Règles de confidentialité des données de santé

Résumé#

Ce projet de loi créerait de nouvelles règles fédérales de confidentialité, de sécurité et de notification en cas de violation pour un large éventail d'entités qui traitent des informations liées à la santé, y compris de nombreuses entreprises qui ne sont pas actuellement couvertes par la HIPAA. Il ordonne au Département de la santé et des services sociaux (HHS), en collaboration avec la Commission fédérale du commerce (FTC), de rédiger des règles qui reflètent généralement les protections de la HIPAA, ajoutent des obligations concernant les avis et le consentement, établissent des normes nationales de désidentification et exigent des études et des orientations sur des sujets spécifiques. L'objectif général est d'étendre des protections de confidentialité plus fortes et plus uniformes pour les informations de santé à un plus grand nombre d'organisations et d'utilisations.

• Changement principal : Le HHS doit rédiger des règles de confidentialité, de sécurité et de notification en cas de violation pour les « informations de santé applicables » traitées par des entités réglementées et leurs fournisseurs de services (entités qui décident comment et pourquoi les données de santé sont utilisées, à l'exclusion des organismes gouvernementaux et des entités/associés couverts par la HIPAA).
• Droits individuels : Les règles doivent inclure l'accès, la modification, la suppression, la portabilité, les avis de confidentialité et des délais pour les réponses.
• Sécurité et violations : Les mesures de sécurité doivent suivre des cadres nationaux (par exemple, NIST). Les règles de notification en cas de violation ressembleront aux règles de violation existantes de la HIPAA.
• Désidentification : Le HHS doit établir une norme nationale unique pour quand les informations de santé sont « désidentifiées », exiger des outils de confidentialité basés sur la technologie et exiger des contrats écrits interdisant la réidentification pour les destinataires.
• Notifications aux patients : Les entités qui obtiennent les informations de santé protégées d'un patient via le droit d'accès du patient doivent avertir le patient que les informations ne seront plus protégées par la HIPAA et doivent obtenir le consentement avant de les vendre. Les outils de bien-être numérique doivent notifier les utilisateurs à l'avance et offrir une option de désinscription.
• Autres actions : Le HHS doit publier des orientations sur les règles de nécessité minimale pour l'utilisation des données de santé par l'IA/ML et doit contracter avec les Académies nationales pour étudier le paiement des patients pour l'utilisation de données identifiables dans la recherche.

Ce que cela signifie pour vous#

• Patients / Consommateurs

  • Vous pourriez bénéficier de protections de confidentialité plus fortes pour les données liées à la santé détenues par de nombreuses entreprises qui ne sont pas actuellement couvertes par la HIPAA.
  • Si vous utilisez une application de bien-être ou un dispositif de santé numérique, l'entreprise doit fournir un avis en langage clair indiquant que les données ne sont pas couvertes par la HIPAA et vous permettre de vous désinscrire de la génération de données.
  • Si vous demandez à un fournisseur d'envoyer vos informations de santé protégées à un tiers que vous désignez, vous devriez obtenir des règles plus claires sur ce que vous devez signer, les frais possibles et ce que le destinataire peut faire avec les données.
  • Si une entreprise obtient vos informations de santé protégées par le biais de votre demande d'accès, elle doit vous informer avant d'accéder aux données que les protections de la HIPAA ne s'appliquent plus et expliquer qui peut redévoiler les données ; elle doit obtenir votre consentement avant de les vendre.

• Fournisseurs de soins de santé, régimes de santé et associés commerciaux (déjà couverts par la HIPAA)

  • Le projet de loi maintient en grande partie les obligations existantes de la HIPAA pour les entités couvertes et les associés commerciaux, mais il clarifie quand et comment ils peuvent transmettre des dossiers à des tiers désignés par les patients et limite les règles de frais dans certaines situations.
  • Le HHS doit mettre à jour les orientations dans les 180 jours pour refléter ces règles.

• Entreprises technologiques, développeurs d'applications, courtiers de données et autres entreprises privées

  • Bon nombre de ces organisations pourraient devenir des « entités réglementées » ou des « fournisseurs de services » en vertu du projet de loi si elles décident comment ou pourquoi les données de santé sont utilisées. Elles seraient soumises à de nouvelles obligations de confidentialité, de sécurité, de notification en cas de violation et de droits individuels similaires à la HIPAA.
  • Si vous recevez des données de santé désidentifiées, vous auriez généralement besoin d'un accord écrit pour ne pas réidentifier les données et pour imposer la même règle en aval.
  • Les entreprises offrant des technologies de bien-être doivent donner des avis à l'avance et des options de désinscription et doivent obtenir le consentement avant de vendre certaines informations protégées obtenues par le biais du droit d'accès d'un patient.

