des exigences plus strictes, et la loi de l'État prévaut lorsqu'elle est plus stricte.

• CMIA (Californie) : définition plus large des informations médicales, application à davantage de types d'entités, droit pour les patients d'intenter directement une action en justice, et accès aux dossiers sous 5 jours contre 30 pour HIPAA.
• HB 300 (Texas) : étend la notion d'« entité couverte » à pratiquement toute personne traitant des PHI au Texas, impose une formation du personnel tous les deux ans et dans les 90 jours suivant l'embauche, et autorise le procureur général à infliger des amendes pouvant atteindre 1,5 million de dollars par an.
• MHMDA (Washington) : la loi américaine la plus étendue en matière de confidentialité des données de santé des consommateurs. Elle couvre les données des trackers d'activité, des applications de suivi du cycle et des applications de bien-être, que HIPAA exclut, et prévoit un droit d'action privé.

Le SHIELD Act de l'État de New York et le Genetic Information Privacy Act de l'Illinois ajoutent des couches de protection dans leurs États respectifs.

Lorsque la loi d'un État est plus stricte que HIPAA, appliquez la loi de l'État. Lorsque HIPAA est plus stricte, c'est HIPAA qui prévaut. Cartographiez les deux pour chaque État où vous traitez des PHI.

Comment démarrer votre mise en conformité HIPAA : une liste de contrôle pratique

On ne « termine » jamais la mise en conformité HIPAA : c'est un programme continu. En huit étapes, vous pouvez toutefois en mettre un en place de façon crédible.

La liste de contrôle de démarrage HIPAA en 8 étapes

1. Déterminez votre statut. Êtes-vous une entité couverte, un associé commercial ou aucun des deux ? La réponse conditionne toutes les autres étapes.
2. Réalisez une analyse des risques de sécurité (Security Risk Analysis, SRA). C'est la lacune la plus souvent relevée par l'OCR (13 sur 22 en 2024). Répertoriez tous les endroits où se trouvent des PHI, tous les systèmes qui les manipulent et toutes les menaces.
3. Désignez un responsable de la confidentialité et un responsable de la sécurité. Dans une petite organisation, il peut s'agir de la même personne. Formalisez ce rôle par écrit.
4. Rédigez les politiques requises. Politiques de confidentialité, politiques de sécurité, plan de réponse aux violations, politique de sanctions et politique sur les appareils. Les modèles génériques sont un point de départ, pas une finalité.
5. Signez un BAA avec chaque prestataire qui traite des PHI. Fournisseur d'email, stockage cloud, service de fax (Fax.Plus Enterprise inclut un BAA), société de facturation, support informatique, service de transcription. Pas de BAA, pas de PHI.
6. Formez votre personnel. Formation initiale à l'embauche, rappels périodiques, formation spécifique par rôle pour le personnel clinique et informatique. Conservez une trace des présences.
7. Mettez en place des mesures de protection techniques. Contrôles d'accès basés sur les rôles, journaux d'audit, chiffrement en transit et au repos, authentification multifacteur (MFA) sur tous les comptes qui accèdent à des PHI.
8. Élaborez un plan de réponse aux violations. Processus d'évaluation des risques en quatre facteurs, délai de notification de 60 jours, liste de contacts de l'OCR et des procureurs généraux des États, et exercice de simulation au moins une fois par an.

‍