Principales exigences de sécurité HIPAA pour la vidéo de télésanté
1. Chiffrement de bout en bout (E2EE)
Normes de chiffrement requises
Données en transit :
- Chiffrement TLS 1.2 ou TLS 1.3 minimum
- Confidentialité persistante parfaite (PFS) activée
- Chiffrement AES 256 bits pour les flux vidéo
- Canaux chiffrés pour la signalisation et les médias
- Authentification basée sur des certificats
Données au repos
- Chiffrement AES-256 pour les enregistrements stockés
- Journaux de discussion et transferts de fichiers chiffrés
- Modules cryptographiques conformes à la norme FIPS 140-2
- Stockage de sauvegarde chiffré
- Gestion des clés avec module de sécurité matériel (HSM)
Le chiffrement de bout en bout garantit que les données sont chiffrées sur l’appareil de l’expéditeur et ne peuvent être déchiffrées que par le destinataire prévu, rendant les données interceptées inutilisables pour les parties non autorisées.
2. Contrat d'Associé d'Affaires (BAA)
Exigences BAA
Un BAA est un contrat juridiquement contraignant exigé par la HIPAA chaque fois qu’une entité couverte (professionnel de santé) collabore avec un associé commercial (fournisseur de technologie) qui peut avoir accès à des PHI.
Le BAA doit inclure :
- Utilisations et divulgations autorisées des RPS
- Mesures de sécurité que le fournisseur doit mettre en œuvre
- Procédures de notification de violation
- Exigences relatives au contrat de sous-traitance
- Obligations de restitution/destruction des données
- Coopération pour l’audit de conformité
Responsabilités du fournisseur
- Mettre en œuvre des protections techniques
- Maintenir les politiques administratives
- Signaler les incidents de sécurité dans les 60 jours
- Autoriser l’accès d’audit au HHS
- Former les employés sur les exigences HIPAA
- Maintenir la couverture d’assurance
Sans un BAA signé, utiliser n’importe quelle plateforme de visioconférence pour la télésanté constitue une violation de l’HIPAA, quels que soient les dispositifs de sécurité de la plateforme.
3. Contrôles d’accès et authentification
Contrôles d'accès requis
Authentification de l'utilisateur
- Authentification multifacteur (MFA) requise
- Politiques de mots de passe robustes (12+ caractères)
- Identification unique de l’utilisateur
- Expirations automatiques de session (15 minutes d’inactivité)
- Verrouillages suite à des tentatives de connexion échouées
- Intégration de l’authentification unique (SSO)
Sécurité des réunions :
- Fonctionnalité de salle d’attente
- Mots de passe / codes d'accès de réunion
- Contrôles de l’hôte pour la gestion des participants
- Restrictions de partage d’écran
- Notifications de consentement d'enregistrement
- Effacement des données en fin de réunion
Contrôle d’accès basé sur les rôles (RBAC)
Rôles utilisateur :
- Administrateur - contrôle complet de la plateforme
- Accès à la session prestataire - patient
- Personnel - accès limité à la planification
- Patient - accès à sa propre session uniquement
Principe du minimum nécessaire
- Accès limité aux exigences du poste
- Restrictions d'accès à l'enregistrement
- Autorisations de consultation de la transcription
- Séparation des fonctions administratives
Mises à jour 2025 de conformité HIPAA pour la télésanté
Fin de la tolérance d’application liée au COVID-19
Pendant l’urgence de santé publique liée au COVID-19, le HHS a fait preuve de tolérance en matière d’application, permettant aux prestataires d’utiliser des plateformes vidéo non conformes. Cette période de tolérance est terminée, ce qui signifie :
N’est plus acceptable :
- Applications vidéo grand public (FaceTime, Skype)
- Vidéo pour les réseaux sociaux (Facebook Messenger)
- Plateformes sans disponibilité de BAA
- Exceptions de conformité de bonne foi
- Dépendance aux paramètres de sécurité par défaut
Maintenant requis :
- BAA signé avec chaque fournisseur
- Conformité totale à la règle de sécurité HIPAA
- Évaluations des risques documentées
- Contrôles de sécurité configurés
- Documentation de formation du personnel
Mises à jour des règles de sécurité 2025
Exigences améliorées :
- Chiffrement obligatoire (non plus adressable)
- Formation annuelle de sensibilisation à la cybersécurité
- Évaluations régulières des vulnérabilités
- Mises à jour du plan d'intervention en cas d'incident
- Examens de sécurité des fournisseurs tiers
Exigences en matière de documentation :
- Politiques et procédures mises à jour
- Analyse des risques tous les 12 mois
- Suivi des incidents de sécurité
- Maintenance des stocks BAA
- Conservation de la piste d’audit (6+ ans)
Analyse des risques pour les plateformes de télésanté
Éléments obligatoires de l’évaluation des risques
Conformément à la Règle de Sécurité HIPAA, les entités couvertes doivent identifier, évaluer et traiter les risques potentiels pour les ePHI lors de l’utilisation de technologies de télésanté :
Évaluez ces risques :
- Interception de transmission par des tiers
- Accès non autorisé aux enregistrements stockés
- Exposition d’ePHI lors du partage d’écran
- Enregistrement sans consentement approprié
- Violation de données due aux vulnérabilités d’un fournisseur
- Menaces internes liées à l’accès du personnel
Questions de vérification :
- La plateforme prend-elle en charge les transmissions chiffrées ?
