Est-ce une violation de la loi HIPAA de demander à quelqu’un son statut de vaccination contre la COVID-19 ?

Maintenant que les personnes entièrement vaccinées n’ont plus besoin de porter de masque facial ou de pratiquer la distanciation physique dans la plupart des environnements, de nombreuses entreprises demandent à leurs clients leur statut de vaccination contre la COVID-19 avant de les autoriser à entrer ou de leur permettre de ne pas porter de masque. Cependant, certaines personnes affirment que la loi de 1996 sur la portabilité et la responsabilité de l’assurance maladie (HIPAA) interdit aux entreprises de le faire, ce qui est complètement faux.

Cette idée fausse est dangereuse car elle pourrait potentiellement induire en erreur les personnes qui ne comprennent pas pleinement ce qu’implique réellement la loi HIPAA. Pour comprendre pourquoi demander le statut vaccinal d’une personne ne constitue pas une violation de la vie privée, il est essentiel de savoir quel type d’informations est protégé par la loi HIPAA, quelles entités sont tenues de se conformer à ses règles et dans quelles circonstances cette protection s’applique. 

Qu’est-ce que la HIPAA ?

La loi HIPAA est une loi fédérale qui vise à protéger votre vie privée en limitant la manière dont les informations sensibles sur votre santé peuvent être utilisées ou divulguées. Elle vous donne également le droit d’examiner et d’obtenir une copie de votre dossier médical.

« Lorsque les gens font référence à la HIPAA, ils font généralement référence à la règle de confidentialité produite par le HHS conformément à l’autorisation du Congrès via la loi elle-même », explique à Health Life Guide James G. Hodge, Jr., JD, LLM , directeur du Center for Public Health Law and Policy de l’Arizona State University. « À cette fin, la règle de confidentialité HIPAA fournit des normes et des protections de confidentialité étendues pour les informations médicales identifiables détenues par les entités couvertes. »

Contrairement à la croyance populaire, la loi HIPAA ne protège pas tous les types d’informations dans toutes les situations. De plus, toutes les personnes et organisations ne sont pas tenues de s’y conformer.

Entités couvertes

Seules certaines personnes et organisations ayant accès à vos informations médicales sont soumises à la règle de confidentialité HIPAA, telles que :

• Les prestataires de soins de santé, comme les prestataires de soins primaires, les médecins spécialistes ou les psychologues
• Les régimes d’assurance maladie, tels que les compagnies d’assurance maladie ou les organismes de maintien de la santé (HMO)
• Centres d’échange d’informations sur les soins de santé, qui comprennent des entités publiques ou privées qui traitent des informations de santé non standard
• Les associés commerciaux des entités couvertes qui les aident à mener à bien leurs activités et fonctions en matière de soins de santé, comme les transcripteurs médicaux ou les consultants

La responsabilité de protéger les informations médicales protégées incombe uniquement à ces entités, explique à Health Life Guide Michael S. Sinha, docteur en médecine, docteur en droit , titulaire d’une maîtrise en santé publique, professeur adjoint à la faculté de droit de l’université Northeastern et chercheur invité au centre de droit et de politique de santé de la NUSL. Si une entité n’est pas couverte par la loi HIPAA, elle n’est pas tenue de respecter ses normes de confidentialité.

Informations médicales protégées (PHI)

Les entités concernées collectent et utilisent régulièrement des informations sur la santé pour fournir des soins de santé. Ces dossiers sont protégés par la loi HIPAA, qui comprend :

• Informations personnelles, telles que votre nom, votre adresse, votre numéro de sécurité sociale, le numéro de bénéficiaire de votre régime d’assurance maladie, vos numéros de téléphone ou vos images photographiques
• Dossiers médicaux, notes de cas cliniques, résultats de tests, diagnostics ou ordonnances
• Informations sur l’assurance
• Systèmes de dossiers de gestion médicale tenus par ou pour un régime d’assurance maladie
• Registres de facturation et de paiement

« La loi HIPAA ne protège que certains types d’informations dans certains contextes de soins de santé, pas toutes les informations dans tous les contextes », explique Sinha. Les informations sur la vaccination et les cartes de vaccination peuvent être classées comme des PHI, mais demander le statut d’une personne n’entraîne pas automatiquement une violation de la loi HIPAA.

Est-ce une violation de la loi HIPAA de demander le statut vaccinal de quelqu’un ?

