Assurer la conformité avec la loi HIPAA avec des employés à distance peut être une tâche intimidante, mais ce n’est pas une fatalité. Découvrez comment l’accès et l’assistance à distance peuvent vous faciliter la tâche.
La plupart des organismes de santé sont bien rodés à leurs processus de conformité HIPAA depuis des années. Cependant, au cours des deux dernières années, le paysage a considérablement changé avec l’essor du télétravail, de la télémédecine et l’augmentation des cybermenaces visant les informations de santé protégées (PHI).
Gartner a récemment estimé que 51 % des travailleurs du savoir effectueront leur travail à distance au début de 2022. Cette évolution vers le télétravail a des conséquences importantes pour les organisations qui doivent se conformer à la réglementation HIPAA (Health Insurance Portability and Accountability Act).
Les télétravailleurs représentent-ils un risque pour la conformité HIPAA ?
Non, les télétravailleurs ne constituent pas un risque en eux-mêmes. Cependant, les équipes informatiques qui ne sont pas préparées à les équiper avec les ressources nécessaires pour se conformer aux réglementations sur la confidentialité des données constituent un risque. Un article de Healthcare IT News publié en 2021 indique que seulement 2 équipes informatiques sur 10 ont déclaré avoir fourni des outils et des ressources adéquats pour soutenir les employés en télétravail sur le long terme. Ce manque de préparation fait courir aux organisations le risque d’enfreindre les lois sur la confidentialité des données et la protection des dossiers médicaux électroniques (DME) de l’HIPAA.
En effet, le département de la Santé et des Services sociaux des États-Unis (HHS) a spécifiquement relevé le risque de conformité à l’HIPAA lorsque les travailleurs utilisent des systèmes d’accès à distance dépourvus de mesures spécifiques. En décrivant la nécessité de revoir et de modifier régulièrement les politiques de sécurité pour qu’elles répondent aux exigences de l’HIPAA, le HHS a déclaré : « Ceci est particulièrement important pour les organisations qui permettent l’accès à distance aux informations de santé électroniques protégées (EPHI) par le biais d’appareils portables ou de systèmes ou équipements externes qui ne sont pas contrôlés ou gérés par l’entité couverte. »
Les infractions à l’HIPAA représentent un coût élevé
Les amendes pour infractions à l’HIPAA peuvent grimper rapidement, atteignant jusqu’à 1,8 million de dollars par violation. En plus de cela, il est recommandé de suivre un plan d’action corrective (PAC) coûteux pour éviter de nouveaux manquements. Les sanctions et les exigences en matière de PAC ont été établies par la loi HITECH (Health Information Technology for Economic and Clinical Health Act), entrée en vigueur en mars 2013. Elles s’appliquent à bien d’autres organisations que les seuls prestataires de soins de santé : régimes d’assurance-maladie, organismes intermédiaires, toutes les entités couvertes et les partenaires commerciaux des entités couvertes.
Par exemple, un article récent du National Law Review décrit comment Peachstate Health Management, Inc. a négocié la réduction de son amende pour non-respect de l’HIPAA à 25 000 dollars. Cependant, le PAC que l’entreprise a dû mettre en œuvre a entraîné des coûts bien plus élevés, car il exigeait que Peachstate :
Réalise une analyse des risques à l’échelle de l’entreprise
Élabore et mette en œuvre un plan de gestion des risques
Crée des politiques et des procédures de conformité à la règle de sécurité HIPAA
Diffuse les politiques et les procédures
Développe des supports de formation pour le personnel
Désigne un contrôleur indépendant
Communique des rapports de mise en œuvre, des rapports de non-conformité et des rapports annuels
Faire appel à un contrôleur indépendant dépasserait de loin l’amende de 25 000 dollars, d’autant plus qu’il doit être approuvé par l’OCR (l’Office for Civil Rights du département américain de la Santé et des Services sociaux).
Comment les solutions d’accès et de support à distance de Splashtop peuvent-elles vous aider à vous mettre en conformité ?