- Où les ePHI sont-elles stockées et pendant combien de temps ?
- Qui a accès aux enregistrements de réunion ?
- Comment l'identité du patient est-elle vérifiée ?
- Que se passe-t-il avec les données après la fin de la session ?
- Comment les incidents de sécurité sont-ils signalés ?
Plateformes de télésanté conformes à la HIPAA
Plateformes proposant des BAA
Plateformes de télésanté dédiées
- Doxy.me - Offre gratuite avec BAA, conçue pour les soins de santé
- VSee - Télésanté d’entreprise avec conformité totale
- Curogram - Plateforme de communication avec les patients avec BAA
- SecureVideo - Visioconférence spécifique au secteur de la santé
- Teladoc - Solution de télémédecine complète
- Amwell - Vidéo de santé pour les entreprises
- SimplePractice - Gestion de cabinet avec télésanté
- TherapyNotes - Télésanté en santé mentale
Plateformes d’entreprise configurables
Ces plateformes peuvent être conformes à la HIPAA lorsqu’elles sont correctement configurées avec un BAA signé :
- Zoom pour la santé - Nécessite un régime de soins de santé
- Microsoft Teams - Avec une configuration appropriée
- Google Meet - Google Workspace avec BAA
- Cisco Webex - Édition entreprise pour les soins de santé
- GoTo Meeting - Avec module complémentaire santé
- Pexip - Infrastructure vidéo pour les soins de santé
Important : Le fait qu’un BAA soit disponible ne rend pas automatiquement une plateforme conforme. Vous devez signer le BAA et configurer correctement les paramètres de sécurité.
Exigences en matière de journalisation et de surveillance des audits
Pistes d’audit complètes
Une plateforme conforme doit fournir des pistes d’audit détaillées qui enregistrent toute l’activité des utilisateurs afin de tracer l’accès aux PHI et de démontrer la conformité lors des audits.
Doit enregistrer :
- Horodatages de connexion/déconnexion des utilisateurs
- Heures de début/fin de réunion
- Événements de connexion/déconnexion des participants
- Accès aux enregistrements et téléchargements
- Événements de partage d’écran
- Tentatives d’authentification échouées
- Modifications des autorisations
- Activités d’exportation de données
Exigences en matière de journalisation :
- Stockage de journaux infalsifiable
- Conservation d’au moins 6 ans
- Capacité de surveillance en temps réel
- Archives de journaux consultables
- Alertes automatiques d’anomalies
- Génération de rapport de conformité
- Suivi de la chaîne de possession
- Journalisation d’accès géographique
Liste de contrôle pour la mise en œuvre de la sécurité en télésanté
Étapes préalables à la mise en œuvre
Avant la mise en ligne :
- ☐Réaliser une évaluation des risques pour la technologie de télésanté
- ☐Signer l'accord de partenariat commercial avec le fournisseur
- ☐Vérifier que le chiffrement répond aux normes HIPAA
- ☐Configurer des salles d’attente et des mots de passe pour les réunions
- ☐Activer l’authentification multifacteur pour tous les utilisateurs
- ☐Configurer des contrôles d’accès basés sur les rôles
- ☐Configurer la journalisation d’audit et la surveillance
- ☐Former le personnel sur les exigences HIPAA en matière de télésanté
- ☐Élaborer des procédures de consentement des patients
- ☐Politiques et procédures de sécurité des documents
Tâches de conformité continues
- Examiner les journaux d’accès pour y détecter des anomalies
- Vérifier l’exactitude du compte utilisateur
- Vérifier les mises à jour de sécurité
- Surveiller les tentatives de connexion échouées
- Mettre à jour l’évaluation des risques
- Examiner et renouveler les BAA
- Mener une formation à la sécurité
- Tester le plan de réponse aux incidents
Ressources connexes sur la conformité en matière de santé
Conformité HIPAA de Notta
Guide complet des fonctionnalités de sécurité de Notta pour le secteur de la santé
Statut HIPAA de Sembly AI
Capacités de conformité de Sembly dans le domaine de la santé
Lois sur l’enregistrement dans le secteur de la santé
Exigences légales pour l’enregistrement des réunions médicales
Conformité des enregistrements de réunions
Exigences générales de conformité pour les enregistrements de réunions
Besoin d’outils de télésanté conformes à la HIPAA ?
Trouvez des plateformes sécurisées de visioconférence et de transcription de réunions qui répondent aux exigences de conformité dans le domaine de la santé.