• Chercheurs

  • Les règles de désidentification et les limites contractuelles sur la réidentification peuvent affecter l'accès aux ensembles de données. Le projet de loi exige également une étude des Académies nationales sur la compensation des patients pour le partage de données identifiables à des fins de recherche, ce qui pourrait éclairer les politiques futures.

• Agences gouvernementales

  • Le HHS (avec l'avis de la FTC) doit publier plusieurs règlements, documents d'orientation et un contrat avec les Académies nationales. Le HHS se voit conférer des pouvoirs d'application et des pouvoirs de pénalité civile similaires aux règles d'application actuelles de la HIPAA.

Dépenses#

Aucune information disponible publiquement.

• Le projet de loi exige la rédaction de règles par le HHS, des orientations, des activités d'application et un contrat avec les Académies nationales. Ces activités ont généralement des coûts administratifs, mais le projet de loi n'inclut pas de note fiscale ou d'estimations de coûts.
• Les entités réglementées et les fournisseurs de services seraient probablement confrontés à des coûts de conformité pour les politiques, les agents de confidentialité, la formation du personnel, les mesures de sécurité techniques, les contrats et la réponse aux violations.
• Les normes de désidentification et les restrictions contractuelles pourraient modifier les arrangements de partage de données, ce qui pourrait affecter les revenus des entreprises ou l'accès à la recherche — le projet de loi n'estime pas ces effets.

Point de vue des partisans#

• Le projet de loi semble destiné à étendre les protections similaires à la HIPAA au-delà des organisations de soins de santé traditionnelles à de nombreuses entreprises qui collectent et utilisent actuellement des données liées à la santé. Cela pourrait être perçu comme une réduction des lacunes où les données de santé sensibles ont actuellement moins de protections juridiques.
• Cela pourrait être perçu comme une amélioration de la clarté en établissant des normes nationales pour ce qui compte comme des données désidentifiées et en exigeant des promesses écrites de ne pas réidentifier les données.
• Les règles de sécurité liées à des cadres établis (par exemple, NIST) pourraient être perçues comme renforçant la protection technique des informations de santé électroniques.
• L'exigence d'avis en langage clair et d'options de désinscription pour les outils de bien-être et l'exigence de consentement avant les ventes pourraient être perçues comme renforçant le contrôle et la transparence des consommateurs.
• L'étude des Académies nationales pourrait être perçue comme une étape prudente pour examiner les questions éthiques et de confidentialité liées au paiement des patients pour des données de recherche identifiables.

Point de vue des opposants#

• Une préoccupation est que le projet de loi pourrait imposer des coûts de conformité substantiels à de nombreuses entreprises (programmes de confidentialité, agents de confidentialité, formation, mesures de sécurité techniques, contrats), en particulier aux petites entreprises, sans estimation claire des coûts.
• La définition d'« entité réglementée » et la portée des « informations de santé applicables » peuvent être larges et laisser une incertitude quant aux entreprises qui doivent suivre les nouvelles règles.
• L'exigence de contrats écrits interdisant la réidentification pourrait réduire le partage de données pour la recherche légitime et le travail de santé publique, à moins que les exceptions ou les processus du projet de loi ne soient clarifiés.
• La règle selon laquelle les informations fournies par une demande d'accès d'un patient perdent la protection de la HIPAA lorsqu'une partie non couverte les reçoit pourrait créer des frontières juridiques confuses sur qui doit protéger les données et quand.
• Le projet de loi repose sur la rédaction future de règles par le HHS pour de nombreux détails clés (par exemple, ce qui compte comme « attentes raisonnables », utilisations exactes autorisées et procédures d'application), donc ses effets pratiques dépendent fortement de la manière dont ces règles sont rédigées.
• Il n'est pas clair comment l'application du HHS interagira avec l'application de la FTC ou les lois provinciales sur la confidentialité ; la règle de préemption dans le projet de loi fait référence aux règles de préemption existantes de la HIPAA mais peut ne pas résoudre tous les conflits avec les lois provinciales.