# HIPAA pour la messagerie — ce que les expéditeurs du secteur de la santé doivent savoir

> La loi HIPAA (Health Insurance Portability and Accountability Act) régit les informations de santé protégées (ISP), c'est-à-dire toute information reliant une personne à ses soins médicaux. En matière de messagerie, la loi HIPAA s'applique dès qu'un SMS ou un message WhatsApp contient des ISP (nom d'une clinique, spécialité d'un rendez-vous, résultat d'examen, ordonnance). Les règles applicables sont la règle de confidentialité, la règle de sécurité et la règle de notification des violations de données.

- URL canonique: https://www.broadnet.me/fr/answers/hipaa-for-messaging
- Langue: fr
- Dernière révision: 2026-09-27
- Éditeur: BroadNet (https://www.broadnet.me)

## Lorsque la messagerie déclenche la loi HIPAA

Trois exemples. Un rappel de rendez-vous mentionnant le service spécialisé (« votre rendez-vous en cardiologie ») — information de santé protégée (ISP). Une notification de résultats d’analyse (« vos résultats d’analyse sont disponibles ») — ISP. Un rappel de retrait d’ordonnance (« votre renouvellement de Lipitor est à la pharmacie X ») — ISP. Un rappel de rendez-vous générique (« rendez-vous demain à 15 h ») sans mention de spécialité peut être considéré comme non-ISP, mais la plupart des équipes de conformité le traitent comme tel par mesure de sécurité.

## Accord de partenariat commercial (BAA)

Tout fournisseur traitant des PHI pour le compte d'une entité couverte est un Business Associate. L'accord Business Associate Agreement (BAA) est obligatoire — sans lui, l'entité couverte est en infraction dès l'envoi d'un seul message contenant des PHI via le fournisseur. Si vous prévoyez d'envoyer des PHI, interrogez-nous d'abord sur vos exigences HIPAA ; la disponibilité du BAA est confirmée lors de la contractualisation.

## Exigences de chiffrement

La règle de sécurité impose le chiffrement des données de santé protégées (DSP) en transit et au repos. Les SMS échangés entre un centre de services SMS (SMSC) et le terminal ne sont pas chiffrés de bout en bout (le chemin OTA est contrôlé par l'opérateur et confidentiel, mais n'est pas chiffré au sens du RGPD/HIPAA). Selon les recommandations du HHS, les SMS sont acceptables pour les DSP soumises à la loi HIPAA, à condition que le patient ait été informé de leur nature non chiffrée et ait donné son consentement. Pour une confidentialité accrue, il est recommandé d'utiliser WhatsApp (chiffré de bout en bout) ou les notifications push vers un portail patient conforme à la loi HIPAA.

## Notification de violation

En cas de violation de données de santé protégées (PHI), vous devez en informer le patient dans un délai de 60 jours, le HHS dans le même délai (ou immédiatement pour les violations concernant plus de 500 patients), et éventuellement les médias locaux. La plateforme CPaaS doit informer l'entité concernée suffisamment rapidement pour que celle-ci puisse respecter le délai de 60 jours. Notre SLA de réponse aux incidents pour les comptes HIPAA prévoit une notification initiale sous 4 heures et une analyse complète de la cause racine sous 14 jours.

## Voir aussi

- [Toutes les réponses](https://www.broadnet.me/fr/answers)
- [Glossaire](https://www.broadnet.me/fr/answers)
- [RGPD pour la messagerie : ce que les expéditeurs d’entreprise doivent savoir](https://www.broadnet.me/fr/answers/gdpr-for-messaging)
- [Healthcare solutions](https://www.broadnet.me/fr/solutions/healthcare)