Oui, avec des mesures de protection raisonnables. Voici ce que prévoient la règle de confidentialité (Privacy Rule) et la règle de sécurité (Security Rule) de la HIPAA au sujet des communications électroniques.
La règle de confidentialité
La règle de confidentialité permet aux fournisseurs de soins de santé visés de communiquer avec leurs patients par voie électronique, par exemple par courriel, à condition d'appliquer des mesures de protection raisonnables. Voir 45 CFR § 164.530(c).
Par exemple, prenez des précautions lorsque vous utilisez le courriel pour éviter toute divulgation involontaire : vérifiez l'exactitude de l'adresse avant l'envoi, ou envoyez d'abord un courriel d'avis au patient pour confirmer son adresse.
La règle de sécurité
La règle de sécurité n'interdit pas expressément l'utilisation du courriel pour transmettre des e-PHI. Toutefois, les normes sur le contrôle d'accès (45 CFR § 164.312(a)), l'intégrité (45 CFR § 164.312(c)(1)) et la sécurité des transmissions (45 CFR § 164.312(e)(1)) exigent que les entités visées mettent en place des politiques et des procédures pour restreindre l'accès aux e-PHI, en protéger l'intégrité et empêcher tout accès non autorisé.
La norme sur la sécurité des transmissions (§ 164.312(e)) comprend aussi des spécifications adaptables sur les contrôles d'intégrité et le chiffrement. L'entité visée doit donc évaluer son utilisation des réseaux ouverts, déterminer les moyens disponibles et appropriés pour protéger les e-PHI en transit, choisir une solution et documenter sa décision. La règle de sécurité permet d'envoyer des e-PHI sur un réseau électronique ouvert, pourvu qu'ils soient adéquatement protégés.
Préférences de communication des patients
Selon la règle de confidentialité, une personne a le droit de demander à un fournisseur de soins de santé visé de communiquer avec elle par d'autres moyens ou à d'autres endroits, si la demande est raisonnable. Voir 45 CFR § 164.522(b).
Par exemple, un fournisseur devrait accepter d'envoyer les rappels de rendez-vous par courriel plutôt que par carte postale, si le courriel est une solution raisonnable. Toutefois, si le courriel non chiffré ne convient pas à un patient qui demande des communications confidentielles, offrez d'autres moyens, comme des méthodes électroniques plus sécurisées, la poste ou le téléphone.
Un patient peut entamer la communication avec un fournisseur par courriel. Dans ce cas, le fournisseur peut présumer (sauf indication contraire explicite du patient) que le courriel lui convient. Si le fournisseur pense que le patient ne connaît peut-être pas les risques du courriel non chiffré, ou s'il s'inquiète de sa responsabilité, il peut lui expliquer ces risques et le laisser décider de continuer ou non.
Questions
Pour toute autre question, communiquez avec notre équipe de soutien.