Chez Physiopedia Plus, nous nous engageons à protéger les informations personnelles de santé et à nous conformer pleinement à la « Health Insurance Portability and Accountability Act » (HIPAA, loi américaine sur la portabilité et la responsabilité en matière d’assurance-maladie). Il s’agit notamment de respecter les règles relatives à la protection de la vie privée, à la sécurité et à la notification des brèches de sécurité.
1. Conformité aux règles de protection de la vie privée
Nous protégeons la confidentialité et assurons l’utilisation correcte des informations de santé protégées (PHI pour « Protected Health Information ») par les moyens suivants :
- garantie que les PHI ne soient accessibles qu’aux personnes autorisées qui en ont légitimement besoin, conformément au principe d’utilisation minimale nécessaire
- limitation de l’utilisation et de la divulgation des PHI aux fins autorisées, avec le consentement approprié de l’utilisateur ou l’autorisation légale si nécessaire
- formation de l’ensemble du personnel et des sous-traitants aux exigences de la loi HIPAA et aux politiques internes en matière de confidentialité
2. Conformité aux règles de sécurité
Nous mettons en œuvre un ensemble complet de mesures de protection administratives, physiques et techniques pour sécuriser les PHI électroniques (ePHI), y compris :
- évaluations régulières des risques et audits de sécurité
- contrôles des accès basés sur les rôles et authentification sécurisée
- cryptage des données au repos et en transit
- environnements d’hébergement sécurisés avec un accès physique contrôlé et une surveillance du système
- exécution et maintien des accords d’association commerciale (BBA pour « Business Associate Agreements ») avec tous les fournisseurs traitant des PHI
3. Conformité à la règle de notification des brèches
Dans le cas improbable d’une violation de données impliquant des PHI non sécurisés, nous suivons les procédures de notification de brèche de l’HIPAA :
- évaluation de la portée et de l’impact de la brèche au moyen d’une analyse formelle des risques
- notification des personnes concernées et du ministère américain de la Santé et des Services sociaux, conformément aux délais prévus par la loi HIPAA
- prise de mesures correctives pour atténuer les risques et prévenir les incidents futurs