Conseils pour garantir la conformité à la HIPAA

La Loi sur la portabilité et la responsabilité en matière d’assurance maladie (HIPAA) a été promulguée en 1996 dans le but de protéger les informations sensibles des patients, désignées dans le document comme des informations personnellement identifiables (PII). Cette législation essentielle s’applique à toutes les organisations de santé et à tous les partenaires commerciaux qui traitent des données sensibles en raison de leur relation avec l’industrie de la santé.

À mesure que la technologie utilisée pour transmettre et gérer les PII a évolué, la HIPAA a également changé. La mise à jour majeure la plus récente a eu lieu en 2013. Appelée la Règle Omnibus Finale, la mise à jour a inclus des changements clés tant dans la Règle de Sécurité que dans la Règle de Notification de Violation, modifiant le libellé de sorte que les deux impliquent désormais l’inclusion des partenaires commerciaux dans les plans de conformité.

En conséquence de la Règle Omnibus Finale, les fournisseurs de soins de santé sont désormais responsables de garantir que les PII sont protégées tout au long de la chaîne d’information, ce qui signifie qu’ils doivent soigneusement évaluer tout le monde, des développeurs d’applications mobiles aux fournisseurs de services d’hébergement cloud. Lisez la suite pour découvrir quelques conseils utiles sur la façon d’assurer la conformité à la HIPAA dans sa forme la plus récente.

1. Créer des relations efficaces avec les partenaires commerciaux

Parce que tous les fournisseurs, prestataires de services et autres partenaires commerciaux d’un fournisseur de soins de santé doivent se conformer aux réglementations HIPAA, il est important de développer des relations efficaces avec des entreprises réputées. Commencez par trouver des moyens efficaces de transmettre des informations en toute sécurité en ligne, comme la mise en œuvre d’une solution de fax électronique. Ensuite, passez à la vérification de la conformité des fournisseurs de stockage de données et des développeurs d’applications.

Ne vous contentez pas de la parole d’une entreprise selon laquelle elle suit les règles et réglementations de la HIPAA. Obtenez une documentation qui démontre la conformité de chaque partenaire commercial et oblige l’entreprise à suivre des procédures de formation et d’audit clés. La Règle de Confidentialité exige que les fournisseurs de soins de santé obtiennent des assurances satisfaisantes de la part de leurs partenaires commerciaux par écrit sous la forme d’un contrat ou d’un autre accord formel entre les deux entités.

2. Développer et maintenir une politique de sécurité complète

Chaque organisation de santé devrait avoir une politique de sécurité des données complète en place décrivant comment les PII sont accessibles, stockées et transmises. La politique devrait également indiquer comment les audits internes doivent être réalisés et quel type de formation les employés et les fournisseurs tiers recevront en matière de conformité à la HIPAA.

Étant donné que les exigences de la HIPAA sont complexes, de nombreux fournisseurs de soins de santé ont du mal à déterminer ce qu’il faut inclure dans leurs politiques de sécurité des données. En règle générale, incluez toute information relative aux PII. La politique de sécurité des données doit être mise à jour au besoin et examinée régulièrement. Au fur et à mesure des mises à jour, les changements doivent être clairement communiqués aux employés et aux partenaires commerciaux afin qu’il soit facile de les mettre en pratique.

3. Avoir un responsable de la sécurité des données dédié

Étant donné la complexité des règles et réglementations de la HIPAA, il est déraisonnable de s’attendre à ce que des membres du personnel qui n’ont pas reçu de formation spécifique en sécurité des données développent, mettent en œuvre et garantissent la conformité à la politique de sécurité des données de l’entreprise. Les grandes organisations de santé maintiennent souvent des équipes d’experts en sécurité des données dédiés. Bien que cela ne soit pas possible pour les petites entreprises, il est important d’avoir un Responsable de la Sécurité HIPAA désigné car cela est exigé par la Règle de Sécurité.

