Ce que « conforme HIPAA » et « chiffré » veulent dire pour une famille

Les règles HIPAA s'appliquent aux « entités couvertes » : les assureurs santé, les centres d'échange de données de santé, et les soignants qui transmettent des informations de santé par voie électronique pour la facturation et des opérations similaires, ainsi que les sous-traitants (business associates) qui traitent ces informations pour leur compte.¹ Une fille qui tient la liste de médicaments de sa mère n'est pas une entité couverte. Pas plus que le groupe de messages de la famille, un tableur partagé, ou la plupart des applications qu'une famille télécharge de son côté.

C'est pourquoi la Federal Trade Commission (FTC) dit clairement aux consommateurs que, contrairement à votre médecin, une application de santé peut ne pas relever des lois sur la confidentialité médicale comme HIPAA, et que l'avis de confidentialité de l'application est ce sur quoi vous pouvez vous appuyer.⁵ C'est aussi pourquoi existe la règle de la FTC sur la notification des violations de données de santé (Health Breach Notification Rule) : depuis 2024, elle oblige les applications qui traitent des informations de santé sans relever de HIPAA à prévenir les personnes quand ces informations font l'objet d'une fuite ou sont divulguées sans autorisation.²

Aucune agence gouvernementale ne certifie une application comme conforme HIPAA. Quand une entreprise l'affirme, elle décrit ses propres pratiques : elle traite les informations comme les règles l'exigeraient d'une entité couverte, et souvent elle signera un contrat de sous-traitance (business associate agreement) si un soignant l'utilise. Ce sont deux bonnes choses. Ni l'une ni l'autre n'est une inspection. CareCoordinate se dit « aligné sur HIPAA » pour cette raison : les pratiques sont celles que décrivent les règles, et le mot est honnête.

Prenez donc l'étiquette comme le début d'une conversation. La bonne question de suivi est : concrètement, que faites-vous ? La section suivante donne la liste à vérifier.

Les normes de sécurité de la loi HIPAA pour les informations de santé électroniques nomment les protections en termes simples : un contrôle d'accès pour que seules les personnes autorisées voient les informations, des contrôles d'audit qui enregistrent et examinent l'activité, une authentification pour vérifier qu'une personne est bien celle qu'elle prétend être, et une sécurité des transmissions pour protéger les informations qui circulent sur un réseau.³ Le chiffrement apparaît deux fois dans cette liste, pour les informations stockées et pour les informations en transit, chaque fois classé comme mesure « adressable » (addressable), ce qui veut dire qu'une organisation doit le mettre en place ou documenter pourquoi une mesure équivalente est raisonnable.³

Pour une famille, cela se traduit ainsi. Demandez si les informations sont chiffrées là où elles sont stockées, pas seulement sur le chemin du serveur. Demandez si l'application garde une trace de qui a consulté et modifié quoi, pour qu'une question posée des mois plus tard ait une réponse. Demandez comment une personne prouve qui elle est, et si l'accès peut être retiré le jour même où un aidant quitte le cercle. Une entreprise qui fait ces choses le dira en une phrase.

Les informations de ma famille sont-elles chiffrées au repos et en transit ? Qui, dans votre entreprise, peut les lire, et selon quelles règles ? Quelque chose est-il partagé avec d'autres entreprises ou vendu, y compris à des fins publicitaires ? Existe-t-il un journal d'audit des accès et des modifications ? Puis-je retirer immédiatement l'accès d'une personne ? Puis-je tout exporter et supprimer le compte, et au bout de combien de temps les données disparaissent-elles ? Que se passe-t-il, et qui est prévenu, en cas de fuite de données ? L'avis de confidentialité doit répondre à la plupart de ces questions ; le conseil de la FTC est de le lire pour savoir ce qui est collecté, comment c'est utilisé et si c'est partagé, et de vérifier les réglages pour voir ce que vous contrôlez.⁵

La règle qui s'impose aux médecins de votre parent vous aide aussi. Un soignant peut partager les informations utiles à la participation d'un membre de la famille aux soins du patient quand le patient est d'accord, quand on lui a donné l'occasion de s'y opposer et qu'il ne l'a pas fait, ou, quand le patient ne peut pas décider, quand le soignant juge que c'est dans son intérêt.⁴ C'est la disposition qui permet à un médecin de parler à une fille dans la salle d'examen, et celle à citer quand un cabinet affirme que HIPAA l'interdit. Pour les papiers qui en font une routine, voyez notre guide sur les documents que tout proche aidant devrait demander.