Le numéro de téléphone d'un patient est-il une PHI sous HIPAA ? Oui.
**Oui.** Le numéro de téléphone d'un patient est une **Information de Santé Protégée (PHI)** sous HIPAA (45 CFR §160.103).
Pourquoi il qualifie
- Identifiable : Lie directement à un individu.
- Contexte santé : Détenu par une entité couverte (fournisseur, plan santé, clearinghouse) ou associé d'affaires *en lien avec* opérations santé.
- 18 identifiants : Numéros de téléphone explicitement listés (§164.514(a)(2)(ii)).
Implications pratiques
| Scénario | PHI ? | Gestion |
|---|---|---|
| Patient donne numéro à l'admission | Oui | Chiffrez au repos, limitez accès, BAA avec fournisseurs |
| Numéro dans SMS rappel RDV | Oui | Minimum nécessaire ; pas détail clinique dans SMS |
| Numéro dans fax référence | Oui | Fax sécurisé / eFax avec journal audit |
| Numéro dans jeu données dé-identifié | Non (si dé-identifié correctement §164.514) | Safe Harbor ou Détermination Expert |
| Numéro sur site public (bio médecin) | Non (pas données patient) | Info contact professionnel |
Violations courantes
- Texter PHI vers téléphone personnel sans consentement.
- Exporter liste patients (avec téléphone) vers Excel non chiffré sur portable.
- Partager avec fournisseur marketing sans BAA + autorisation patient.
Check-list conformité
- Incluez téléphone dans **Analyse Risque** (§164.308(a)(1)).
- Appliquez **Contrôle Accès** (IDs utilisateur uniques, MFA).
- **Journaux Audit** sur tous systèmes touchant PHI.
- **BAA** avec chaque fournisseur (Twilio, Telnyx, DSE, service réponse).
- **Plan Notification Violation** (règle 60 jours).
Traitez chaque numéro téléphone patient comme un SSN — mêmes garde-fous, mêmes pénalités.