Le Responsable de la Sécurité HIPAA ou l’équipe devrait être chargé de :

Établir et faire respecter des mesures de protection pour garantir la conformité à la Règle de Sécurité.
Traiter toute question concernant les contrôles d’accès, la récupération après sinistre, la continuité des activités ou la réponse aux incidents.
Réaliser des évaluations des risques internes et faciliter les audits de tiers des fournisseurs et des partenaires commerciaux.
Enquêter sur les violations de données et mettre en œuvre des mesures pour atténuer les risques futurs.

Intégrer à la fois la conformité à la HIPAA et la sécurité informatique dans les stratégies commerciales plus larges de l’entreprise.

4. Effectuer des évaluations régulières des risques

Les Responsables de la Sécurité HIPAA sont responsables de la réalisation d’évaluations régulières des risques et de la mise en œuvre de mesures correctives, mais les employés de l’organisation et les partenaires commerciaux doivent travailler avec le Responsable de la Sécurité en fournissant des informations précises. Effectuer et documenter des évaluations de risques de routine aide les organisations à se préparer et à répondre plus efficacement aux demandes d’audits aléatoires de la HIPAA.

Lorsqu’une organisation est sélectionnée pour un audit aléatoire, l’équipe de sécurité doit se préparer à l’avance en effectuant un audit interne complet. Le Bureau des Droits Civils (OCR) propose toutes les listes de contrôle et les outils d’évaluation des risques nécessaires pour ce faire. De nombreuses organisations effectuent des audits internes de routine sur une base trimestrielle pour faciliter l’identification des problèmes potentiels.

Le meilleur point de départ est un examen des documents liés à la conformité et des sessions de formation des employés, mais ne vous contentez pas d’évaluer à quoi ressemblent les politiques HIPAA de l’entreprise sur le papier. Le Responsable de la Sécurité devrait également effectuer des visites dans différentes zones de l’établissement de santé pour rechercher des informations visibles sur les patients sur les écrans d’ordinateur ou les bureaux.

5. Établir des protocoles de formation explicites

Le personnel d’un fournisseur de soins de santé et ses partenaires commerciaux devraient être tenus de passer en revue les politiques de confidentialité et de protection des données de l’organisation lors des sessions de formation liées à la HIPAA. Établir des protocoles explicites est toujours important.

Les Règles de Confidentialité et de Sécurité offrent des suggestions concernant la fréquence à laquelle ces sessions de formation HIPAA devraient être requises sans donner de délai définitif. Les nouveaux employés doivent recevoir une formation dans un “délai raisonnable”, et des cours de remise à niveau supplémentaires doivent être mis en œuvre lorsque l’établissement apporte des changements fonctionnels ou matériels à ses politiques et procédures liées à la HIPAA.

Les protocoles de formation devraient varier en fonction du rôle des employés. Les séminaires de formation en informatique incluent généralement plus d’informations sur la manière de mettre en œuvre des mesures de protection efficaces lors du stockage ou de la transmission de données numériques, par exemple, tandis que les sessions destinées au personnel médical pourraient se concentrer davantage sur les actions personnelles qui doivent être prises pour garantir la conformité. N’oubliez pas que protéger les PII contre les menaces en personne est tout aussi essentiel que d’assurer une sécurité adéquate des données lorsque les informations protégées des patients sont transmises sous forme numérique.

Commencez à apporter des changements

Les organisations de santé ne devraient pas attendre d’être confrontées à un audit de la HIPAA ou, pire encore, à des amendes pour non-conformité, pour commencer à mettre en œuvre des changements positifs. Commencez par embaucher un Responsable de la Sécurité HIPAA dédié avec toute la formation requise pour élaborer des politiques spécifiques, choisir des partenaires commerciaux réputés et mettre en œuvre des mesures de protection contre les violations de données et les menaces internes. À partir de là, garantir la conformité à la HIPAA est en grande partie une question de mise à jour de tout, des politiques de l’entreprise aux protocoles de sécurité des données, et de documenter tout ce qui concerne le stockage ou la transmission de PII pour protéger l’organisation en cas d’audit.