« Demander le statut [vaccinal] ne constitue pas en soi une violation de la loi HIPAA, car aucun PHI n’a été divulgué », explique à Health Life Guide Jonathan Ishee, JD, MPH, MS, LLM , professeur adjoint d’informatique biomédicale à l’Université du Texas. Une violation ne se produirait que si une entité couverte divulguait des PHI à une personne non autorisée sans votre consentement.

N’importe qui peut demander à votre prestataire de soins de santé votre statut vaccinal, mais cela ne constituerait une infraction que s’il le divulguait sans autorisation. Lorsque des entités non couvertes, comme votre famille ou vos amis, vous posent directement des questions sur votre statut, cela ne constitue pas une infraction. Vous êtes également autorisé à divulguer ces informations vous-même.

« Les Américains pensent souvent que la règle de confidentialité HIPAA protège la confidentialité de leurs données de santé dans de nombreux contextes où elle ne s’applique pas », explique Hodge. « Si vous informez votre voisin de votre statut vaccinal contre la COVID-19, la règle ne s’applique pas. Si vous en informez votre employeur, la règle ne s’applique pas directement. »

Un autre point à retenir est que la loi HIPAA n’empêche pas les entreprises, les sociétés, les écoles ou les compagnies aériennes de demander si vous avez été vacciné ou non. S’ils vous demandent votre statut vaccinal avant de vous autoriser à entrer dans un établissement, à assister à des cours ou à venir travailler en personne, ou même à réserver un vol, ce n’est pas une infraction. C’est toujours à vous de décider si vous souhaitez partager ces informations.

« Les employeurs sont en droit de demander aux employés s’ils sont vaccinés ou d’exiger une preuve de vaccination comme condition de maintien dans l’emploi », explique Sinha. « De même, les universités et les collèges peuvent exiger une preuve de vaccination pour les professeurs, le personnel et les étudiants. Cela signifie qu’une personne peut perdre son emploi ou renoncer à son admission à l’université si elle refuse de divulguer son statut vaccinal. La loi HIPAA n’a aucun rôle à jouer dans cet échange d’informations. »

Dans quelles circonstances y aura-t-il une violation de la loi HIPAA ?

Il n’y aurait violation de la loi HIPAA que si une entité couverte divulguait le statut vaccinal d’une personne à une entité non couverte sans son autorisation. Par exemple, un prestataire de soins de santé n’est pas autorisé à révéler le statut vaccinal d’une personne à son employeur sans son consentement.

« Si un médecin informe les médias du statut vaccinal de son patient célèbre contre la COVID-19, sans l’autorisation écrite de ce dernier, il y a probablement eu violation », explique Hodge. « Si un site Web de média fournit les mêmes informations sur une célébrité, aucune violation de la règle de confidentialité HIPAA n’a eu lieu car le site Web de média n’est pas une « entité couverte » par la règle. Le site peut avoir violé d’autres normes de confidentialité, qu’elles soient statutaires, réglementaires ou imposées par la justice, mais pas la règle de confidentialité elle-même. »

Dans certaines situations qui profitent au bien public, telles que les procédures judiciaires et administratives, les fonctions gouvernementales essentielles ou les activités de santé publique, les entités couvertes peuvent utiliser ou divulguer des PHI à une entité non couverte sans autorisation. Si elles partagent le statut vaccinal d’une personne avec une personne non autorisée (un ami, un voisin ou un collègue) en dehors de ces divulgations autorisées, il s’agit probablement d’une violation de la loi HIPAA.

« Bien que la règle de confidentialité HIPAA fournisse un socle solide de protections de la confidentialité dans les milieux de soins de santé, elle ne fournit pas de protections de confidentialité à toute épreuve en dehors de ces milieux spécifiques », explique Hodge.

Pendant cette pandémie de COVID-19, il est compréhensible que vous ressentiez le besoin de protéger votre vie privée et vos informations de santé. Cependant, gardez à l’esprit que la loi HIPAA n’empêche personne de vous demander votre statut vaccinal, car elle ne viole pas la confidentialité médicale ni les droits individuels. Vous pouvez toujours refuser de divulguer votre statut vaccinal.

« La loi HIPAA n’est pas une mesure que l’on peut invoquer pour se protéger si un employeur ou une école demande des informations sur le statut vaccinal », explique Sinha. « C’est un mot à la mode, pratique et souvent mal orthographié, mais il n’a aucune pertinence dans ce contexte. »

Les informations contenues dans cet article sont à jour à la date indiquée, ce qui signifie que des informations plus récentes peuvent être disponibles au moment où vous lisez ceci. Pour les mises à jour les plus récentes sur la COVID-19, visitez notre  page d’actualités sur le coronavirus .