Entité Couverte (Covered Entity)

Le HIPAA ne place pas sous ses règles toute organisation qui traite des données de santé. Il définit trois catégories, et l'appartenance à l'une d'elles déclenche l'ensemble des obligations de confidentialité et de sécurité. La définition est fonctionnelle : une organisation relève d'une catégorie selon ce qu'elle fait des informations de santé, et non selon sa forme juridique ou sa taille.

Les prestataires ne sont concernés que s'ils transmettent des informations de santé par voie électronique dans le cadre de transactions standard, comme les demandes de remboursement ou les vérifications d'éligibilité. Un cabinet qui facture uniquement sur papier ne remplit pas la définition.

De nombreuses grandes organisations exercent à la fois des fonctions couvertes et non couvertes, comme une université disposant d'un centre hospitalier ou un distributeur doté de pharmacies. Le HIPAA leur permet de se désigner comme entité hybride. Seuls les composants qui exercent des fonctions couvertes, identifiés par écrit comme volet soins de santé, sont alors traités comme entité couverte.

Cette désignation n'est pas une porte de sortie. Un composant qui facture des demandes par voie électronique reste dans le périmètre, car les obligations suivent les données. Les fonctions exercées uniquement en qualité d'employeur, comme la paie, restent toujours hors du périmètre.

Les exclusions comptent autant que la définition. Les données qui quittent l'univers du HIPAA peuvent relever d'un autre régime juridique, voire d'aucun. Les cas les plus fréquents sont :

• Employeurs en tant qu'employeurs: Les dossiers du personnel et la paie ne sont pas des PHI
• Assureurs accidents du travail: Régis par le droit des États, rarement des régimes de santé
• Assureurs vie, auto et invalidité: Ils couvrent un risque financier, non des soins
• La plupart des infirmeries scolaires et universitaires: Leurs dossiers relèvent en général de la FERPA, non du HIPAA
• Prestataires exclusivement papier: Aucun lien électronique avec les transactions standard, rare aujourd'hui

L'entité couverte et le business associate sont les deux rôles centraux du modèle de données du HIPAA. La différence tient au sens du service. L'entité couverte agit en son nom propre dans la relation de soins : elle soigne des patients, paie des demandes ou traite des transactions standard. Le business associate est une personne ou une organisation extérieure au personnel de l'entité couverte qui crée, reçoit, conserve ou transmet des PHI pour lui fournir un service, comme la facturation, la transcription, l'hébergement ou la comptabilité.

Depuis la loi HITECH, les business associates répondent directement devant les régulateurs de nombreuses exigences. L'entité couverte garde toutefois ses propres devoirs : des garanties écrites avant tout transfert de PHI vers un prestataire, et une notification en cas de violation chez celui-ci. Une même organisation peut cumuler les deux rôles. Un hôpital qui traite les demandes d'une clinique voisine en est le business associate, tout en restant entité couverte pour ses propres patients.

La Privacy Rule encadre ce qu'une entité couverte peut faire des PHI et accorde aux personnes des droits sur leurs propres informations. Devoirs principaux :

• Usages et divulgations autorisés : les PHI peuvent servir aux soins, au paiement et aux opérations de santé sans autorisation du patient. La plupart des autres finalités, comme le marketing, la vente d'informations ou une large part de la recherche, exigent une autorisation écrite.
• Minimisation nécessaire : chaque usage ou divulgation se limite au minimum de PHI requis pour la finalité, avec quelques exceptions étroites, comme les transferts entre prestataires pour les soins.
• Avis sur les pratiques de confidentialité : un avis écrit décrit comment l'entité utilise et divulgue les PHI. Il est remis aux patients et disponible sur demande.
• Droits des personnes : accès à leurs dossiers, rectification, historique des divulgations, demandes de restriction et communications confidentielles.
• Administration : un responsable de la confidentialité désigné, la formation et les sanctions du personnel, le traitement des plaintes et des protections proportionnées au risque.

La Security Rule s'applique aux informations de santé protégées électroniques (ePHI). Elle exige un programme documenté et fondé sur le risque, et non une liste de contrôle figée. L'entité couverte doit réaliser une analyse de risque périodique et mettre en place des protections administratives, physiques et techniques. Parmi les mesures techniques figurent le contrôle d'accès selon le besoin d'en connaître, l'identification unique des utilisateurs, les journaux d'audit, la protection de l'intégrité et le chiffrement des ePHI en transit et au repos.

La Breach Notification Rule ajoute une obligation assortie de délais. Voici son fonctionnement :

1. 1

   Présumer une violation

   Un usage ou une divulgation non autorisés de PHI non sécurisées sont présumés devoir être notifiés.

2. 2

   Évaluer les quatre facteurs

   La présomption demeure, sauf si une évaluation documentée montre une faible probabilité de compromission.

3. 3

   Notifier dans les délais

   Informer les personnes et le régulateur sans délai injustifié, et au plus tard 60 jours après la découverte.

Commencez par vérifier laquelle des trois catégories vous concerne, car toutes les obligations suivantes en dépendent. Listez ensuite les prestataires qui reçoivent des PHI et les exigences de confidentialité que chacun doit respecter. Pour une vue concrète de la protection des données des patients, consultez la protection des données de santé des patients.