Comprendre le paysage réglementaire

La conformité des soins de santé commence par une compréhension approfondie des lois et règlements applicables.

Règles de confidentialité et de sécurité de l'HIPAA

La règle de confidentialité régit la façon dont l'ISP peut être utilisée et divulguée, tandis que la règle de sécurité prévoit des mesures de protection administrative, physique et technique pour l'ISP électronique (ePHI). Les entités couvertes (plans de santé, centres de compensation des soins de santé et la plupart des fournisseurs de soins de santé) et leurs associés commerciaux doivent se conformer à ces règles. La règle de sécurité exige que les organisations mettent en oeuvre des mesures telles que les contrôles d'accès, les contrôles de vérification, les contrôles d'intégrité et la sécurité de la transmission.

Loi sur les technologies de l ' information et de la communication

En vertu de la loi américaine de 2009 sur le rétablissement et le réinvestissement, HITECH a renforcé l'application de la loi, augmenté les sanctions applicables aux infractions et élargi les exigences en matière de notification des infractions. Elle a également encouragé l'adoption de dossiers de santé électroniques (DSE) et établi de nouvelles dispositions en matière de protection de la vie privée et de sécurité pour les associés commerciaux.

Conformité aux régimes d'assurance-maladie et aux régimes d'assurance-maladie

Les organismes qui participent aux programmes de santé fédéraux doivent respecter la Loi sur les fausses créances, la Loi anti-délinquance, la Loi Stark et les règlements propres aux programmes. La conformité comprend une facturation exacte, une documentation appropriée et l'évitement des pratiques frauduleuses. Les Centres pour les médicaments et les services médicaux (CMS) fournissent des lignes directrices et effectuent des vérifications pour assurer l'intégrité des programmes.

Lois spécifiques de l'État en matière de santé

De nombreux États ont adopté des lois supplémentaires sur la protection de la vie privée (par exemple, la loi sur la protection des renseignements personnels de la Californie/la loi sur la protection des renseignements personnels de la République de Corée, la loi sur la protection des renseignements personnels des consommateurs de New York) qui imposent des exigences plus strictes que les autres lois fédérales. Les entreprises de soins de santé qui opèrent dans les différents États doivent se conformer à ces règlements et veiller à ce qu'ils soient respectés dans toutes les administrations où elles opèrent.

Élaborer une stratégie globale de conformité

Une stratégie de conformité solide n'est pas un projet ponctuel, mais un processus continu intégré à la culture de l'organisation. Les étapes clés suivantes constituent la base d'un programme de conformité efficace.

Effectuer des évaluations régulières des risques

Dans le cadre de l'Initiative, les entités visées doivent effectuer des analyses périodiques des risques et mettre en oeuvre des mesures pour atténuer les risques identifiés. Le Bureau des droits civils du SHS fournit des directives détaillées sur la conduite d'évaluations approfondies. L'intégration de cadres comme le Cadre de cybersécurité du NIST peut renforcer le processus. Une évaluation complète des risques devrait comprendre l'inventaire des biens, l'identification des menaces, l'analyse de vulnérabilité, l'analyse des risques et des impacts et un plan d'assainissement.

Mise en oeuvre des programmes de formation du personnel

Les programmes de formation complets devraient porter sur les politiques de protection de la vie privée, les procédures de sécurité, la sensibilisation au phishing, le traitement approprié des HAP et les protocoles d'intervention en cas d'incident. La formation doit être adaptée aux différents rôles et être menée au moins une fois par année, avec des séances supplémentaires à la suite de changements de politiques ou d'incidents de sécurité.

Établir des politiques et des procédures claires

Les politiques et procédures documentées constituent l'épine dorsale de tout programme de conformité.

  • Avis de confidentialité[ – informe les patients de leurs droits et de la façon dont ils utilisent leurs renseignements.
  • Politiques de sécurité[ – exigences relatives au mot de passe d'adresse, chiffrement des appareils, accès à distance et protections physiques.
  • Plan de réponse à l'incident[ – décrit les étapes à suivre pour détecter, étudier, contenir et signaler les infractions.
  • La politique sur les sanctions – assure des mesures disciplinaires pour non-conformité.

