Règles de partage de fichiers dans la santé : l'essentiel

Le partage de fichiers de santé se résume à une idée centrale : les Informations de Santé Protégées (PHI) ne circulent qu'à travers des canaux qui les chiffrent, les journalisent et les réservent aux destinataires autorisés. Selon la Security Rule de la HIPAA, tout outil transmettant une image DICOM, un export de 45 Mo de dossier de santé électronique ou un compte-rendu de laboratoire en PDF doit utiliser le chiffrement AES-256, TLS 1.3 en transit, des contrôles d'accès par utilisateur, et disposer d'un accord de Business Associate signé avec le fournisseur. L'article 9 du RGPD ajoute des exigences de consentement et de minimisation pour les patients européens. HITECH prévoit une notification de violation dans les 60 jours, et plusieurs réglementations d'États américains adoptées en 2026 raccourcissent ce délai.

Ce qui constitue une PHI dans un fichier

Une PHI est toute information de santé liée à l'un des 18 identifiants : nom, courriel, numéro de dossier médical, identifiant d'assurance, données biométriques, photo de visage, etc. Une image radiologique sans nom reste une PHI si l'en-tête DICOM conserve l'identifiant patient. Un planning du personnel sans aucun détail médical n'est probablement pas une PHI, mais ajoutez une note comme « déplacer le rendez-vous de Marie après sa chimio » et cela en devient une. Cette distinction compte parce que les règles de transfert s'appliquent dès qu'un élément de cette liste figure dans votre PDF, XLSX ou ZIP. Les cabinets médicaux se trompent souvent en traitant des rapports de synthèse comme « anonymisés » alors que la date de naissance combinée au code postal suffit à réidentifier un individu selon le test Safe Harbor de la HIPAA.

Le BAA est non négociable

La Privacy Rule de la HIPAA (45 CFR 164.504(e)) exige un Business Associate Agreement (BAA) avec tout fournisseur traitant des PHI pour le compte d'un établissement couvert. Cela inclut le service de transfert de fichiers. Le BAA désigne le fournisseur comme Business Associate, lui impose les garanties de la Security Rule, l'engage sur la notification des violations, et interdit le partage des PHI avec des sous-traitants n'ayant pas signé leurs propres accords. Les produits grand public de transfert de fichiers proposent rarement un BAA sur leurs offres gratuites. Des services spécialisés santé comme Paubox, Kiteworks, et les offres entreprise de Dropbox en proposent un. Avant qu'un seul fichier patient ne circule, le BAA doit être contresigné et archivé.

Protections techniques minimales selon la Security Rule

La Security Rule (45 CFR 164.312) est étonnamment concrète pour une loi de 2003. Elle impose l'identification unique des utilisateurs, la déconnexion automatique, des mécanismes de chiffrement et déchiffrement, des contrôles d'audit, et la sécurité des transmissions. En pratique pour le transfert de fichiers : chaque destinataire s'authentifie individuellement plutôt que de partager un lien, les sessions inactives se ferment après 15 minutes, les fichiers sont chiffrés de bout en bout avec AES-256-GCM, chaque accès crée une entrée de journal, et la couche de transport utilise TLS 1.3. La Notice of Proposed Rulemaking de 2024 du HHS OCR pousse vers la transformation de ces spécifications « adressables » en obligations impératives.

Accès autorisé et norme du minimum nécessaire

Partager le dossier d'un patient avec un spécialiste est acceptable. Partager l'intégralité de l'export du dossier de santé électronique quand seules trois pages sont pertinentes viole la norme du minimum nécessaire de la HIPAA. Les outils de transfert de fichiers peuvent aider en permettant l'accès spécifique par destinataire, les liens expirables liés à un courriel nommé, et les limites de téléchargement. Un médecin traitant envoyant un export de 180 Mo à un cardiologue devrait plutôt envoyer un extrait de 4 Mo couvrant les bilans biologiques et l'imagerie pertinents. Quand cela est impraticable, la rédaction via des outils comme la fonctionnalité de caviardage d'Adobe Acrobat ou des bibliothèques open source comme PyMuPDF réduit ce qui quitte l'établissement.

