Remarque
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Vue d’ensemble de l’HIPAA et de la loi HITECH
La loi américaine sur la portabilité et la responsabilité en matière d’assurance maladie de 1996 (HIPAA) et les réglementations émises en vertu de la loi HIPAA constituent un ensemble de lois américaines sur les soins de santé qui établissent des exigences relatives à l’utilisation, à la divulgation et à la protection des informations de santé identifiables individuellement. Le champ d’application de l’HIPAA a été étendu avec la promulgation de la loi HITECH (Health Information Technology for Economic and Clinical Health) en 2009.
La loi HIPAA s’applique aux entités couvertes (en particulier, les prestataires de soins de santé, les régimes de santé et les centres d’information en matière de soins de santé) qui créent, reçoivent, conservent, transmettent ou accèdent aux informations de santé protégées (PHI) des patients. La loi HIPAA s’applique également aux partenaires commerciaux des entités couvertes qui exercent certaines fonctions ou activités impliquant des RPS dans le cadre de la fourniture de services à l’entité visée ou pour le compte de l’entité couverte.
Lorsqu’une entité couverte fait appel aux services d’un fournisseur de services cloud, tel que Microsoft, le fournisseur de services cloud est un partenaire commercial au sens de la loi HIPAA. De plus, lorsqu’un partenaire commercial sous-traite à un fournisseur de services cloud pour créer, recevoir, maintenir ou transmettre des PHI, le fournisseur de services cloud devient également un partenaire commercial.
Microsoft, HIPAA et HITECH Act
La réglementation HIPAA exige que les entités couvertes (définies dans les règles) concluent des accords avec les partenaires commerciaux pour s’assurer que les RPS sont protégés de manière adéquate. Cet accord est appelé un accord de partenariat commercial. Entre autres choses, un accord de partenariat établit les utilisations et les divulgations autorisées et requises des RPS par le partenaire commercial, en fonction de la relation entre les parties et des activités ou services effectués par le partenaire commercial. Pour aider nos clients à se conformer à la loi américaine HIPAA lorsqu’ils utilisent des produits et services d’entreprise Microsoft, Microsoft conclut des accords de partenariat commercial avec ses clients associés et entités couverts.
Il n’existe actuellement aucune norme de certification approuvée par le ministère de la Santé et des Services sociaux pour démontrer la conformité à l’HIPAA ou à la loi HITECH par un partenaire commercial. Toutefois, Microsoft permet aux clients de se conformer à la loi HIPAA et à la loi HITECH et respecte les exigences des règles de sécurité de la loi HIPAA en sa qualité de partenaire commercial. En outre, Microsoft conclut des accords de partenariat commercial avec ses clients associés et entités couvertes afin de les aider à se conformer aux obligations HIPAA.
Certifications tierces
Les services Microsoft couverts par le BAA sont soumis à des audits menés par des auditeurs indépendants accrédités pour la certification Microsoft ISO/IEC 27001 et la certification HITRUST Common Security Framework (CSF).
Les services cloud d’entreprise Microsoft sont également couverts par les évaluations FedRAMP. Microsoft Azure et Microsoft Azure Government ont reçu une autorisation provisoire d’opérer du Conseil d’autorisation conjoint FedRAMP ; Microsoft Dynamics 365 gouvernement des États-Unis a reçu une autorisation d’agence pour opérer du ministère américain du logement et du développement urbain, tout comme Microsoft Office 365 gouvernement américain du ministère américain de la santé et des services sociaux.
Pour savoir comment le cloud Microsoft aide les clients à prendre en charge HIPAA et les exigences HITECH, consultez les témoignages clients Microsoft.
