Plateforme de téléconsultation conforme HIPAA : guide d'évaluation 2026

Une plateforme de téléconsultation conforme HIPAA est une plateforme qui met en œuvre les garanties administratives, physiques et techniques exigées par la loi américaine HIPAA, et dont l'éditeur signe un Business Associate Agreement (BAA) engageant sa responsabilité sur les données de santé qu'il traite. Point essentiel et souvent mal compris : il n'existe aucune certification HIPAA. Aucun organisme public ne certifie une plateforme. Tout fournisseur qui se présente comme « certifié HIPAA » décrit quelque chose qui n'existe pas.

Ce guide s'adresse aux structures françaises et européennes qui déploient de la téléconsultation auprès de patients ou de clients situés aux États-Unis, et qui doivent donc satisfaire HIPAA en plus du RGPD. Il détaille ce que la réglementation exige réellement d'une plateforme, ce qu'il faut vérifier auprès de chaque éditeur, et où se situe la différence entre une plateforme de visioconférence et une plateforme clinique intégrant des dispositifs médicaux.

Ce que HIPAA exige réellement d'une plateforme

La règle de sécurité HIPAA (Security Rule) impose trois familles de garanties. Elle décrit des obligations de résultat, pas une liste de produits homologués.

• Garanties techniques — chiffrement des données en transit et au repos, contrôle d'accès nominatif, journalisation des accès et des actions, mécanismes d'authentification, intégrité des données.
• Garanties administratives — analyse de risque documentée, désignation d'un responsable sécurité, formation du personnel, procédures de gestion des incidents et de notification de violation.
• Garanties physiques — contrôle de l'accès physique aux serveurs et aux postes de travail, procédures de mise au rebut des supports.

Le BAA : le point que les acheteurs oublient

Un éditeur qui héberge ou traite des données de santé de patients américains est un business associate au sens de HIPAA. Sans BAA signé, l'établissement client est en infraction, quelle que soit la qualité technique de la plateforme. Le BAA est donc le premier document à demander, avant toute démonstration produit. Demandez-le par écrit et vérifiez qu'il couvre les sous-traitants de l'éditeur, notamment l'hébergeur.

La liste de vérification à opposer à chaque éditeur

• Un BAA signé est-il disponible, et dans quelle langue ?
• Où sont hébergées les données, et pouvez-vous choisir la région ? Existe-t-il une option sur site (on-premise) ?
• Quel chiffrement en transit et au repos, précisément — versions et algorithmes, pas « chiffrement de niveau bancaire ».
• Les accès sont-ils nominatifs et journalisés, et pouvez-vous exporter les journaux d'audit ?
• Quelles certifications indépendantes l'éditeur détient-il réellement ? ISO 27001 est vérifiable et auditée par un tiers ; HIPAA ne l'est pas.
• Comment les données des dispositifs médicaux sont-elles traitées ? Un tracé ECG ou un enregistrement d'auscultation est une donnée de santé au même titre qu'un compte rendu.
• Que se passe-t-il en cas de violation : dans quel délai êtes-vous notifié, et qui notifie les patients ?

Plateforme de visioconférence ou plateforme clinique : la distinction qui compte

La plupart des plateformes présentées comme conformes HIPAA sont des outils de visioconférence sécurisée. Elles transportent la conversation. Elles ne capturent pas d'examen clinique.

Si votre besoin se limite à un entretien à distance, une plateforme vidéo conforme suffit. Si le médecin distant doit examiner le patient — auscultation, ECG, constantes, imagerie — la plateforme doit aussi recevoir les données des dispositifs médicaux, les horodater et les inscrire au dossier patient. C'est un périmètre de conformité différent, car les données de dispositifs entrent dans le champ des données de santé protégées.

Le positionnement de Promotal MedConnect

MedConnect est une plateforme de téléconsultation clinique : la vidéo, les données des dispositifs connectés, le dossier patient, la documentation et la facturation se trouvent sur un même écran. Sur la conformité, voici ce qui est documenté et vérifiable :

• ISO 27001:2022 — système de management de la sécurité de l'information.
• HIPAA — BAA disponible en anglais et en français.
• RGPD et HDS (hébergement de données de santé, France).
• Résidence des données dans l'UE, avec option de déploiement sur site.
• TLS 1.3 en transit, AES-256 au repos, accès par rôles et journaux d'audit.
• Marquage CE sur l'ensemble des dispositifs intégrés.

Côté clinique, un ECG 12 dérivations remonte automatiquement au dossier patient en environ cinq secondes, et le stéthoscope numérique Skeeper SM-300 transmet une auscultation en direct à faible latence. Le détail de la conformité est publié sur la page conformité, et l'architecture sur la page plateforme.

Questions fréquentes

Existe-t-il une certification HIPAA pour une plateforme de téléconsultation ? Non. Aucun organisme gouvernemental ne certifie la conformité HIPAA. La conformité repose sur la mise en œuvre des garanties de la Security Rule et sur un BAA signé. Un fournisseur se présentant comme « certifié HIPAA » désigne au mieux un audit privé, qui n'a pas de valeur réglementaire.

Une plateforme conforme RGPD est-elle automatiquement conforme HIPAA ? Non. Les deux régimes se recouvrent largement sur le chiffrement, la traçabilité et la minimisation, mais HIPAA impose ses propres exigences, dont le BAA et des délais de notification spécifiques. Une conformité RGPD est un point de départ solide, pas une équivalence.

Les données issues des dispositifs médicaux relèvent-elles de HIPAA ? Oui. Un tracé ECG, un enregistrement d'auscultation ou une série de constantes rattachés à un patient identifiable sont des données de santé protégées, et doivent être chiffrés, tracés et couverts par le BAA au même titre que le compte rendu de consultation.

Faut-il héberger aux États-Unis pour être conforme HIPAA ? Non. HIPAA n'impose pas de localisation géographique. Elle impose des garanties. L'hébergement dans l'UE est compatible avec HIPAA, à condition que les garanties techniques et le BAA soient en place — ce qui peut par ailleurs simplifier la conformité RGPD.

Combien de temps prend un déploiement conforme ? Chez MedConnect, un déploiement prend généralement de deux à quatre semaines selon le nombre de sites, la configuration matérielle et les exigences d'intégration ou de résidence des données. Demandez à tout éditeur un calendrier écrit incluant la signature du BAA.

Pour comparer une configuration complète, consultez le kit de téléconsultation ou demandez une démonstration.