Tout ce qui mérite d'être su, rien qui ne le mérite pas.
Lorsque la messagerie déclenche la loi HIPAA
Trois exemples. Un rappel de rendez-vous mentionnant le service spécialisé (« votre rendez-vous en cardiologie ») — information de santé protégée (ISP). Une notification de résultats d’analyse (« vos résultats d’analyse sont disponibles ») — ISP. Un rappel de retrait d’ordonnance (« votre renouvellement de Lipitor est à la pharmacie X ») — ISP. Un rappel de rendez-vous générique (« rendez-vous demain à 15 h ») sans mention de spécialité peut être considéré comme non-ISP, mais la plupart des équipes de conformité le traitent comme tel par mesure de sécurité.
Accord de partenariat commercial (BAA)
Tout fournisseur traitant des PHI pour le compte d'une entité couverte est un Business Associate. L'accord Business Associate Agreement (BAA) est obligatoire — sans lui, l'entité couverte est en infraction dès l'envoi d'un seul message contenant des PHI via le fournisseur. Si vous prévoyez d'envoyer des PHI, interrogez-nous d'abord sur vos exigences HIPAA ; la disponibilité du BAA est confirmée lors de la contractualisation.
Exigences de chiffrement
La règle de sécurité impose le chiffrement des données de santé protégées (DSP) en transit et au repos. Les SMS échangés entre un centre de services SMS (SMSC) et le terminal ne sont pas chiffrés de bout en bout (le chemin OTA est contrôlé par l'opérateur et confidentiel, mais n'est pas chiffré au sens du RGPD/HIPAA). Selon les recommandations du HHS, les SMS sont acceptables pour les DSP soumises à la loi HIPAA, à condition que le patient ait été informé de leur nature non chiffrée et ait donné son consentement. Pour une confidentialité accrue, il est recommandé d'utiliser WhatsApp (chiffré de bout en bout) ou les notifications push vers un portail patient conforme à la loi HIPAA.
Notification de violation
En cas de violation de données de santé protégées (PHI), vous devez en informer le patient dans un délai de 60 jours, le HHS dans le même délai (ou immédiatement pour les violations concernant plus de 500 patients), et éventuellement les médias locaux. La plateforme CPaaS doit informer l'entité concernée suffisamment rapidement pour que celle-ci puisse respecter le délai de 60 jours. Notre SLA de réponse aux incidents pour les comptes HIPAA prévoit une notification initiale sous 4 heures et une analyse complète de la cause racine sous 14 jours.