Services et plateformes cloud intégrés à Microsoft
- Azure et Azure Government
- Azure DevOps Services
- Dynamics 365 et Dynamics 365 U.S. Governement
- Microsoft Intune
- Microsoft Copilot pour la sécurité
- Microsoft Defender for Cloud Apps
- Experts Microsoft Defender pour le repérage
- Spécialistes de Microsoft Defender pour XDR
- Microsoft Healthcare Bot Service
- Bureau géré Microsoft
- Services professionnels Microsoft : Premier et local pour Azure, Dynamics 365, Microsoft Intune, ainsi que pour les moyennes et grandes entreprises clientes de Microsoft 365 pour les entreprises
- Office 365, Office 365 pour le gouvernement américain
- Service cloud Power Automate en tant que service autonome ou inclus dans un plan ou une suite de marque Office 365 ou Dynamics 365
- Service cloud Power Apps en tant que service autonome ou inclus dans un plan ou une suite de marque Office 365 ou Dynamics 365
- Service cloud Power BI en tant que service autonome ou inclus dans une suite ou un plan de marque Office 365 ou Dynamics 365
- Windows 365
Azure, Dynamics 365 et HIPAA
Pour plus d’informations sur la conformité d’Azure, de Dynamics 365 et d’autres services en ligne, consultez l’offre HIPAA d’Azure.
Office 365 et HIPAA
Environnements Office 365
Microsoft Office 365 est une plateforme cloud hyperscale mutualisée et une expérience intégrée d’applications et de services disponibles pour les clients de plusieurs régions du monde. La plupart des services Office 365 permettent aux clients de spécifier la région où se trouvent leurs données client. Microsoft peut répliquer des données client vers d’autres régions au sein de la même zone géographique (par exemple, les États-Unis) pour la résilience des données, mais Microsoft ne répliquera pas les données client en dehors de la zone géographique choisie.
Cette section couvre les environnements Office 365 suivants :
- Logiciel client (client): logiciel client commercial en cours d’exécution sur les appareils clients.
- Office 365 (commercial) : service cloud Office 365 public commercial disponible dans le monde entier.
- Cloud de la communauté du secteur public Office 365 (GCC) : le Service cloud Office 365 GCC est disponible pour le gouvernement fédéral, d’état, local et tribaux des États-Unis, et pour les sous-traitants qui détiennent ou traitent des données pour le compte du gouvernement des États-Unis.
- Cloud de la communauté du secteur public Office 365 - Haut (GCC High): le Service cloud Office 365 GCC High est conçu conformément aux instructions des exigences de contrôle de sécurité de niveau 4 du Ministère de la défense (DoD) et prend en charge les informations fédérales et de défense strictement réglementées. Cet environnement est utilisé par les agences fédérales, la Base industrielle de défense (DIB) et les sous-traitants du secteur public.
- Office 365 DoD (DoD): le Service cloud Office 365 DoD est conçu conformément aux contrôles de niveau 5 des directives de sécurité et prend en charge des réglementations fédérales et de défense strictes. Cet environnement est destiné à une utilisation exclusive par le département de la Défense des États-Unis.
Utilisez cette section pour vous aider à respecter vos obligations de conformité entre les secteurs réglementés et les marchés mondiaux. Pour savoir quels services sont disponibles dans quelles régions, consultez l’articleInformations sur la disponibilité internationale etOù vos données client Microsoft 365 sont stockées. Pour plus d’informations sur l’environnement cloud Office 365 Secteur public, consultez l’article Environnement cloud pour le secteur public Office 365 .
Votre organisation est entièrement responsable de la conformité avec toutes les lois et réglementations applicables. Les informations fournies dans cette section ne constituent pas des conseils juridiques et vous devez consulter des conseillers juridiques pour toute question concernant la conformité réglementaire de votre organisation.
L’applicabilité d’Office 365 et des services dans l’étendue
Utilisez le tableau suivant pour déterminer l’applicabilité de vos services et abonnements Office 365 :
| l’applicabilité | Les Services dans l’étendue |
|---|---|
| Commerciale | Access Online, Azure Communications Service, Gestionnaire de conformité, Customer Lockbox, Delve, Exchange Online, Forms, Griffin, Identity Manager, Lockbox (Torus), Microsoft Copilot, Microsoft Copilot Chat, Microsoft Defender pour Office 365, Microsoft Entra ID, portail Microsoft Purview, Microsoft Teams, MyAnalytics, module complémentaire Conformité avancée Office 365, Portail Clients d’Office 365, Office 365 Microservices (y compris, mais sans s’y limiter, ObjectStore, Sway, Power Automate, PowerPoint Online Document Service, Query Annotation Service, School Synchronisation des données, Siphon, Speech, eXtensible Application Program), Office Online, Office Pro Plus, Office Services Infrastructure, OneDrive Entreprise, Planner, Power Apps, Power BI, Project Online, Chiffrement du service avec clé client Microsoft Purview, SharePoint Online, Stream |
| GCC | Azure Communications Service, Gestionnaire de conformité, Delve, Exchange Online, Forms, Microsoft Copilot, Microsoft Copilot Chat, Microsoft Defender pour Office 365, Microsoft Entra ID, portail Microsoft Purview, Microsoft Teams, MyAnalytics, module complémentaire Conformité avancée Office 365, Office Online, Office Pro Plus, OneDrive Entreprise, Planificateur, Power Apps, Power Automate, Power BI, SharePoint Online, Stream |
Foire aux questions
Mon organisation peut-elle conclure un accord d’association commerciale Microsoft avec lui ?
