Réponse courte : Le HIPAA (1996, avec les règles sur la confidentialité, la sécurité et la notification des violations) s'applique aux entités couvertes, aux régimes d'assurance maladie, aux centres de compensation de soins de santé et aux prestataires qui facturent électroniquement, ainsi qu'à leurs associés commerciaux ; il protège les informations de santé protégées qu'ils détiennent et précise quelles utilisations sont autorisées sans l'autorisation de la personne. Le RGPD (2016) s'applique à tout responsable du traitement ou sous-traitant traitant des données personnelles de personnes dans l'UE, les données de santé étant une catégorie spéciale ; il exige une base juridique pour chaque utilisation et accorde aux personnes des droits exécutoires. La différence pratique pour un produit : une application de santé grand public aux États-Unis est généralement hors du champ du HIPAA et réglementée par la FTC et les lois des États à la place ; la même application dans l'UE est soumise au RGPD dès le premier utilisateur. Un produit servant les deux doit être conçu pour la portée du RGPD et les garanties prescriptives du HIPAA simultanément.
Côte à côte
Côté à côte, la HIPAA réglemente les entités couvertes et les associés commerciaux américains qui traitent des informations de santé protégées, tandis que le RGPD réglemente tout responsable de traitement ou sous-traitant des données des résidents de l'UE. La HIPAA autorise les utilisations pour le traitement, le paiement et les opérations sans autorisation et accorde 60 jours pour la notification de violation ; le RGPD exige une base juridique pour chaque finalité, accorde l'effacement et la portabilité, et accorde 72 heures.
| HIPAA (US) | RGPD (UE) | |
|---|---|---|
| Qui est réglementé | Entités couvertes et associés commerciaux | Tout responsable du traitement ou sous-traitant de données de résidents de l'UE, où qu'il soit |
| Quelles données | Informations de santé protégées (PHI) : données de santé identifiables détenues par une entité couverte | Toutes les données personnelles ; les données de santé sont une catégorie spéciale (Article 9) |
| Applications de santé grand public | Hors du champ du HIPAA, sauf si elles agissent pour le compte d'une entité couverte ; la loi FTC, la règle FTC sur la notification des violations de la santé, les lois des États s'appliquent | Soumises au RGPD ; le consentement explicite est la base habituelle |
| Base juridique pour l'utilisation | Utilisations autorisées sans autorisation : traitement, paiement, opérations, plus les exceptions listées ; autorisation sinon | Une base de l'article 6 et une exception de l'article 9(2) pour chaque finalité |
| Minimum nécessaire / minimisation | Norme du minimum nécessaire | Principe de minimisation des données (Article 5) |
| Droits individuels | Accès (30 jours), modification, comptabilité des divulgations, restrictions | Accès (1 mois), rectification, effacement, portabilité, opposition, restriction, retrait du consentement |
| Désidentification | Safe Harbor (18 identifiants) ou détermination par un expert | Anonymisation (ne sont plus des données personnelles) vs pseudonymisation (sont toujours des données personnelles) |
| Sécurité | Règle de sécurité : garanties administratives, physiques, techniques ; analyse des risques ; spécifications adressables vs requises | Article 32 : mesures appropriées au risque ; pas de liste fixe |
| Notification des violations | Individus et HHS dans les 60 jours suivant la découverte (médias si 500+ dans un État) ; journal annuel pour les violations mineures | Autorité dans les 72 heures ; individus sans délai indu en cas de risque élevé |
| Contrats | Accord d'associé commercial (BAA) | Contrat de sous-traitant (Article 28) |
| Rôles de supervision | Responsable de la confidentialité et responsable de la sécurité | Délégué à la protection des données lorsque requis (Article 37) |
| Évaluation d'impact | Analyse des risques dans le cadre de la règle de sécurité | DPIA dans le cadre de l'article 35 |
| Transfert international | Aucune restriction dans le HIPAA lui-même | Chapitre V : adéquation, SCC, Cadre de protection des données UE-États-Unis |
| Application | Bureau des droits civils du HHS ; procureurs généraux des États | Autorités nationales de protection des données ; EDPB |
| Amendes | Sanctions civiles échelonnées, ajustées à l'inflation, environ jusqu'à 2 millions de dollars par disposition par an ; sanctions pénales | Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial |
La différence de portée, en pratique
En pratique, la HIPAA s'applique à une application de santé uniquement lorsqu'elle agit pour une entité couverte, en tant qu'associé commercial sous un BAA ; une application grand public qu'un patient choisit est en dehors de la HIPAA et réglementée par la FTC et les lois des États. Dans l'UE, la même application est un responsable de traitement RGPD dès le premier utilisateur.
