Privia Health

Ce qu'est Privia Health

Privia Health est un réseau de soins américain dont le portail patient myPrivia permet de prendre rendez vous, d'échanger avec l'équipe soignante, de consulter les résultats d'analyses et les dossiers médicaux, et de payer les factures en ligne. Le dossier clinique est géré sur la plateforme de dossiers de santé athenahealth, et toutes les données sont hébergées aux États-Unis. Comme le service traite des informations médicales, il manipule certaines des données personnelles les plus sensibles qui soient.

Données et cookies collectés

Le portail traite l'identité, les coordonnées, les données d'assurance, l'historique des rendez vous, les notes cliniques, les résultats d'analyses et les enregistrements de facturation. Des cookies de session maintiennent les patients connectés de manière sécurisée, tandis que le site marketing public peut charger des balises analytiques et publicitaires. Une vigilance particulière s'impose, car les traceurs placés sur des pages de santé authentifiées peuvent divulguer des informations de santé protégées à des tiers, un sujet qui a donné lieu à des actions réglementaires aux États-Unis.

Implications HIPAA et RGPD

Aux États-Unis, HIPAA et la loi HITECH régissent les informations de santé protégées et imposent des accords de sous-traitance avec des prestataires comme athenahealth. Si un patient se trouve dans l'EEE ou au Royaume-Uni, le RGPD s'applique également et traite les données de santé comme une catégorie particulière exigeant une protection renforcée. Sous le RGPD, la base habituelle est le consentement explicite au titre de l'article 9(2)(a), aux côtés du contrat ou du consentement pour les services du portail.

Consentement et transferts de données

Comme l'hébergement est aux États-Unis, tout accès par des patients de l'EEE ou du Royaume-Uni constitue un transfert vers un pays tiers dépourvu de décision d'adéquation, ce qui exige des clauses contractuelles types et des mesures techniques supplémentaires. Le consentement aux données de santé doit être explicite, éclairé et clairement séparé des conditions générales. Les patients doivent savoir qui peut consulter leurs dossiers, qu'athenahealth fait office de plateforme de dossiers et comment exercer leurs droits.

Étapes pratiques de conformité

Réalisez une AIPD, tenez les traceurs analytiques et publicitaires hors de toutes les pages authentifiées du portail, et auditez les balises sur les pages qui évoquent des services de santé. Maintenez des accords de sous-traitance, chiffrez les données en transit et au repos, et appliquez des contrôles d'accès stricts et des procédures de notification de violation. Pour les patients de l'EEE ou du Royaume-Uni, mettez en place des garanties de transfert et fournissez une information claire sur l'hébergement aux États-Unis.