Oui. Microsoft offre à ses clients associés et entités couverts un contrat de partenariat commercial qui couvre les services Microsoft intégrés.
Le contrat de partenariat commercial Microsoft HIPAA est disponible par défaut via l’addendum de protection des données Microsoft Online Services pour tous les clients qui sont des entités couvertes ou des partenaires commerciaux en vertu de la loi HIPAA. Consultez la section « Services cloud intégrés à Microsoft » sur cette page web pour obtenir la liste des services cloud couverts par ce BAA.
L’accord de partenariat commercial HIPAA est également disponible pour les services professionnels Microsoft dans le champ d’application. Pour plus d’informations, contactez votre représentant des services Microsoft.
Le fait d’avoir un contrat de partenariat commercial avec Microsoft garantit-il la conformité de mon organisation avec HIPAA et la loi HITECH ?
Non. En proposant un contrat de partenariat commercial, Microsoft vous aide à vous conformer aux lois HIPAA. Toutefois, l’utilisation des services Microsoft ne permet pas à lui seul d’atteindre la conformité HIPAA. Votre organisation est chargée de s’assurer que vous disposez d’un programme de conformité et de processus internes adéquats, et que votre utilisation particulière des services Microsoft est conforme à vos obligations en vertu de la loi HIPAA et de la loi HITECH.
Microsoft peut-il utiliser le contrat de partenariat commercial de mon organisation ?
Non, Microsoft ne peut pas utiliser le contrat de partenariat commercial d’un client. Parce que nous offrons des services multi-locataires hyperscale standardisés pour tous nos clients, nous devons fonctionner de manière cohérente. Le contrat de partenariat commercial Microsoft HIPAA reflète étroitement notre mode de fonctionnement. Par conséquent, afin de répondre aux besoins du secteur de la santé, Microsoft a collaboré avec un consortium de centres médicaux universitaires et d’autres entités des secteurs public et privé dans le domaine de la santé pour créer un accord de partenariat commercial qui s’aligne sur nos offres de services à grande échelle et répond aux besoins des clients.
Comment puis-je obtenir des copies des rapports d’audit de tiers ?
Le portail d’approbation de services fournit des rapports de conformité audités indépendamment. Vous pouvez utiliser le portail pour demander des rapports d’audit afin que vos auditeurs puissent comparer les résultats des services cloud de Microsoft avec vos propres exigences légales et réglementaires. Les clients Azure peuvent également récupérer des certificats Azure et des rapports d’audit dans le portail Azure via le panneau Rapports d’audit dans Microsoft Defender pour le cloud.
Comment puis-je en savoir plus sur la manière dont Microsoft prend en charge la conformité avec HIPAA et la loi HITECH ?
Pour aider les clients dans cette tâche, Microsoft a publié les conseils suivants :
- Les conseils sur la mise en œuvre de la loi HIPAA/HITECH sur Azure pour les responsables de la confidentialité, de la sécurité et de la conformité et les autres responsables de la mise en œuvre de la loi HIPAA et HITECH, décrivent les mesures concrètes que votre organisation peut prendre pour maintenir la conformité.
Utiliser le Gestionnaire de conformité Microsoft Purview pour évaluer vos risques
Le gestionnaire de conformité Microsoft Purview est une fonctionnalité du portail Microsoft Purview qui vous aide à comprendre le statut de conformité de votre organisation et à prendre des mesures pour réduire les risques. Le Gestionnaire de Conformité offre un modèle Premium pour la création d’une évaluation de ce règlement. Recherchez le modèle sur la page modèles d’évaluation dans le Gestionnaire de Conformité. Découvrez comment créer des évaluations dans le Gestionnaire de Conformité.