Les dossiers des patients contiennent beaucoup de données sensibles — et toutes ces informations n'ont pas besoin d'être partagées avec les prestataires de soins de santé pour qu'ils puissent faire leur travail.

Pour déterminer quelles informations sont nécessaires (et lesquelles ne le sont pas), la règle du minimum nécessaire de la HIPAA entre en jeu.

Cette règle oblige une entité couverte (comme un médecin ou une clinique) à ne partager que les informations de santé « nécessaires » avec une autre entité couverte. Cette règle s'applique également à tout tiers ou associé commercial avec lequel une entité couverte partage des informations de santé protégées (PHI).

En d'autres termes, cette règle exige que seules les informations de santé protégées (PHI) essentielles à l'accomplissement d'une tâche soient partagées. Plutôt que d'envoyer le dossier médical complet d'un patient, une clinique ne devrait partager que les informations nécessaires et rien de plus.

Ci-dessous, nous expliquons comment fonctionne la règle du minimum nécessaire, les exceptions à cette règle et comment s'y conformer.

Comment fonctionne la règle du minimum nécessaire de la HIPAA?

La règle du minimum nécessaire de la HIPAA fonctionne en exigeant des entités couvertes qu'elles fassent un effort raisonnable pour limiter les demandes d'utilisation ou de divulgation des PHI à ce qui est nécessaire. La règle impose également aux organisations de limiter l'utilisation et la divulgation des PHI à ceux qui ont besoin de ces informations pour faire leur travail.

La norme s'applique chaque fois que des PHI sont impliquées. Les PHI comprennent tout, de votre nom et date de naissance aux notes de diagnostic et de traitement.

La règle s'applique également aux informations de santé protégées électroniques (ePHI), comme une copie numérique d'un dossier médical. Elle s'applique également aux demandes de PHI d'autres entités couvertes et associés commerciaux.

Par exemple, supposons qu'une clinique ait cinq prestataires de soins médicaux. Un seul des prestataires vous traite (vous, le patient). Selon la règle du minimum nécessaire de la HIPAA, seul le prestataire médical qui vous fournit des soins devrait avoir accès à vos dossiers de patient.

Quand est-il nécessaire de partager des PHI?

Les termes « effort raisonnable » et « minimum nécessaire » laissent tous deux place à interprétation. Le département américain de la Santé et des Services sociaux (HHS), qui régit la HIPAA, ne définit aucun de ces termes. Mais il offre des conseils sur la manière de se conformer à l'exigence.

Le HHS déclare que la règle du minimum nécessaire repose sur le professionnalisme des pratiques médicales, praticiens et personnels pour décider quelles informations sont raisonnables à partager.

Le HHS poursuit en disant qu'il y a trois aspects qui rendent les PHI nécessaires à utiliser:

• Traitement : Un prestataire de soins médicaux devra partager certaines informations du dossier d'un patient avec une infirmière afin qu'elle puisse fournir les soins appropriés.
• Paiement : Les pratiques médicales sont tenues de partager des informations de santé protégées (PHI) avec les compagnies d'assurance à des fins de paiement.
• Opérations de soins de santé : Il est également acceptable de partager dans certaines situations administratives, financières, juridiques et d'amélioration de la qualité afin de gérer une entreprise. Par exemple, un prestataire de soins médicaux peut partager des informations de santé protégées avec un transcripteur qui est un associé commercial de la pratique.

La règle du minimum nécessaire en action

Pour comprendre comment la règle fonctionne, examinons un exemple réel :

Disons que le médecin traitant d'un patient l'envoie à un laboratoire clinique pour une prise de sang de routine. Le patient fournit une réquisition (ou une ordonnance du médecin) autorisant le test.

Cette réquisition contient des informations de santé protégées (PHI) qui incluent le nom du patient, son adresse, sa date de naissance, son numéro de sécurité sociale, son numéro d'identification d'assurance, le nom de son conjoint (si couvert par son assurance), le test à commander et le code de diagnostic indiquant la raison du test.

Toutes les informations ci-dessus sont nécessaires pour traiter l'analyse de sang du patient et facturer l'assurance du patient, ce qui signifie que toutes ces informations sont nécessaires.

Cependant, tout le monde dans le laboratoire n'a pas besoin d'accéder à toutes les informations. Voici à quoi cette répartition pourrait ressembler :

• Personnel de réception/enregistrement : Parce qu'ils sont responsables de s'assurer que les papiers et les informations sont corrects pour l'identification et les besoins de facturation, ils auraient accès à toutes les informations ci-dessus sauf aux résultats réels de l'analyse de sang du patient.
• Phlébotomiste : La personne qui prélève le sang du patient aura également besoin des informations contenues dans la réquisition afin de vérifier certains détails du patient et de créer des étiquettes d'identification pour le sang qu'elle prélève. Elle ne devrait pas avoir accès aux résultats réels de l'analyse de sang du patient.

Dans cet exemple, le personnel du laboratoire n'a accès qu'aux informations minimales nécessaires pour effectuer son travail en toute sécurité et efficacement. Les seules deux personnes qui devraient avoir accès aux résultats réels du test sont le médecin traitant qui a ordonné l'analyse de sang et le patient lui-même.

