Health Insurance Portability and Accountability Act (HIPAA)
Accéder directement à la conformité de la méthode Avatar concernant le RGPD
La Health Insurance Portability and Accountability Act (HIPAA) est une loi fédérale américaine qui régule l’utilisation, le stockage et la transmission des informations de santé protégées (PHI).
Qu’est-ce que les informations de santé protégées (PHI) ?
Les PHI comprennent toute information de santé identifiable individuellement :
- Historique médical
- Diagnostics et informations de traitement
- Ordonnances médicales
- Résultats de laboratoire
- Détails d’assurance
Entités couvertes par HIPAA et partenaires commerciaux
HIPAA s’applique à :
- Fournisseurs de soins de santé (hôpitaux, cliniques, médecins)
- Compagnies d’assurance santé
- Prestataires tiers manipulant des PHI (partenaires commerciaux)
Dé-identification et conformité HIPAA
HIPAA autorise deux méthodes principales pour dé-identifier les PHI afin qu’elles ne soient plus régulées :
-
Méthode Safe Harbor : suppression de 18 identifiants spécifiques :
- Noms
- Subdivisions géographiques plus petites qu’un État (ex : rue, ville, code postal), excepté les 3 premiers chiffres du code postal quand la population dépasse 20 000 habitants
- Toutes les dates liées directement à un individu (sauf l’année), et tous les âges supérieurs à 89 ans (peuvent être regroupés en « 90 ans ou plus »)
- Numéros de téléphone
- Numéros de fax
- Adresses email
- Numéros de sécurité sociale
- Numéros de dossier médical
- Numéros de bénéficiaire d’assurance santé
- Numéros de compte
- Numéros de certificat/licence
- Identifiants de véhicules et plaques d’immatriculation
- Identifiants d’appareils et numéros de série
- URLs web
- Adresses IP
- Identifiants biométriques (empreintes digitales, enregistrements vocaux)
- Photos de visage complet ou images similaires
- Tout autre numéro, caractéristique ou code unique (sauf ceux autorisés dans la section « Ré-identification »)
-
Expert Determination : un expert qualifié certifie que les données présentent un risque minimal de ré-identification.
Une fois les données dé-identifiées, elles ne sont plus considérées comme des PHI et sont exemptées des restrictions HIPAA.
Statut légal de la méthode Avatar
La méthode Avatar propose une approche privacy by design approche visant spécifiquement à empêcher la ré-identification. Les identifiants directs ne sont plus présents dans les données générées, en conformité avec la méthode Safe Harbor. La méthode propose également une boîte à outils d’évaluation de la confidentialité pour estimer le risque résiduel de ré-identification. Cette évaluation est alignée avec la recommandation Expert Determination.
L’utilisation de la méthode et des données synthétiques générées est donc compatible avec la réglementation HIPAA.