Un hôpital américain utilisant une plateforme FHIR cloud : l'hôpital est une entité couverte, la plateforme un associé commercial dans le cadre d'un BAA, tous deux soumis au HIPAA. Un consommateur américain téléchargeant ses propres rapports de laboratoire dans une application : le HIPAA ne s'applique pas à l'application ; la FTC s'applique (pratiques trompeuses, et la règle FTC sur la notification des violations de la santé, mise à jour en 2024 pour couvrir explicitement les applications de santé), tout comme les lois des États telles que le My Health My Data Act de l'État de Washington (2023), qui exige un consentement pour la collecte de données de santé des consommateurs et interdit le géorepérage autour des installations de santé, ainsi que les dispositions relatives à la santé du CPRA de Californie, des lois du Nevada et du Connecticut. Un patient dans l'UE faisant de même : l'application est un responsable du traitement dans le cadre du RGPD avec des obligations de l'article 9 dès le premier jour. Voir Article 9 du RGPD pour les données de santé.
La différence de base juridique
La HIPAA et le RGPD partent de points opposés sur la base juridique. La HIPAA autorise les entités couvertes à utiliser les informations de santé protégées pour le traitement, le paiement et les opérations de soins de santé sans autorisation, exigeant une autorisation écrite pour d'autres utilisations. Le RGPD interdit le traitement des données de santé à moins qu'une exception de l'article 9(2) ne s'applique, donc rien n'est autorisé par défaut et le consentement doit être explicite, spécifique et révocable.
Le HIPAA part des utilisations autorisées : une entité couverte peut utiliser et divulguer des PHI pour le traitement, le paiement et les opérations de soins de santé sans demander, et pour une liste de finalités d'intérêt public ; tout le reste nécessite une autorisation écrite. Le RGPD part d'une interdiction (pour les données de santé) avec des exceptions ; rien n'est autorisé "par défaut", et le consentement, lorsqu'il est utilisé, doit être explicite, spécifique et révocable. L'instinct d'une équipe de produit américaine selon lequel les "opérations" couvrent l'analytique ne se transfère pas ; dans l'UE, l'analytique sur les données de santé nécessite un consentement ou une anonymisation.
La différence de droits
Concernant les droits individuels, la HIPAA et le RGPD accordent tous deux l'accès et la correction, mais le RGPD ajoute l'effacement, la portabilité dans un format lisible par machine, l'objection et le droit de retirer son consentement, ce qui manque à la HIPAA en tant que tel. Un produit conçu pour les droits du RGPD, avec exportation, suppression et révocation dans le produit, satisfait aux droits d'accès de la HIPAA avec marge.
Les règles de la loi Cures sur le blocage de l'information et le droit d'accès aux informations de santé électroniques protégées (PHI) via les API rapprochent les patients américains de la portabilité.
Sécurité et violations
La règle de sécurité de la HIPAA est prescriptive, avec une analyse de risque requise, des garanties administratives, physiques et techniques nommées, des politiques, une formation et des contrôles d'audit ; l'article 32 du RGPD est basé sur les résultats, demandant des mesures appropriées au risque, généralement démontrées par ISO 27001. Les délais de notification de violation diffèrent nettement : 60 jours aux individus et au HHS sous la HIPAA, 72 heures à l'autorité sous le RGPD.
La règle de sécurité du HIPAA est prescriptive : une analyse des risques, des garanties nommées, des politiques, une formation, des contrôles d'audit et une mise à jour proposée pour 2025 qui rendrait le chiffrement et l'authentification multifacteur obligatoires plutôt qu'adressables. L'article 32 du RGPD est basé sur les résultats : approprié au risque, avec le chiffrement et la pseudonymisation nommés comme exemples ; l'ISO 27001 est la manière habituelle de le démontrer. Les délais de notification des violations diffèrent nettement : 60 jours aux individus et au HHS dans le cadre du HIPAA, 72 heures à l'autorité dans le cadre du RGPD. Un plan d'intervention conjoint utilise le délai le plus court. Voir ISO 27001 vs ISO 27799.
Désidentification
Le Safe Harbor du HIPAA supprime 18 identifiants listés et les données ne sont plus des PHI ; la détermination par un expert certifie un risque de ré-identification très faible. Le RGPD n'a pas de liste : les données ne sont anonymes que si personne ne peut raisonnablement les ré-identifier, et les données pseudonymisées restent des données personnelles. Le résultat du Safe Harbor n'atteint souvent pas le niveau du RGPD, en particulier avec les dates et les conditions rares. Voir Désidentification des données de santé.
