Cela fait près de 30 ans que la loi sur la portabilité et la responsabilité en matière d’assurance maladie (Health Insurance Portability and Accountability Act) est entrée en vigueur. Entre autres dispositions, elle protège les patients en interdisant la divulgation de leurs informations médicales confidentielles sans leur consentement. Au fil des ans, cette loi a été mise à jour et amendée pour s’adapter à l’évolution des technologies ainsi qu’à la législation et aux politiques en matière de santé.
L’année dernière, le ministère américain de la Santé et des Services sociaux (HHS) a proposé des modifications importantes à la règle de sécurité HIPAA afin de renforcer la cybersécurité des dossiers médicaux électroniques (DME). Ces dernières modifications ont été élaborées en réponse à l’augmentation du volume de dossiers électroniques conservés et transférés, à la multiplication et à l’aggravation des failles de sécurité, ainsi qu’à d’autres enjeux liés aux pratiques de cybersécurité et à l’application de la réglementation qui ont évolué ou sont apparus depuis la dernière mise à jour de la règle en 2013.
L’un des éléments clés de cette proposition impose aux entités concernées de mettre en place des procédures écrites visant à rétablir les systèmes d’information électroniques et les données critiques dans les 72 heures suivant une perte. Cette exigence a pour objectif de permettre aux établissements de santé de rétablir rapidement leurs systèmes et données essentiels après un incident de sécurité, afin de minimiser les perturbations dans la prise en charge des patients et de préserver la confidentialité, l’intégrité et la disponibilité des dossiers médicaux électroniques (DME).
Découvrez comment Commvault permet de restaurer rapidement les dossiers médicaux électroniques (DME), notamment dans les environnements Epic et Meditech.
Application de la loi HIPAA
L’application de la loi HIPAA relève de la compétence du Bureau des droits civils (OCR) au sein du ministère américain de la Santé et des Services sociaux (HHS). L’OCR est chargé de veiller à ce que les prestataires de soins de santé, les organismes d’assurance maladie, les centres d’échange de données et leurs partenaires commerciaux respectent les règles de la loi HIPAA en matière de confidentialité, de sécurité et de notification des violations.
Ces dernières années, l’OCR a donné la priorité aux sanctions financières en cas d’infractions, en particulier celles liées à la règle de sécurité de la loi HIPAA. En 2024, l’OCR a indiqué que les mesures coercitives au titre de la loi HIPAA avaient atteint des niveaux quasi records, avec 9,9 millions de dollars perçus, dont un règlement à l’amiable de 4,75 millions de dollars pour de multiples violations de la règle de sécurité. Cependant, alors que le nombre de mesures coercitives a augmenté, le montant moyen des amendes a diminué en raison d’une réinterprétation des barèmes de sanctions prévue par la loi HITECH.
Principaux mécanismes de mise en œuvre des nouvelles obligations
Avec l’entrée en vigueur imminente des nouvelles dispositions de la règle de sécurité HIPAA, l’OCR veillera au respect de la réglementation par le biais d’une combinaison de mesures de sensibilisation, d’audits, d’enquêtes et de sanctions. Vous trouverez ci-dessous une présentation détaillée du fonctionnement de ces mécanismes de mise en application :
1. Sensibilisation et accompagnement (mesures préventives)
L’OCR propose des conseils, des formations et des bonnes pratiques afin d’aider les entités concernées et les partenaires commerciaux à se conformer à la réglementation HIPAA. Il s’agit notamment de
- des FAQ mises à jour, des programmes de formation et des ressources en ligne.
- Une collaboration avec les organisations professionnelles afin de préciser les modalités de mise en œuvre des nouvelles exigences en matière de sécurité.
- Des conseils techniques sur l’analyse et la gestion des risques (un domaine où les manquements sont fréquents).
Cette étape permet aux organisations de mettre à jour leurs programmes de sécurité, leurs politiques de gestion des risques et la formation de leur personnel avant que les mesures ne soient appliquées de manière stricte.
2. Enquêtes de conformité et signalement des infractions
L’OCR mène des enquêtes de conformité en réponse à :
- Des plaintes : toute personne peut signaler des violations de la loi HIPAA, ce qui donne lieu à des enquêtes menées par l’OCR.
- Déclaration des violations de données : toute violation concernant au moins 500 dossiers doit être signalée à l’OCR, qui mène ensuite une enquête afin de déterminer si un manquement aux obligations réglementaires a contribué à cette violation.
