Partage de données patients : bonnes pratiques de sécurité

Le partage sécurisé des données patients repose sur trois couches : des contrôles cryptographiques (AES-256-GCM au repos, TLS 1.3 en transit), des contrôles d'identité (authentification multifacteur, accès basé sur les rôles, principe du minimum nécessaire), et une gouvernance documentée (accords de partenariat commercial, journaux d'audit, plan de réponse aux incidents). En France, le RGPD — article 9 sur les données de santé — et les recommandations de la CNIL sur la sécurité des données médicales s'ajoutent aux obligations HIPAA pour les organisations opérant dans les deux juridictions. La référence technique : AES-256-GCM pour le stockage, TLS 1.3 pour le transit, PBKDF2 avec 600 000 itérations minimum pour les clés dérivées de passphrases. Pour les transferts ponctuels hors du DPI, un service signataire de BAA comme HexaTransfer Enterprise assure le chiffrement de bout en bout sans que la clé ne touche le serveur.

Le principe du minimum nécessaire

HIPAA 164.502(b) exige que les entités couvertes ne divulguent que les PHI strictement nécessaires à la finalité. Cela s'applique aux usages internes, aux divulgations aux partenaires commerciaux, et aux divulgations à d'autres entités couvertes (avec des exceptions pour les finalités de traitement).

En pratique : les orientations partagent le sous-ensemble cliniquement pertinent, pas le dossier complet ; la facturation porte sur les données de sinistre et les pièces justificatives, pas les notes cliniques ; la recherche utilise des données dépersonnalisées ou des ensembles de données limités dans la mesure du possible ; les demandes juridiques ne couvrent que ce qui répond à la demande spécifique ; l'évaluation de la qualité regroupe ou dépersonnalise chaque fois que c'est possible.

Les DPI prennent en charge cela via des modèles d'accès basés sur les rôles (les médecins voient tout ; l'accueil voit la planification et l'assurance ; la facturation voit les données financières mais pas les notes). Configurer ces accès par rôle, pas par utilisateur individuel.

Consentement du patient : quand est-il requis ?

HIPAA distingue les traitements, paiements et opérations (TPO) — qui ne requièrent pas d'autorisation du patient — des autres usages, qui en requièrent généralement une.

Exceptions TPO (aucune autorisation requise) : partage avec d'autres prestataires pour le traitement du patient ; facturation et recouvrement ; évaluation de la qualité, formation, accréditation.

Autorisation requise : communications marketing (avec de rares exceptions) ; vente de PHI ; recherche (sauf dérogation approuvée par un comité d'éthique) ; notes de psychothérapie (pour la plupart des divulgations) ; demandes d'employeurs sur des employés spécifiques.

Les lois d'État et nationales ajoutent des exigences de consentement plus strictes. En France, le RGPD et les recommandations de la CNIL imposent un consentement explicite pour de nombreux traitements de données de santé. Toujours appliquer la loi la plus restrictive applicable.

Échange interprofessionnel : Direct, FHIR, TEFCA

Pour les finalités légitimes de traitement, les prestataires disposent de plusieurs options d'échange.

Direct Secure Messaging : messagerie sécurisée S/MIME dans le cadre de confiance DirectTrust. Intégré dans chaque DPI certifié. Le cheval de bataille pour les transitions de soins.

API FHIR R4 : échange RESTful pour l'accès aux dossiers en temps réel. Obligatoire sous la certification ONC Cures Act. Permet aux applications comme Apple Santé, Care Everywhere d'Epic et l'échange payer-prestataire.

TEFCA (Trusted Exchange Framework and Common Agreement) : le cadre fédéral pour l'échange à l'échelle nationale, lancé en 2023 avec plusieurs Qualified Health Information Networks (QHIN). Étend l'accès aux dossiers à travers tout le pays.

CommonWell et Carequality : réseaux d'échange pré-TEFCA auxquels de nombreux DPI se connectent. Souvent le chemin de moindre résistance pour les données de traitement inter-organisations.

Côté patient : portails, API et applications tierces

Le Cures Act exige que les DPI certifiés fournissent une API FHIR accessible aux patients. Les patients peuvent accéder à leurs dossiers via le portail du prestataire (MyChart, FollowMyHealth, HealtheLife), connecter des applications tierces (Apple Santé, Fitbit, applications de recherche), et demander des copies électroniques en vertu du droit d'accès HIPAA (164.524).

Les prestataires ne peuvent pas bloquer l'accès dirigé par le patient vers une application tierce uniquement parce qu'ils ne font pas confiance à la sécurité de cette application. Ce serait un blocage d'information au sens du Cures Act, passible de sanctions.

Ce que vous pouvez faire : proposer une formation aux patients sur la sécurité des applications tierces, exiger une authentification du patient avant la première connexion, et journaliser l'autorisation.

Méthodes de transmission sécurisée selon le cas d'usage

Différentes situations exigent différents canaux : orientation clinique urgente (Direct Secure Messaging, ou appel téléphonique plus note DPI) ; consultation de routine (Direct, pièce jointe CCDA, ou API FHIR) ; transfert d'imagerie (échange cloud Ambra ou LifeImage, DICOMweb, ou supports physiques chiffrés) ; résultats de laboratoire (HL7 v2 sur VPN, ou FHIR Observation) ; accord préalable d'assurance (transaction X12 278 ou portail payeur) ; communication patient (message sécurisé du portail, email couvert par BAA) ; divulgation d'urgence (verbale avec documentation ultérieure).

