États-Unis : la HIPAA pour les entités visées

Ce que vous devez faire

1. Remettez votre avis de pratiques de confidentialité aux patients.

   Les patients ont le droit de savoir comment vous utilisez et communiquez leurs renseignements.

   Remettez-le à la première visite, faites un effort de bonne foi pour obtenir un accusé de réception écrit, et consignez la raison si vous n’avez pas pu. Affichez-le dans votre bureau et sur votre site Web. HHS, Notice of Privacy Practices (en anglais)

2. Signez un business associate agreement avec chaque fournisseur qui traite des PHI.

   C’est l’entente qui rend le fournisseur responsable en vertu de la HIPAA.

   Signez-la avant que des renseignements de santé protégés circulent. HHS, Business Associates (en anglais)

3. Faites une analyse de risques, et tenez-la à jour.

   On ne peut pas protéger ce qu’on n’a pas cartographié.

   Trouvez où se trouvent les PHI et ce qui pourrait mal tourner. La Security Rule ne fixe aucun calendrier; révisez-la chaque fois que vos systèmes changent, et beaucoup de pratiques le font chaque année. HHS, guide sur l’analyse de risques (en anglais)

4. Désignez un responsable de la vie privée et un responsable de la sécurité, et formez votre personnel.

   Beaucoup d’incidents commencent par une personne, et une bonne prévention aussi.

   Une seule personne peut occuper les deux rôles dans une petite pratique. Formez chaque membre du personnel et conservez une trace de la formation. HHS, Security Rule (en anglais)

5. Donnez aux patients l’accès à leur dossier dans les 30 jours.

   L’accès est un droit, et la règle fixe le délai.

   Vous pouvez prolonger une fois, d’au plus 30 jours, si vous indiquez par écrit au patient pourquoi et quand vous terminerez. 45 CFR 164.524

6. Suivez la Breach Notification Rule.

   L’avis permet aux patients de se protéger.

   Avisez les personnes touchées sans retard injustifié et dans les 60 jours suivant la découverte. Déclarez au HHS : dans les 60 jours pour 500 personnes ou plus, ou dans les 60 jours suivant la fin de l’année pour les atteintes plus petites. Avisez les médias lorsque plus de 500 résidents d’un État ou d’un territoire sont touchés. HHS, Breach Notification Rule (en anglais)

7. Conservez la documentation HIPAA pendant six ans.

   Les politiques, la formation et les évaluations sont vos preuves.

   Conservez-les six ans à compter de leur création ou de leur dernière date d’application, selon la plus tardive. 45 CFR 164.316

8. Suivez les règles de conservation des dossiers médicaux de votre État.

   La HIPAA ne fixe pas la durée de conservation du dossier médical lui-même.

   La loi de votre État et votre ordre professionnel fixent cette durée. Vérifiez les deux.

Pourquoi c’est important

Votre analyse de risques, vos business associate agreements et vos registres de formation sont les documents qu’un enquêteur demande à voir. Une petite pratique peut mettre les trois en ordre en quelques semaines, puis les tenir à jour.

Erreurs courantes

• Faire appel à un fournisseur qui refuse de signer un business associate agreement.
• Traiter l’analyse de risques comme un projet ponctuel.
• Remettre l’avis de pratiques de confidentialité sans consigner l’accusé de réception.
• Qualifier un produit de « certifié HIPAA », alors qu’une telle certification n’existe pas.

Comment PulseAI vous aide

• Nous signons un Business Associate Agreement (BAA) avec chaque clinique américaine avant que des données soient partagées.
• Les cliniques américaines fonctionnent dans un environnement distinct, stockées et traitées aux États-Unis seulement.
• Des mesures de protection conformes à la Security Rule de la HIPAA, et nous n’utilisons que le minimum d’information nécessaire.
• Si une atteinte devait se produire, nous vous le dirions sans délai, comme la loi l’exige.

Voyez comment nous protégeons vos données dans le Centre de confiance.

Questions fréquentes