Les politiques devraient être revues et mises à jour régulièrement pour tenir compte des changements apportés aux règlements ou aux opérations.

Utilisation de la technologie pour la sécurité des données

La technologie joue un rôle essentiel dans la protection de l'IPSDE.

  • Encryptage[ – au repos et en transit pour tous les ePHI. Utilisez AES-256 pour les données au repos et TLS 1.2 ou plus pour les données en transit.
  • Contrôles d'accès – accès basé sur le rôle, authentification multi-facteurs et journaux de vérification.
  • Systèmes de détection d'intrusion[ – surveiller le trafic réseau pour détecter les activités suspectes. Combiner la détection basée sur la signature et la détection comportementale pour une meilleure couverture.
  • Solutions de sauvegarde automatisées – assurer la récupération des données en cas de ransomware ou de défaillance du système.

Les organisations devraient aussi effectuer régulièrement des analyses de vulnérabilité et des tests de pénétration, en utilisant les résultats pour remédier aux faiblesses.

Surveillance et vérification des efforts de conformité

La surveillance continue et la vérification interne vérifient que les politiques et les contrôles fonctionnent comme prévu.

  • Examiner les journaux d'accès pour détecter l'accès non autorisé à l'ISP. Recherchez des modèles inhabituels comme l'accès après les heures de travail, les connexions répétées échouées ou l'accès aux documents en dehors d'un rôle d'employé.
  • Vérifier périodiquement la conformité des cartes de facturation et valider que la documentation appuie les codes facturés et examiner les codes de codage ou de dégroupage.
  • Effectuer des vérifications de simulation HIPAA et des simulations d'incidents.
  • Suivre les mesures correctives pour toute constatation. Utilisez un registre des risques pour établir les priorités de l'assainissement et de la fermeture des voies.

Les tableaux de bord montrant les principales mesures de conformité (p. ex., la formation terminée, les constatations de la vérification, le temps d'intervention en cas d'incident) améliorent la visibilité.

Rôle d'un agent de conformité

La nomination d'un agent de conformité spécialisé est une composante obligatoire d'un programme efficace en vertu de l'AIAP et de nombreuses lois des États. Il doit être chargé de superviser les activités de conformité de l'organisation, de servir de point de contact pour les demandes de renseignements réglementaires et de s'assurer que le programme de conformité demeure à jour. L'agent doit avoir directement accès à un leadership exécutif et avoir suffisamment de pouvoir pour appliquer les politiques.

Ententes avec les fournisseurs et les associés commerciaux

Les entreprises de soins de santé comptent souvent sur des fournisseurs tiers pour des services tels que le stockage en nuage, la facturation, la transcription ou le soutien du DSE. En vertu de la LSIPAA, ces fournisseurs sont considérés comme des associés commerciaux et doivent conclure une entente d'associés commerciaux (AAS) qui les oblige contractuellement à protéger l'ISP. La diligence raisonnable devrait inclure l'évaluation des pratiques de sécurité du fournisseur, l'examen de leurs rapports SOC 2 et la tenue de réévaluations périodiques.

Réponse et notification concernant les atteintes aux données

Lorsqu'il y a violation d'une IPP non sécurisée, les organisations doivent respecter des exigences précises en matière de notification. L'AIAP exige que les personnes touchées, le RCO HHS et (dans certains cas) les médias en soient avisés. L'échéancier est critique : les notifications doivent être faites sans délai déraisonnable et dans les 60 jours suivant la découverte.

  • Identification et confinement – isoler les systèmes touchés, préserver les registres et engager des services de criminalistique informatique.
  • Évaluation des risques[ – Déterminer la nature et l'étendue de la violation, les types d'ISP en cause et la probabilité de préjudice.
  • Notification – Aviser les personnes touchées dans les délais requis, y compris des renseignements sur les mesures qu'elles peuvent prendre pour se protéger. Aviser le Bureau du vérificateur général du Canada en direct du HHS par le biais du portail en ligne.
  • Documentation – tenir des dossiers détaillés de l'enquête sur la violation, de l'évaluation des risques, des mesures de notification et des étapes de remise en état.

