L'outil HIPAA pour analyser les risques sur les données de santé

La loi vise deux familles d'acteurs. Les entités couvertes d'abord : organismes d'assurance santé, chambres de compensation et professionnels de santé qui transmettent des informations de santé sous forme électronique pour des transactions normalisées. Les business associates ensuite : tout prestataire qui traite des informations de santé protégées (PHI) pour le compte d'une entité couverte, hébergeur, éditeur, infogéreur ou cabinet de conseil. Depuis le HITECH Act, ces prestataires répondent directement d'une partie des règles, et ils doivent à leur tour contractualiser avec leurs propres sous-traitants.

Oui, par le contrat plus que par le territoire. La loi ne comporte pas de clause d'application extraterritoriale comparable à celle du RGPD, mais une entité couverte américaine ne peut confier des PHI à un prestataire qu'après signature d'un business associate agreement. En signant, un éditeur ou un hébergeur européen devient business associate : usages autorisés, garanties de sécurité, signalement des incidents au client, restitution ou destruction des données en fin de contrat, mêmes exigences répercutées sur ses sous-traitants. Il relève dès lors d'une partie des règles, avec une exposition d'abord contractuelle et commerciale.

Non. Aucune autorité américaine ne délivre ni ne reconnaît de certificat HIPAA : le régulateur, l'Office for Civil Rights du département de la Santé et des Services sociaux, n'accrédite aucun programme de ce type. Un prestataire qui se présente comme « HIPAA certified » vend l'attestation d'un tiers privé, pas un label officiel. Ce qui compte en cas d'enquête ou de plainte, c'est la documentation : analyse de risque, politiques, preuves que les contrôles fonctionnent, registre des incidents. Une certification ISO 27001 ou un rapport SOC 2 rassure un client américain sans remplacer cette démonstration.

Le texte demande une analyse exacte et complète des risques pesant sur la confidentialité, l'intégrité et la disponibilité des informations de santé protégées sous forme électronique. Concrètement, cela suppose de recenser où ces données sont créées, reçues, stockées et transmises, d'identifier les menaces et les vulnérabilités, d'estimer leur vraisemblance et leur impact, d'en déduire un niveau de risque, puis de décider des mesures et de conserver le raisonnement. Aucune méthode n'est imposée : ce qui est attendu, c'est la solidité de l'analyse et sa mise à jour quand le système d'information change.

La Security Rule distingue à ce jour les spécifications « required », à appliquer telles quelles, et les spécifications « addressable », dont le chiffrement fait partie. Addressable ne veut pas dire facultatif : vous évaluez si la mesure est raisonnable et appropriée dans votre contexte, vous l'appliquez si elle l'est, sinon vous documentez pourquoi et mettez en place une mesure équivalente lorsque cela est raisonnable et approprié. Cette trace écrite est la première demandée en cas de contrôle. Un projet de révision de la Security Rule, publié début 2025 et toujours en cours d'examen, propose de supprimer cette catégorie.

Non, les deux textes ne se recouvrent que partiellement. Le RGPD encadre tout traitement de données personnelles et range la santé parmi les catégories particulières ; HIPAA ne vise que les informations de santé protégées détenues par les entités couvertes et leurs business associates. Les régimes de notification diffèrent aussi : soixante-douze heures vers l'autorité de contrôle côté RGPD, information des personnes concernées sans délai déraisonnable et au plus tard soixante jours après la découverte côté HIPAA, le régulateur américain étant averti selon l'ampleur de la violation. Servir le marché américain suppose donc de tenir les deux régimes sur un seul socle de contrôles.

L'automatisation porte sur ce qui se répète : l'inventaire des endroits où les PHI sont créées, stockées et transmises, la collecte des preuves que les garanties administratives, physiques et techniques fonctionnent, le suivi des business associate agreements et de leurs échéances. Un tableur tient la liste, pas le rattachement entre une garantie, le risque qui la justifie et la décision prise sur une mesure addressable, et il ne signale pas une analyse de risque devenue obsolète. Restent des actes de jugement : signer un accord, motiver une mesure addressable, former les équipes. Dans Vailor, l'IA préremplit l'analyse de risque à partir de vos documents, et vos experts gardent la décision.