HIPAA OCR : 725 violations, 275 millions de dossiers
Mis à jour pour 2026
Le HHS Office for Civil Rights (OCR) a recensé 725 violations de données de santé en 2024. Ces violations ont touché 275 millions de dossiers patients. C'est le total le plus élevé jamais enregistré en une seule année.
Le coût moyen d'une violation dans le secteur de la santé a atteint 10,22 millions de dollars en 2025. Ce chiffre provient du rapport IBM Cost of a Data Breach. Il inclut les amendes civiles, les frais juridiques, les notifications aux patients, la surveillance du crédit et les pertes de réputation.
2025 et 2026 sont des années charnières pour les entités couvertes et leurs partenaires commerciaux. Une mise à jour proposée de la règle de sécurité HIPAA (mars 2025) introduirait les exigences techniques les plus importantes depuis 2003.
Ce qui a causé 725 violations en 2024
Le portail OCR classe les violations de 2024 en quatre catégories.
Piratage et incidents informatiques ont causé 74 % des violations signalées. Les ransomwares, les attaques de serveurs et la fraude par e-mail sont les types les plus courants. Les attaquants ciblent désormais des réseaux entiers. Une seule attaque peut extraire des millions de dossiers d'un système EHR à la fois.
Accès non autorisé et divulgation ont causé 18 % des violations. Les mauvais contrôles d'accès, les abus internes et les envois au mauvais destinataire en font partie.
Incidents chez des tiers représentaient 35 % des violations de 2024. La violation a débuté chez un partenaire commercial — pas auprès de l'entité couverte elle-même. Change Healthcare (filiale d'UnitedHealth Group) à elle seule a exposé les données de plus de 190 millions de patients. C'est la plus grande violation de données de santé de l'histoire américaine.
Vol ou perte de supports amovibles a causé 8 % des violations. Ordinateurs portables, clés USB et documents papier — perdus ou volés sans chiffrement.
Les 18 catégories PHI selon la méthode Safe Harbor
La méthode Safe Harbor de HIPAA (45 CFR §164.514(b)) exige la suppression des 18 types de données de santé protégées (PHI). La plupart des équipes connaissent la liste. La difficulté réside dans la détection automatisée à grande échelle.
- Noms — patients, membres de la famille, employeurs
- Données géographiques — toute zone inférieure à l'État
- Dates — admission, sortie, naissance, décès (l'année peut rester)
- Numéros de téléphone
- Numéros de fax
- Adresses e-mail
- Numéros de sécurité sociale
- Numéros de dossier médical (format variable selon le système EHR)
- Numéros de bénéficiaire d'assurance maladie
- Numéros de compte
- Numéros de certificat et de licence — licence médicale, DEA, état
- Identifiants de véhicules — VINs et plaques d'immatriculation
- Identifiants d'appareils — numéros de série et codes uniques
- URLs web
- Adresses IP
- Données biométriques — empreintes digitales et voix
- Photos plein visage et images comparables
- Tout autre identifiant, code ou caractéristique unique
La catégorie 18 est la plus difficile à détecter. Tout code reliant un dossier à une personne spécifique doit être supprimé — même sans modèle prédéfini.
Pour un guide pratique sur la suppression des 18 types dans les dossiers cliniques, voir De-identification HIPAA Safe Harbor pour la recherche en santé.
Cinq nouvelles exigences dans la mise à jour proposée
La mise à jour proposée de la règle de sécurité HIPAA (mars 2025) ajoute cinq obligations.
Audits de chiffrement annuels. Les entités couvertes doivent vérifier que toutes les PHI au repos utilisent AES-256 ou équivalent. La gestion des clés doit respecter des normes documentées.
Procédures de dé-identification documentées. Toute PHI utilisée en recherche, formation d'IA ou analyses doit faire l'objet de procédures écrites. Une déclaration de politique ne suffit pas. Une documentation technique avec preuves de validation est requise.
Évaluations de sécurité des partenaires commerciaux. Les partenaires commerciaux doivent satisfaire des exigences techniques spécifiques avant leur intégration. Auparavant, les contrats géraient cela sans précision technique.
Authentification multi-facteurs (MFA). Tout le personnel ayant accès aux PHI électroniques doit utiliser la MFA. Les systèmes anciens ne sont pas exemptés.
Tests de réponse aux incidents. Des exercices annuels et des tests techniques sont obligatoires. Les équipes doivent conserver les preuves.
Les leçons de Change Healthcare
La violation chez Change Healthcare (février 2024) a illustré le risque systémique. Change Healthcare traitait 15 milliards de transactions par an. Il servait de chambre de compensation entre fournisseurs, payeurs et pharmacies.
La violation a commencé avec un seul compte d'accès distant Citrix. Ce compte n'avait pas de MFA. Les attaquants se sont déplacés dans le réseau pendant neuf jours. Puis ils ont déployé un ransomware.
La leçon est claire. Un partenaire commercial avec un accès étendu aux transactions de santé est un risque systémique pour chaque organisation qu'il connecte. L'ancien cadre n'était pas conçu pour des prestataires gérant un tiers de toutes les transactions de santé américaines.
Les exigences MFA, de segmentation réseau et d'évaluation des partenaires du règlement proposé découlent directement de cet incident.
Pour la suppression des PHI dans les formats de dossiers hospitaliers spécifiques, voir Détection HIPAA MRN et modèles hospitaliers spécifiques. Pour l'architecture zero-knowledge qui garde les données hors réseau, voir PHI cloud conforme HIPAA et conception zero-knowledge.