Effectuer des exercices annuels de table pour tester le plan d'intervention avec des équipes interfonctionnelles, y compris des services juridiques, des TI, des communications et des cadres supérieurs.

Formation et culture de conformité

Au-delà de la formation formelle, favoriser une culture de conformité signifie intégrer les normes éthiques et juridiques dans les opérations quotidiennes. Le leadership doit démontrer son engagement à respecter la conformité par l'affectation des ressources, la communication ouverte et la tolérance zéro pour les représailles contre les employés qui signalent des préoccupations. Encourager les employés à poser des questions, signaler des violations potentielles par l'entremise de lignes téléphoniques anonymes et participer à une éducation continue renforce la posture de conformité globale.

Nouveaux défis liés au respect des dispositions

Télésanté et télésoins

L'expansion rapide de la télésanté, accélérée par la pandémie de COVID-19, présente de nouvelles considérations de conformité. Les fournisseurs doivent s'assurer que les plateformes de télésanté répondent aux exigences de sécurité de l'AIAPH, obtiennent le consentement approprié des patients et respectent les lois de l'État sur les licences.

  • Sécurité de la plateforme – chiffrement de bout en bout, gestion sécurisée des sessions et authentification appropriée pour les fournisseurs et les patients.
  • Consentement et documentation[ – documenter le consentement du patient à la télésanté et s'assurer que la technologie choisie ne diminue pas la norme de soins.
  • Licensure d'État – vérifier que les fournisseurs sont autorisés dans l'état où le patient est situé. Certains états font partie du Compact Interstate Medical Licensure, mais pas tous.
  • Surveillance à distance – s'assurer que les appareils et applications utilisés pour la surveillance à distance des patients sont conformes à l'HIPAA et transmettent les données en toute sécurité.

Intelligence artificielle et analyse des données

Les programmes de conformité doivent évaluer les fournisseurs d'IA pour déterminer si l'IA est conforme à la LSIPAA, s'assurer que les algorithmes ne font pas de discrimination injuste et maintenir la surveillance humaine des décisions automatisées. Lorsqu'ils analysent l'IA, les organisations doivent déterminer si le modèle d'IA lui-même constitue un associé commercial. Les techniques de désidentification des données, comme la méthode HIPAA Safe Harbor ou la détermination d'experts, peuvent réduire le fardeau réglementaire.

Interopérabilité et échange d'information sur la santé

La conformité exige des accords d'utilisation des données clairs, la gestion du consentement des patients et des mesures de protection techniques pour empêcher l'accès non autorisé pendant la transmission. La Loi sur les mesures du 21e siècle favorise l'interopérabilité, mais exige également que l'information soit partagée sans blocage. Les organisations doivent mettre en oeuvre des API basées sur le RIF qui permettent aux patients d'accéder à leurs données par des applications tierces.

Ressources externes et éducation permanente

Les organismes devraient tirer parti des ressources des organismes de réglementation et des groupes industriels pour rester informés. Le HHS OCR offre des données d'application, des FAQ et un protocole de vérification. Le site Web MCS fournit des conseils sur la conformité à l'assurance-maladie[. La participation à des organisations professionnelles comme l'Association de conformité aux soins de santé (ACCS) peut fournir des réseaux, des webinaires et des certifications (p. ex., CHC, CPC). De plus, s'abonner aux mises à jour du courriel du CSR et assister à des conférences de l'industrie (comme l'ACCS) aide les dirigeants à rester en avance sur les changements réglementaires.

Conclusion

En comprenant la portée complète des règlements, en élaborant un programme de conformité structuré assorti de politiques solides, en investissant dans la technologie et la formation et en s'attaquant de façon proactive aux nouveaux défis, les organismes de santé peuvent protéger les données sur les patients, réduire les risques et bâtir une réputation d'intégrité. La conformité est un parcours continu qui exige un engagement à tous les niveaux de l'organisation, mais les avantages – la confiance accrue des patients, l'efficacité opérationnelle et la sécurité juridique – rendent l'effort essentiel. Dans un contexte où les attentes réglementaires ne font qu'intensifier, un programme de conformité proactif et axé sur la culture est la plus forte défense contre les infractions, les amendes et les dommages à la réputation.