Compte tenu de la recrudescence des incidents de piratage informatique, l’OCR a mis l’accent sur la préparation en matière de cybersécurité, en exigeant des organismes de santé qu’ils renforcent leur Risk Analysis et la surveillance de leurs systèmes.
3. Audits HIPAA et Risk Analysis : points clés
L’OCR a fait de Risk Analysis une priorité absolue en matière d’application de la réglementation, en raison d’un non-respect généralisé des règles.
- Lors des audits HIPAA de 2016-2017, la plupart des organismes n’ont pas procédé à une Risk Analysis complète ni ne l’ont mise à jour régulièrement.
- En 2024, 14 des 22 mesures coercitives prises par l’OCR concernaient des violations de la règle de sécurité HIPAA, les lacunes en matière de Risk Analysis constituant le problème le plus fréquent.
- L’OCR a l’intention de relancer les audits de conformité (même si des contraintes budgétaires pourraient retarder cette initiative).
Il faut s’attendre à un contrôle plus rigoureux de la manière dont les organisations évaluent et atténuent les risques pesant sur les données de santé électroniques (ePHI).
4. Sanctions financières et plans d’actions correctives (PAC)
L’OCR peut infliger des sanctions en cas de non-respect de la réglementation, avec des amendes allant de quelques milliers à plusieurs millions de dollars, en fonction :
- Négligence ou négligence volontaire
- L’absence de mise en conformité après notification des infractions
- du nombre de personnes concernées
Les amendes prévues par la loi HIPAA ayant considérablement diminué (passant d’une moyenne de 2,6 millions de dollars en 2018 à environ 450 000 dollars en 2024), l’OCR a cherché à mettre en place d’autres stratégies de contrôle, telles que les CAP, qui imposent aux organisations d’améliorer leurs mesures de sécurité dans un délai déterminé, ainsi qu’un contrôle plus strict au niveau des États.
Ce que cela implique pour votre organisation
L’OCR accordant la priorité à la mise en œuvre de Risk Analysis, ces mesures peuvent vous aider à vous conformer aux mises à jour proposées :
- Mettre régulièrement à jour les évaluations des risques et veiller à ce qu’elles couvrent l’ensemble des systèmes contenant des données de santé électroniques protégées (ePHI).
- Mettre en place des mesures de cybersécurité plus strictes (par exemple, le chiffrement, l’authentification multifactorielle et la surveillance continue).
- Former les employés au respect de la loi HIPAA et aux protocoles d’intervention en cas de violation de données.
- Assurer la notification rapide des violations de données, avec un contenu précis.
- Conserver les documents attestant des mesures prises pour garantir la conformité.
Mesures coercitives et actions en justice au niveau régional
Les procureurs généraux des États peuvent faire respecter la loi HIPAA de manière indépendante et infliger des sanctions en cas d’infraction. La sanction la plus importante infligée en Californie en 2024 (6,75 millions de dollars) visait un fournisseur de stockage dans le cloud pour avoir manqué à ses obligations en matière de sécurité des données des patients. À mesure que les États adoptent de nouvelles lois sur la cybersécurité (par exemple, les obligations en matière de cybersécurité imposées aux hôpitaux de l’État de New York), il faut s’attendre à ce que l’application de la loi HIPAA s’étende au-delà du contrôle exercé par l’OCR.
Conclusion : les défis à venir
Malgré l’augmentation tant du nombre de signalements de violations que des plaintes au titre de la loi HIPAA, l’OCR semble peu susceptible d’obtenir les moyens supplémentaires dont elle affirme avoir besoin pour renforcer ses mesures de contrôle. On ignore encore quel sera l’impact sur l’agence des coupes budgétaires en cours menées par le ministère de l’Efficacité gouvernementale – et comment la nouvelle administration agira une fois que la période de consultation publique sur les modifications proposées aura pris fin, le 7 mars.
Que les nouvelles exigences de sécurité de la loi HIPAA entrent ou non en vigueur cette année, les organisations auraient tout intérêt à renforcer de manière proactive leurs mesures de cybersécurité, leur Risk Analysis, leurs stratégies de reprise après sinistre et leurs formations à la conformité. En gérant ces enjeux, les établissements de santé peuvent contribuer à éviter d’éventuelles sanctions, à réduire les risques de violation de données et à protéger efficacement les données des patients.
Découvrez comment Commvault peut aider votre entreprise à respecter ses obligations de conformité.
