Légalité et conformité
Comment laisser un message vocal conforme HIPAA
À retenir
- Ce qu’est la messagerie vocale sans sonnerie : Une méthode de communication non intrusive qui dépose un message préenregistré directement dans la boîte vocale du destinataire sans faire sonner son téléphone, pour qu’il l’écoute quand il le souhaite. Les entités couvertes l’utilisent souvent pour les rappels de rendez-vous, les avis de renouvellement d’ordonnance et les suivis de téléconsultation.
- Les 3 bonnes pratiques pour un message vocal conforme HIPAA : Évitez de laisser des informations de santé protégées (PHI) ou des détails médicaux sensibles dans vos messages vocaux, et appliquez la norme du minimum nécessaire en ne partageant que ce que l’appel exige. Indiquez toujours un numéro de rappel pour que le patient puisse rappeler en toute sécurité et obtenir plus d’informations. Utilisez des scripts clairs et professionnels (et une annonce de messagerie respectueuse de la confidentialité) qui protègent la vie privée du patient tout en améliorant la communication.
- Rappel de conformité : Les professionnels de santé et les prestataires qui gèrent les communications avec les patients doivent respecter la réglementation HIPAA, y compris la règle de sécurité HIPAA (Security Rule), protéger les informations des patients et signer un accord de partenariat commercial (BAA) lorsque c’est requis.
- Prochaines étapes : Consultez des exemples de scripts de messages vocaux conformes HIPAA, évaluez votre processus actuel de communication avec les patients, prévoyez une formation régulière du personnel et étudiez des solutions sécurisées de livraison de messages vocaux — comme un système de messagerie vocale conforme HIPAA avec chiffrement et journaux d’audit — qui favorisent la conformité et l’engagement des patients.
Avant tout : qu’est-ce qu’une information de santé protégée (PHI) ?
Vous entendrez souvent parler des « informations de santé protégées » en cherchant les meilleures façons de respecter la conformité HIPAA. La première chose à faire est donc de définir précisément ce que cela signifie.
Également appelées PHI (Protected Health Information), les informations de santé protégées répondent généralement aux définitions suivantes :
- Les informations contenant des données identifiables susceptibles de relier l’état de santé d’une personne à son nom
- Les informations figurant dans un dossier médical — diagnostics, traitements, résultats d’examens et prescriptions — sont toutes considérées comme des PHI. Lorsqu’elles sont stockées ou transmises par voie électronique, par exemple dans un dossier médical électronique (EHR), un e-mail ou un message vocal enregistré, on parle d’informations de santé protégées électroniques (ePHI)
- Les informations démographiques, comme la date de naissance, le sexe ou l’origine ethnique, susceptibles d’identifier la personne
- Les informations du patient protégées par HIPAA dont le partage n’a pas été expressément autorisé par écrit par le patient concerné. Dans certains cas, une dérogation dûment signée peut permettre à un médecin de communiquer des informations à des tiers, comme des avocats
Que signifie la conformité HIPAA ?
Voyons maintenant ce que signifie la conformité HIPAA. HIPAA désigne le Health Insurance Portability and Accountability Act, une loi qui encadre la manière dont les professionnels et les établissements de santé communiquent et diffusent l’information. Elle s’applique aux entités couvertes (prestataires de soins, régimes d’assurance santé et chambres de compensation des données de santé) ainsi qu’à leurs partenaires commerciaux, et elle est appliquée par le ministère américain de la Santé et des Services sociaux (HHS). Avec cette loi fédérale, la confidentialité est garantie à quiconque souhaite la préserver, que vous utilisiez la VoIP, les SMS, le fax ou simplement le système téléphonique de votre cabinet.
Dans les points ci-dessus, nous avons vu ce qu’il ne faut pas dire : vous ne devez communiquer aucune information identifiable qui relie un patient à ses antécédents médicaux. Mais que signifie concrètement la conformité HIPAA pour un message vocal ? Elle repose sur deux éléments : ce que vous dites dans le message, et la manière dont le système qui le stocke protège les ePHI. Le HHS autorise à laisser des messages sur le répondeur d’un patient à condition de respecter la norme du minimum nécessaire. De son côté, la règle de sécurité HIPAA impose des garanties techniques à tout système qui stocke des messages vocaux : contrôles d’accès (identification unique des utilisateurs, déconnexion automatique, procédures d’accès d’urgence), contrôles d’audit qui conservent la trace de chaque consultation, et chiffrement.
Les messages vocaux Slybroadcast sont-ils conformes HIPAA ?
En un mot : oui !
Slybroadcast est un service de messagerie vocale sans sonnerie conforme HIPAA qui vous apporte la sécurité et les garanties nécessaires pour communiquer avec vos patients. Pour comparer des systèmes de messagerie vocale conformes HIPAA, vérifiez le chiffrement en transit (par exemple TLS) et au repos — ou le chiffrement de bout en bout lorsqu’il est disponible —, la présence de journaux d’audit détaillés et la signature d’un BAA. Pour en savoir plus sur les messages vocaux conformes HIPAA, consultez ce lien.
Quelles informations ne doivent pas être laissées sur un répondeur ?
Lorsqu’ils laissent un message sur une messagerie vocale, les professionnels de santé s’en tiennent généralement à l’essentiel : qui appelle, et comment le rappeler. Ils évitent ainsi que quelqu’un d’autre intercepte l’information et protègent la confidentialité du patient ; dans le cas contraire, ils pourraient être tenus responsables d’une violation de HIPAA. Ce type de divulgation compte parmi les fuites de données les plus évitables du secteur de la santé.
Que peut-on dire dans un message vocal conforme HIPAA ? Toute information sensible ou médicale doit être exclue. Le destinataire doit plutôt recevoir un numéro de rappel, afin que les informations médicales lui soient communiquées directement lorsqu’il rappelle. Par exemple, un rappel de rendez-vous peut mentionner le prénom du patient, le nom du cabinet et un numéro de rappel, mais jamais le motif de la consultation. Il en va de même pour les autres canaux — comme le SMS — qui peuvent facilement être lus par quelqu’un d’autre que le destinataire.
Les smartphones ont compliqué l’usage de la messagerie vocale. Mais plus vous vous informez sur la réglementation HIPAA, ses règles de confidentialité et ce qu’il ne faut pas dire, plus vous constaterez qu’il est simple de bien gérer l’information médicale : elle doit rester 100 % confidentielle, sans rien laisser au hasard. C’est pourquoi la formation continue du personnel est essentielle : toute personne qui laisse ou écoute des messages doit savoir ce qui constitue une PHI. Votre propre annonce de messagerie peut aussi aider, en invitant les appelants à ne laisser que leur nom et leur numéro. Comprendre que chaque canal de communication influe sur la façon dont vous divulguez des informations médicales confidentielles est essentiel pour adopter les bonnes pratiques.
Vous avez des questions ou besoin d’un accord de partenariat commercial (BAA) ? Écrivez-nous à support@slybroadcast.com.
