Plus de 100 organisations de soins de santé américaines demandent à l’administration Trump de reconsidérer un projet de mise à jour des règles de sécurité HIPAA, craignant une charge administrative excessive et des délais irréalistes. Cette proposition, initialement lancée par l’administration Biden en 2024, visait à renforcer la cybersécurité dans le secteur de la santé.
Dans une lettre adressée cette semaine au secrétaire du ministère de la Santé et des Services sociaux (HHS), Robert F. Kennedy Jr., les groupes de prestataires, dont le College of Healthcare Information Management Executives, Advocate Health, Yale New Haven Health System et l’American Medical Association, estiment que le règlement devrait être retiré. Ils craignent qu’il n’entraîne « de nouvelles charges financières substantielles » et des « délais de mise en œuvre déraisonnables ».
Le projet de mise à jour de la loi HIPAA, qui n’a pas été retirée à ce stade, obligerait les organisations et leurs partenaires à documenter par écrit leurs politiques de sécurité, et à les examiner, tester et actualiser régulièrement. Les organisations devraient se conformer à ces nouvelles exigences 180 jours après la publication définitive du règlement.
Les fournisseurs de soins de santé plaident plutôt pour une approche collaborative, demandant à l’administration Trump de « lancer une initiative de sensibilisation collaborative » afin d’élaborer des normes de cybersécurité plus adaptées à la diversité des structures. Ils insistent sur la nécessité de normes « suffisamment flexibles pour s’adapter au large éventail d’organisations prestataires », tout en assurant une protection robuste et en favorisant l’innovation face aux risques changeants.
Cette proposition de mise à jour des règles de sécurité HIPAA serait la première depuis 2013. L’administration Biden avait alors souligné son objectif de clarifier et de détailler les obligations des organismes de santé et de leurs partenaires commerciaux en matière de protection des données de santé.
Le projet incluait plusieurs réformes, notamment l’obligation pour les organisations de soins de santé de créer un inventaire de leurs actifs technologiques et une cartographie du réseau, détaillant le flux des informations de santé protégées. Il prévoyait également des précisions sur la conduite des analyses de risques et le renforcement des exigences en matière de planification des incidents de sécurité.
La cybersécurité est devenue une préoccupation majeure dans le secteur de la santé, les cyberattaques pouvant perturber les opérations, limiter l’accès aux technologies essentielles, retarder les soins et même forcer les hôpitaux à dévier les urgences. L’attaque début 2024 contre Change Healthcare, une société de traitement des paiements et de technologie appartenant à UnitedHealth, a mis en évidence cette vulnérabilité, exposant les données de près de 193 millions de personnes – la plus importante violation de données de santé jamais signalée aux autorités fédérales.
Pour aller plus loin