Ne jamais opter par défaut pour un email non chiffré, des SMS ou une messagerie grand public pour des PHI. Ces canaux ne sont acceptables que si le patient les demande spécifiquement et que vous avez documenté son consentement éclairé au risque.

La base du chiffrement : à quoi ressemble un bon niveau

En 2026, tout niveau de chiffrement inférieur aux standards modernes est indéfendable :

• Au repos : AES-256-GCM pour le chiffrement des disques et bases de données
• En transit : TLS 1.3 privilégié ; TLS 1.2 acceptable avec des suites de chiffrement approuvées ; TLS 1.0 et 1.1 interdits
• Gestion des clés : via HSM (AWS KMS, Azure Key Vault, Google Cloud KMS, HSM sur site)
• Stockage des mots de passe : jamais en clair ; utiliser Argon2id ou bcrypt
• Chiffrement des sauvegardes : même standard AES-256-GCM que la production

Pour les transferts avec chiffrement de bout en bout, les implémentations utilisent AES-256-GCM avec des clés par fichier dérivées via PBKDF2 (600 000 itérations minimum) ou Argon2id à partir d'une passphrase fournie par l'utilisateur. La clé ne touche jamais le serveur.

Des journaux d'audit qui aident réellement lors des enquêtes

La section 164.312(b) exige des contrôles d'audit. Les journaux doivent capturer : l'identité de l'utilisateur (liée à un identifiant unique) ; l'horodatage (UTC, synchronisé via NTP) ; l'action (consultation, création, mise à jour, suppression, impression, export, téléchargement) ; le dossier cible (numéro de dossier patient ou identifiant équivalent) ; la source (poste de travail, IP, application) ; le résultat (succès, échec, refus).

Transmettre les journaux vers un SIEM centralisé (Splunk Cloud, Microsoft Sentinel, Elastic Security, Datadog). Conserver au moins 6 ans. Protéger contre la falsification : une fois écrits, les journaux doivent être en ajout seul, avec une intégrité cryptographique (chaînes de hachage, S3 Object Lock ou stockage WORM).

Trimestriellement, examiner les journaux d'audit pour les anomalies : accès nocturne à des patients VIP, téléchargements massifs, accès aux dossiers de connaissances personnelles — la fouine entre collègues est un schéma récurrent de violation HIPAA.

Gérer les violations : le compte à rebours de 60 jours

Si des PHI sont compromis (ordinateur portable perdu, phishing, ransomware, divulgation involontaire), un calendrier s'impose : découverte (début du compte à rebours) ; confinement (heures à jours) ; évaluation (déterminer la portée et les individus affectés dans les jours suivants) ; notification aux individus affectés (dans les 60 jours) ; notification au HHS (dans les 60 jours si 500 personnes et plus affectées, annuellement pour les violations plus petites) ; notification aux médias (dans les 60 jours si 500 résidents d'État et plus affectés).

Les entités couvertes de taille entreprise prévoient généralement un conseil juridique spécialisé en violations, une société de forensique informatique en précontrat, et des relations préétablies avec un fournisseur de surveillance de crédit. Mettre en place ces contrats après une violation coûte trois fois plus cher.

Catégories spéciales : santé mentale, addictologie, génétique

Certaines catégories sont soumises à des règles plus strictes : les notes de psychothérapie (164.501) requièrent une autorisation séparée pour la plupart des divulgations ; les dossiers de troubles liés à l'usage de substances (42 CFR Partie 2) sont soumis à une loi fédérale de confidentialité plus stricte que HIPAA ; la séropositivité — de nombreuses lois d'État exigent un consentement spécifique ; l'information génétique — la loi GINA interdit certains usages, les lois d'État ajoutent des exigences ; les dossiers de mineurs — la loi d'État régit l'accès parental et le consentement des adolescents.

Intégrer ces distinctions dans la gestion du consentement et le workflow de communication des dossiers dans votre DPI. Un bouton « communiquer l'intégralité du dossier » qui divulgue des informations d'addictologie sans le consentement requis par la Partie 2 constitue une violation fédérale.

Un programme opérationnel de sécurité des données patients

• Gouvernance : délégué à la protection des données (RGPD/CNIL), responsable de la sécurité HIPAA, revue de risque trimestrielle
• Technique : DPI conforme HIPAA, API FHIR, Direct Secure Messaging, SIEM, MFA généralisé
• Administratif : politique de sécurité de l'information écrite, journal de formation, plan de réponse aux incidents, BAA avec tous les fournisseurs
• Physique : contrôle d'accès par badge, politique de verrouillage des postes de travail, chiffrement des appareils
• Assurance : police cyber adaptée à la taille de l'organisation
• Transferts ponctuels : HexaTransfer avec chiffrement de bout en bout et BAA

Testez-le sur https://hexatransfer.com — gratuit, sans compte, 10 Go maximum.