Articles

Under the European Union’s Charter of Fundamental Rights and the E-Privacy Directive 2002/58/EC, privacy is considered a constitutional right.

In May 2016, the European Parliament and the Council formally adopted the General Data Protection Regulation (‘GDPR’). The GDPR entered into force on the 24th May 2016. Now law, there will be a two-year implementation period before the GDPR comes into effect, and businesses will need to comply with its provisions as of May 25, 2018.

The EU had a comprehensive privacy protection ruling starting with The Data Protection Directive (1995) and The Internet Privacy Law of 2002. It was shared by every Member State. 

Certain EU countries have their own privacy laws, which can be more or less restrictive than the EU regulations.

Within the EU, a part France, Germany is considered the strictest about privacy regulations.  Germany’s Bundesdatenschutzgesetz (BDSG), Germany’s federal data protection act, was revised in 2009 to be in alignment with new digital data protection and security practices.  Germany’s 16 states are required to establish a state-run Data Protection Authority as well as operate under state data protection laws and privacy policies.

Still, the EU laws and the GDPR go further than the US privacy laws, but in many ways are not comparable to HIPAA privacy legislation.

The EU privacy protections are far more wide-ranging than those in the United States.  They were developed to protect privacy across all areas, while many privacy laws in the U.S. were a response to a certain industry’s bad practices. In the U.S.  some privacy legislation in some states is more protective than others.

HIPAA was a complicated reworking of healthcare insurance regulations with a focus on allowing employees to transfer (make portable) their employer-granted health insurance from one job to another. This is why it was called “The Health Insurance Portability and Accountability Act of 1996.” Before this, if you lost your job, something that happens frequently in the U.S., you lost your family’s healthcare insurance coverage. The privacy laws about how healthcare data would be handled were an add-in to the regulation, not the primary focus. 

Moreover, there are U.S. laws at the federal level governing all 50 states and some states also have additional strict privacy laws like the California Online Privacy Protection Act. 

Le Parlement et le Conseil européen ont formellement adopté en mai 2016 le Règlement général de protection des données (GDPR). Le GDPR est entré en vigueur le 24 mai 2016. Les entreprises devront se conformer à ses dispositions à compter du 25 mai 2018.

Selon la Charte des Droits Fondamentaux de l’Union européenne et la Directive 2002/58/EC portant sur la protection de la vie privée en ligne, la protection des données est considérée comme un droit constitutionnel eu sein de l’Union.

Les lois sur la protection des données aux États-Unis ne sont pas tout à fait comparables à la législation de l’HIPAA en vigueur aux États-Unis.

Comparaison entre les modèles américain et européen

• Certains pays de l’Union européenne ont leur propre législation pouvant être plus ou moins stricte que celle de l’UE.
• L’Allemagne est considérée comme la plus stricte en termes de protection des données. La loi fédérale sur la protection de données allemande (Bundesdatenschutzgesetz) a été révisée en 2009 afin d’être alignée avec la nouvelle protection des données numériques et les pratiques de sécurité. Les 16 Länder allemands doivent mettre en place une Autorité de Protection des Données publique et respecter la législation fédérale de protection des données et des politiques de confidentialité.
• Les  lois concernant la protection de la vie privée de l’UE sont beaucoup plus larges que celles des États-Unis. Elles ont été faites pour protéger la vie privée dans tous les domaines, tandis que de nombreuses lois sur la vie privée aux États-Unis sont une réponse à certaines mauvaises pratiques industrielles. Aux États-Unis, la législation concernant la vie privée varie selon les états et peut être plus ou moins coercitive.
• L’HIPAA est issu d’un remaniement complexe de la réglementation des assurances santé permettant aux employés de transférer  leur assurance santé d’un emploi à un autre. C’est la raison pour laquelle elle a été appelée « Loi de 1996 portant sur l’assurance santé portabilité et la responsabilité». Avant cela, la perte d’un emploi entraînait la perte de la couverture santé. Les lois de confidentialité des données de santé ne sont qu’une partie de la réglementation et non son objectif principal.
• Des lois fédérales américaines s’imposent aux 50 états, et certains états ont de surcroît leur propre loi comme, par exemple, la Californie avec « Online Privacy Protection Act ».

Aux Etats-Unis, la protection des données et des informations de santé (« health care privacy and protected health information –PHI ») est régie par un décret connu sous l’acronyme de HIPAA (« The Health Insurance Portability and Accountability Act of 1996 »).

L’HIPAA est une loi américaine qui régule la protection des données de santé. Le ministère de la Santé américain (« The U.S. Department of Health & Human Services – HHS ») a publié en 1996 le décret HIPAA qui décrit en trois protocoles distincts (« Privacy, Security, and Breach Notification Rules”) comment les données privées des patients doivent être traitées.

Comment fonctionne l’HIPAA?

• La règle sur la protection définit quand et comment les données de santé personnelles (PHI) peuvent être utilisées ou publiées.
• La règle sur la sécurité définit un cadre afin que seuls ceux qui ont accès aux Informations Electroniques de Santé Protégées (ePHI) puissent les utiliser. Elle est elle-même divisée en trois parties décrivant les procédures requises relatives aux mécanismes de protection, aux protections physiques et aux protections administratives liées au traitement des données.
• La règle sur la « notification de violation » détaille comment les entités couvertes par l’HIPAA doivent prévenir le HHS, les personnes et dans certains cas les médias s’il y a une violation des données.
• Une loi supplémentaire appelé l’HITECH Act (the Health Information Technology for Economic and Clinical Health Act) a été signé en 2009. Elle établit les pénalités liées à la violation des règles de confidentialité et de sécurité instaurées par l’HIPAA.
• En 2013, l’HIPAA a été mise à jour via un décret connu sous le nom de « Final Omnibus Rule”. Il apporte des modifications aux règles de sécurité et aux sections de notification de violation de la loi HITECH.
• Toute entreprise de l’e-santé doit avant tout déterminer si elle est soumise à l’HIPAA. Pour cela, il faut se connecter au site internet de l’U.S. Department of Health & Human Services ou consulter un expert sur le sujet.
• Lors du lancement d’une application « bien-être », la conformité à l’HIPAA n’est pas obligatoire. Les entreprises de la e-santé qui n’utilisent pas des PHI (Protected Health Information) comme les dossiers médicaux ou les dates de rendez-vous ne sont pas tenues de se conformer aux lois HIPAA.
• Ces sociétés sont néanmoins soumises aux règles de régulation de la FTC (US Federal Trade Commission) relatives aux pratiques commerciales frauduleuses ou déloyales.
• De lourdes amendes peuvent sanctionner les entreprises qui enfreignent la règlementation HIPAA. Elles peuvent aller de 90€ à 227 000€ et prévoir plus de 10 ans d’emprisonnement.
• Dans les entreprises, les “Chief Privacy Officer” ou “Data Protection Officer” sont en charge de la conformité avec la réglementation HIPAA. Beaucoup de petites entreprises choisissent d’externaliser leur mise en conformité auprès de sociétés spécialisées.