HIPAA (données de santé aux États-Unis)
Loi fédérale américaine de 1996 qui protège les données de santé détenues par les assureurs santé, les établissements et leurs prestataires, et dont les règles de sécurité et de notification pèsent lourdement sur la sinistralité cyber du secteur.
Le Health Insurance Portability and Accountability Act de 1996, complété par la loi HITECH de 2009, fixe aux États-Unis les règles de protection des informations de santé identifiables détenues par les entités couvertes, assureurs santé, établissements et professionnels de soins, chambres de compensation, et par leurs sous-traitants. Trois règles en forment le coeur. La règle de confidentialité encadre l'usage et la communication des données. La règle de sécurité impose des mesures administratives, physiques et techniques de protection des données électroniques. La règle de notification oblige, en cas de violation, à informer les personnes concernées sans retard déraisonnable et au plus tard dans les soixante jours, et à déclarer au département de la santé, qui publie les violations touchant plus de cinq cents personnes. L'office des droits civils du département inflige des sanctions et conclut des accords transactionnels. Pour l'assurance cyber, le secteur de la santé est l'un des plus sinistrés, parce que ses données se vendent cher, que ses systèmes sont anciens et que l'arrêt des soins pousse à payer. Les obligations de notification et les actions collectives qui suivent y font de la violation de données un sinistre de responsabilité particulièrement coûteux.
Après la violation de 2015 qui avait exposé les données de près de 79 millions de personnes chez un grand assureur santé américain, l'office des droits civils a conclu en 2018 un accord de 16 millions de dollars, alors le plus élevé de son histoire, en plus des sommes versées au titre des actions collectives.
HIPAA, Health Insurance Portability and Accountability Act, HIPAA breach notification rule
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.