Qu'est-ce que HIPAA ?

Ce que cela couvre

Le Health Insurance Portability and Accountability Act de 1996 est mis en œuvre par les règles HIPAA des parties 160 et 164 du 45 CFR. La règle de confidentialité limite l’utilisation et la divulgation des informations de santé protégées (PHI). La règle de sécurité fixe des mesures de protection pour les PHI électroniques. La règle de notification des violations exige un avis après une violation de PHI non sécurisées.

Les règles s’appliquent aux entités couvertes, que le 45 CFR 160.103 définit comme les régimes de santé, les centres d’échange d’informations de santé et les prestataires de soins qui transmettent des informations de santé par voie électronique pour certaines transactions. Elles s’appliquent aussi directement aux partenaires commerciaux. Un partenaire commercial est une personne qui, pour le compte d’une entité couverte, crée, reçoit, conserve ou transmet des PHI pour une fonction réglementée, ou qui fournit à l’entité certains services impliquant des PHI.

Les PHI sont des informations de santé individuellement identifiables relatives à la santé d’une personne, aux soins qu’elle reçoit ou à leur paiement. Un appel de prise de rendez-vous dans une clinique peut en produire : un nom et un numéro de téléphone liés à un rendez-vous chez un prestataire sont déjà des informations de santé. L’audio, la transcription et les journaux de cet appel peuvent contenir des PHI.

Ce qui est exigé

Une entité couverte ne peut laisser un partenaire commercial traiter des PHI qu’après avoir obtenu l’assurance satisfaisante qu’il protégera l’information. Selon le 45 CFR 164.502(e), cette assurance doit être documentée dans un contrat écrit, couramment appelé accord de partenariat commercial (BAA), qui doit respecter les exigences de contenu du 45 CFR 164.504(e). Un partenaire commercial qui recourt à un sous-traitant pour des PHI doit obtenir de lui la même assurance. Le HHS précise que les partenaires commerciaux sont directement responsables de certaines dispositions des règles.

HIPAA n’a pas de certificat. Le HHS indique, dans son guide sur l’informatique en nuage, que l’Office for Civil Rights ne cautionne, ne certifie ni ne recommande de technologies ou de produits particuliers. « Conforme à HIPAA » décrit le comportement d’une organisation et la façon dont elle a engagé ses prestataires, pas un statut que le HHS accorde. « Éligible HIPAA » est une formule de fournisseur et non un terme défini par les règles.

Ce que cela implique pour un agent vocal

Si un agent répond ou passe des appels pour un cabinet, un hôpital ou un régime de santé, chaque prestataire de la chaîne d’appel qui touche des PHI est candidat à un BAA. Cela peut inclure la reconnaissance vocale, la synthèse vocale, le fournisseur du LLM, l’opérateur télécom s’il enregistre et la plateforme qui exécute l’agent. Demandez à chacun, par écrit, s’il en signe un.

Les choix de conception comptent autant que les papiers. Décidez ce que l’agent peut dire avant la vérification de l’appelant, envoyez le moins d’identifiants possible aux outils et aux prompts, et fixez la durée de conservation de l’audio, des transcriptions et des journaux. Voir conservation des données et conservation zéro des données. Les rappels sortants soulèvent les règles de consentement distinctes du TCPA et, là où des enregistrements sont faits, le consentement à l’enregistrement des appels.

Une attestation de sécurité comme SOC 2 est un élément de preuve sur les contrôles d’un prestataire. Elle ne remplace pas un BAA. Pour un scénario concret en santé, voir le guide sur l’IA conversationnelle en santé.

Questions à poser à un juriste

1. Sommes-nous une entité couverte, un partenaire commercial, ou ni l’un ni l’autre pour ce déploiement ?
2. Quels prestataires de la chaîne d’appel ont besoin d’un BAA, et chacun en signe-t-il un qui couvre les services que nous utilisons vraiment ?
3. L’audio ou la transcription d’un appel ordinaire de prise de rendez-vous constitue-t-il des PHI dans notre cas ?
4. Quelle durée de conservation s’applique aux enregistrements et aux transcriptions, compte tenu de la loi de l’État et de nos politiques ?
5. Si un prestataire dit ne rien conserver, avons-nous quand même besoin d’un BAA avec lui ?

Termes liés

• Conservation des données
• Conservation zéro des données
• SOC 2
• RGPD

Guides

• IA conversationnelle en santé : appels patients

Cas d'usage

• Santé
• Permanence conforme HIPAA
• Permanence médicale

Sources

• HHS Office for Civil Rights, Business Associates guidance
• 45 CFR 160.103, Definitions (eCFR)
• 45 CFR 164.502(e), Disclosures to business associates (eCFR)
• HHS Office for Civil Rights, Guidance on HIPAA and cloud computing