Tout d’abord, et c’est le plus important, Splashtop n’a pas accès aux informations ou aux dossiers électroniques des patients. Nos solutions chiffrent l’intégralité des sessions d’accès ou de support à distance, ce qui signifie que Splashtop ne peut pas consulter les données transmises.
Le fait de ne pas pouvoir accéder aux données de session est une particularité importante. Cela signifie que Splashtop peut fournir des services d’accès et d’assistance à distance dans le cadre de la règle d’exception HIPAA. Cette exception est limitée aux services de transmission (numérique ou papier), y compris le stockage temporaire des données transmises dans le cadre de cette transmission. Cela exclut les services comme Splashtop de l’obligation de conclure des accords de partenariat avec les entités couvertes.
Cela permet à nos clients de mettre rapidement en œuvre les solutions Splashtop sans avoir à conclure des contrats complexes liés à l’HIPAA. De plus, ils ont la garantie que les informations et les dossiers de leurs patients restent dans leur système et ne sortent jamais du périmètre de leur organisation.
Mesures de sécurité supplémentaires de Splashtop qui garantissent la sécurité de vos données
Splashtop a développé des « Politiques de sécurité » dans le cadre de nos Mesures techniques et organisationnelles (Technical and Organizational Measures, TOM). Celles-ci décrivent les mesures de sécurité et les contrôles mis en place et appliqués par Splashtop pour protéger et sécuriser les données que nous stockons et traitons. Nos politiques de sécurité informatique sont régulièrement revues et modifiées par notre équipe d’experts.
En outre, les employés de Splashtop suivent une formation sur la sécurité de l’information deux fois par an. Lors de ces sessions, ils acceptent de se conformer aux règles d’éthique commerciale, de confidentialité et de sécurité telles qu’énoncées dans notre Code de conduite.
Les politiques de sécurité de Splashtop s’appuient sur une architecture robuste de sécurité des données qui comporte de nombreuses fonctionnalités. Le chiffrement et le contrôle des accès sont les deux éléments les plus importants pour assurer la protection des données lorsque vos employés travaillent à distance.
Cryptage : Splashtop crypte toutes les données des utilisateurs en transit et au repos et toutes les sessions des utilisateurs sont établies de manière sécurisée en utilisant TLS. Le contenu auquel on accède au cours de chaque session est toujours crypté au moyen du protocole AES 256 bits.
Contrôle d’accès : Splashtop a mis en place des contrôles d’accès pour gérer l’accès électronique aux données et aux systèmes. Nos contrôles d’accès reposent sur les niveaux d’autorité, les niveaux de « besoin de savoir » ainsi qu’une séparation des tâches pour ceux qui accèdent au système. Nous assurons le suivi de l’accès basé sur les rôles par des révisions régulières des comptes, la surveillance des accès et la journalisation.
L’accès à distance de Splashtop introduit encore plus de fonctionnalités de sécurité, telles que l’authentification des appareils, l’authentification à deux facteurs (2FA), l’authentification unique (SSO) et bien d’autres. Si vous souhaitez en savoir plus, nous avons établi une liste complète des fonctions de sécurité de Splashtop conformes aux normes HIPAA.
Maintenez votre organisation en conformité avec la loi HIPAA grâce à l’accès et au support à distance
Le télétravail étant appelé à perdurer, de nombreuses organisations tirent parti de solutions d’accès à distance et de téléassistance pour gérer en toute sécurité les DME et autres données relatives aux patients. Pour que votre organisation reste conforme à la loi HIPAA, vous devez adopter un accès à distance et une téléassistance sûrs et sécurisés.
Splashtop fournit à des centaines d’organisations de soins de santé un accès et un support à distance sûrs et sécurisés - conformes à l’HIPAA et aux autres réglementations relatives à la confidentialité des consommateurs. Pour découvrir comment Splashtop peut permettre à votre organisation d’assurer la conformité des télétravailleurs avec la loi HIPAA, contactez un expert Splashtop dès aujourd’hui.