Consentement du patient et article 9 du RGPD

Les patients européens bénéficient de protections par défaut plus fortes que les patients américains. L'article 9 du RGPD classe les données de santé comme données de catégorie particulière, nécessitant un consentement explicite ou une autre base légale spécifique. Pour un hôpital britannique partageant une image avec un spécialiste allemand, ce consentement doit être documenté et révocable. De nombreux systèmes de santé européens utilisent des formulaires de consentement standardisés recueillis lors de l'admission. L'outil de transfert ne gère pas le consentement lui-même, mais le processus environnant compte : n'envoyez pas le fichier avant que le consentement soit enregistré, et conservez l'artefact de consentement lié au journal de transfert.

Délais de notification des violations

Si un ordinateur portable contenant des fichiers patients non chiffrés est volé, ou si un lien de transfert mal adressé atteint le mauvais destinataire, la Breach Notification Rule de la HIPAA s'applique. Les établissements couverts disposent de 60 jours pour notifier les personnes affectées, le HHS, et parfois les médias pour les violations dépassant 500 dossiers. Le RGPD est plus strict : 72 heures pour l'autorité de contrôle. Plusieurs États américains exigent désormais une notification plus rapide, comme la CMIA californienne avec 15 jours pour certaines violations. Le moyen le plus rapide d'éviter ces contraintes est d'utiliser un chiffrement qui qualifie pour le safe harbor selon les orientations du HHS. Un ordinateur portable volé contenant des fichiers chiffrés en AES-256 ne déclenche souvent pas de notification, car les données sont considérées inutilisables.

Journalisation et conservation

La HIPAA exige six ans de conservation pour les politiques, journaux d'audit et évaluations des risques. Les journaux de transfert de fichiers en font partie. Une demande d'audit typique de l'OCR à la suite d'une plainte veut voir : qui a uploadé le dossier d'un patient spécifique, quand, qui l'a téléchargé, depuis quelle IP, et si le transfert était chiffré. Le format de journal doit être lisible par machine et exportable. Les outils qui ne conservent les journaux que 90 jours échouent à cette exigence, sauf s'ils sont ingérés dans un SIEM. Les systèmes de santé routent souvent les journaux de transfert vers Splunk, Sumo Logic ou Microsoft Sentinel avec un stockage froid sur six ans sur S3 Glacier ou Azure Archive.

Fichiers de recherche clinique transfrontaliers

Les entreprises pharmaceutiques menant des essais aux États-Unis, en UE et en Asie font face à des règles qui se chevauchent. Un jeu de données de 500 Mo passant d'un CRO de Boston à un investigateur de Munich franchit les frontières HIPAA et RGPD. La configuration praticable : chiffrer le fichier localement en AES-256 avant l'upload, utiliser un outil de transfert avec résidence UE, inclure un accord de transfert de données référençant les SCC de 2021, et pseudonymiser les identifiants patients avec une clé détenue uniquement à l'origine. Pour l'imagerie DICOM, les outils comme les profils de désidentification de dcm4che suppriment les PHI des en-têtes avant l'export.

HexaTransfer chiffre les fichiers dans votre navigateur avec AES-256-GCM avant l'upload, stocke le texte chiffré dans des centres de données UE, et supprime après 7 jours. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go. Pour une utilisation réglementée en production, associez-le à la revue BAA de votre organisation.

Le partage de fichiers de santé fonctionne quand l'outil, le processus et la documentation s'alignent. Le chiffrement protège les données si quelque chose se passe mal. Les contrôles d'accès garantissent que les bons yeux voient le fichier. Les journaux prouvent la conformité quand les auditeurs arrivent. Manquer l'un d'eux, et un seul PDF mal adressé devient une violation à déclarer.