Exceptions à la règle du minimum nécessaire

Quand la règle du minimum nécessaire ne s'applique-t-elle pas ? Le HHS décrit six exceptions à la règle du minimum nécessaire :

• Les prestataires de soins de santé faisant des demandes d'informations de santé protégées (PHI) pour fournir un traitement à un patient
• Les patients demandant des copies de leurs propres dossiers médicaux
• Les demandes de PHI lorsqu'il y a une autorisation valide
• Les demandes de PHI qui sont nécessaires pour se conformer à la règle des transactions HIPAA ou à d'autres règles de simplification administrative HIPAA
• Les demandes de divulgation de PHI au HHS pour enquête sur les plaintes, examen de conformité ou application
• Les demandes de PHI qui sont autrement requises par la loi

Que se passe-t-il si plus que le minimum nécessaire est partagé ?

Le but de la règle du minimum nécessaire de la HIPAA est de protéger les informations de santé protégées (PHI) contre le partage inutile.

Lorsqu'une entité couverte divulgue plus que le minimum nécessaire, il s'agit d'une violation de la règle de confidentialité de la HIPAA.

Lorsqu'une violation de la HIPAA se produit, le HHS (Département de la Santé et des Services sociaux des États-Unis) déterminera si l'entité couverte a divulgué l'information volontairement et si elle a déjà eu une violation auparavant. Selon la situation, les conséquences peuvent entraîner des sanctions, des amendes et potentiellement une peine de prison.

Comment se conformer à la règle du minimum nécessaire

Le HHS ne spécifie pas exactement comment se conformer à la règle du minimum nécessaire dans votre pratique. Au lieu de cela, le HHS conseille aux organisations de “développer et mettre en œuvre des politiques et procédures pour limiter raisonnablement les utilisations et divulgations au minimum nécessaire.”

Votre politique devrait aborder deux sujets principaux : comment vous prévoyez de limiter l'accès et les usages des PHI, et votre processus de divulgation et de réponse aux demandes de PHI.

Voici des sections à inclure dans vos politiques concernant la règle du minimum nécessaire.

Accès et utilisations

• Identifiez les rôles et le personnel spécifique qui ont besoin d'accéder aux PHI pour faire leur travail
• Identifiez les catégories de PHI auxquelles ils ont besoin d'accéder
• Spécifiez les conditions dans lesquelles ils peuvent avoir besoin d'accéder aux PHI

Divulgations et demandes de divulgation

• Documentez votre processus de réponse aux divulgations de PHI et aux demandes de divulgation visant à limiter les PHI partagées au minimum raisonnablement nécessaire
• Élaborez des critères pour limiter les divulgations aux informations raisonnablement nécessaires pour les divulgations non routinières
• Examinez chaque demande de divulgation non routinière par rapport aux critères établis

5 conseils pour la mise en œuvre

Voici quelques conseils pour vous aider à mettre en œuvre vos politiques et procédures relatives à la règle du minimum nécessaire.

1. Découvrir et classer les PHI

Pour protéger adéquatement les PHI, vous devez déterminer le type de PHI que vous stockez et où ces PHI sont situées. Une fois que vous savez où et ce qui est stocké, vous pouvez utiliser une méthode de classification des données qui fonctionne pour votre organisation.

Vous pouvez le faire manuellement pour les copies physiques des PHI au sein de votre organisation. Pour les ePHI, il existe des outils de classification des données qui scanneront vos fichiers pour faciliter un peu le processus.

2. Inclure une section de sanctions dans votre politique

Dans votre politique, décrivez les conséquences en cas de violation de la règle du minimum nécessaire de la HIPAA.

3. Former les employés sur la politique et son importance.

Il est important que tous les employés lisent et comprennent vos politiques relatives à la Règle du minimum nécessaire.

Effectuez une formation initiale et continue sur la politique et son importance ainsi que sur la gestion appropriée des informations de santé protégées (PHI) en fonction des rôles et des responsabilités spécifiques.

4. Développer des autorisations basées sur les rôles

Tous les rôles n'auront pas besoin d'accéder aux informations de santé protégées (PHI). Pour ceux qui en ont besoin, il est important de définir clairement les catégories de PHI et les situations dans lesquelles ils ont accès aux PHI selon la Règle du minimum nécessaire.

Vous pouvez le faire en développant des autorisations basées sur les rôles qui limitent l'accès à des catégories particulières de PHI. Cela aidera à garantir que seules les personnes nécessaires aient accès aux PHI.

5. Surveiller l'accès aux PHI

Maintenez des journaux d'audit qui suivent l'accès et les tentatives d'accès aux PHI. Vous pouvez mettre en œuvre un logiciel de sécurité qui signale les activités suspectes concernant l'accès aux PHI afin d'aider à résoudre une situation avant qu'elle n'escalade en violation.

Comment Secureframe peut simplifier la conformité HIPAA

La loi HIPAA peut être déroutante et difficile à respecter.

Notre équipe d'experts en HIPAA peut vous aider à naviguer dans la création de politiques et la formation de votre équipe sur les meilleures pratiques de conformité HIPAA.

Demandez une démonstration avec notre équipe pour en savoir plus aujourd'hui.