Construire pour les deux
Un produit desservant à la fois les États-Unis et l'UE est mieux conçu d'abord selon le RGPD (consentement par finalité, droits dans le produit, DPIA, plan d'intervention en cas de violation sous 72 heures, option d'hébergement UE) avec les artefacts prescriptifs de la HIPAA superposés : un document d'analyse de risque, un modèle de BAA, des politiques de la règle de sécurité, une procédure de violation sous 60 jours et des enregistrements de formation du personnel.
Concevoir selon le RGPD (consentement par finalité, droits dans le produit, DPIA, plan d'intervention de 72 heures, option d'hébergement dans l'UE) et superposer les artefacts prescriptifs du HIPAA (document d'analyse des risques, modèle de BAA, ensemble de politiques de la règle de sécurité, procédure de violation de 60 jours, enregistrements de formation du personnel). Conserver les données américaines et européennes dans des régions séparables, car les transferts RGPD et certaines lois des États américains se soucient de la localisation. Anpheros est construit de cette manière : RGPD d'abord en tant qu'entreprise européenne, avec la plateforme capable d'opérer en tant qu'associé commercial sous un BAA pour les clients américains. Le site développeur documente le RGPD pour les développeurs et la sécurité.
Cette page explique la réglementation pour les équipes produit et ingénierie. Il ne s'agit pas d'un avis juridique ; les textes liés sous Sources font autorité, et votre délégué à la protection des données, organisme notifié ou conseiller décide pour votre cas. Dernière révision : Octobre 2026.
Pages connexes
- Article 9 du RGPD pour les données de santé
- Désidentification des données de santé
- ISO 27001 vs ISO 27799
- TEFCA et QHIN expliqués
- Carte de la réglementation des données de santé
- RGPD pour les développeurs (site développeur)
Sources
- HHS : HIPAA pour les professionnels (Règles sur la confidentialité, la sécurité, la notification des violations)
- HHS : Règle de notification des violations
- FTC Health Breach Notification Rule (16 CFR Part 318)
- État de Washington : My Health My Data Act (HB 1155)
- Règlement (UE) 2016/679 (RGPD), EUR-Lex
- Commission européenne : Cadre de protection des données UE-États-Unis
Questions fréquentes
Une application conforme au HIPAA est-elle automatiquement conforme au RGPD ?
Non. La conformité au HIPAA ne dit rien sur la base juridique, la qualité du consentement, l'effacement, la portabilité, les DPIA, les DPO ou les transferts. Elle couvre un sous-ensemble des attentes de sécurité du RGPD et un régime de violation différent.
Le HIPAA s'applique-t-il à mon application si un médecin la recommande ?
Pas en soi. Le HIPAA s'applique si l'application agit pour le compte d'une entité couverte dans le cadre d'un accord d'associé commercial (par exemple, intégrée dans le flux de travail de la clinique à la demande de la clinique). Une application que le patient choisit et contrôle est hors du champ du HIPAA, et sous les règles de la FTC et des États.
Quel délai de notification de violation dois-je suivre pour un incident conjoint UE-États-Unis ?
Les deux : 72 heures à l'autorité européenne pour les données des résidents européens, 60 jours aux individus et au HHS pour les PHI, plus les délais de chaque État (souvent 30 à 60 jours) et les 60 jours de la règle FTC pour les applications de santé grand public. Les plans d'intervention sont rédigés selon le délai le plus court.
Les données de santé européennes peuvent-elles être traitées aux États-Unis ?
Oui, avec un outil de transfert du chapitre V : le Cadre de protection des données UE-États-Unis pour les entreprises certifiées, ou des clauses contractuelles types avec une évaluation d'impact du transfert. De nombreux clients européens exigent néanmoins l'hébergement dans l'UE comme condition contractuelle.
Essayez gratuitement dans le sandbox
Votre premier appel FHIR en 5 minutes. Une API HL7 FHIR R4 avec le consentement du patient intégré : essayez-la dans le bac à sable, puis connectez votre propre application ou système de clinique.
Gratuit · 30 patients synthétiques · sans carte
Anpheros développe un dossier médical que le patient contrôle et peut partager avec n'importe quelle clinique, sur une plateforme HL7 FHIR R4, basée en UE. Ces guides vous aident à comprendre et organiser votre santé ; ils ne remplacent pas votre médecin.
À propos d'Anpheros →