Google Forms est-il conforme à HIPAA ?

Boobesh Ramalingam
Cofondateur de Guesswork.co.

Avant que le premier patient remplisse votre formulaire Google Forms, vous devez savoir s'il a le droit de contenir ses données de santé. Par défaut, ce n'est pas le cas. Google Forms ne peut recueillir des PHI qu'avec une offre Google Workspace Business ou Enterprise et un Business Associate Agreement (BAA) signé avec Google. La version gratuite grand public ne peut pas du tout servir pour des PHI. Même avec un BAA, vous êtes responsable des contrôles d'accès et de garder les PHI hors de tout partage public et plusieurs des protections consistent à désactiver des fonctionnalités. Formesign offre au même formulaire un espace de travail conforme à HIPAA, couvert par son propre BAA.

Cet article présente d'abord ce que Google exige. Pour commencer dans Formesign dès maintenant, créez votre formulaire. La méthode 2, vers la fin, détaille les étapes.

Conformité HIPAA : produit + processus

La conformité HIPAA dépend du produit (Google Forms) autant que de la façon dont il est utilisé (vous) :
  1. Produit : la version de Google Forms que vous utilisez doit offrir des fonctions de sécurité et de confidentialité comme le chiffrement des données en transit et au repos, des journaux d'audit, des contrôles d'accès et des autorisations de partage, les mesures nécessaires pour protéger les PHI.
  2. Processus : vous devez définir l'objectif du formulaire, identifier et limiter les PHI à collecter dans le formulaire. Vous devez aussi définir comment les PHI collectées sont traitées, qui y a accès et signaler toute violation de données.
Vous devez aussi former vos collègues qui manipulent des PHI aux réglementations HIPAA et à l'utilisation du produit pour garantir la conformité HIPAA.

Comment rendre Google Forms conforme à HIPAA ?

Étape 1 : passer à une offre Google Workspace compatible HIPAA

Les formulaires Google Forms créés avec un compte personnel (@gmail.com) ne peuvent pas être rendus conformes à HIPAA, car Google ne propose pas de BAA pour les comptes grand public. Vous pouvez passer à une offre Google Workspace payante compatible avec la conformité HIPAA, comme Business Starter, Business Standard, Business Plus ou n'importe quelle offre Enterprise. Les éditions gratuites et individuelles ne sont pas éligibles.

Étape 2 : signer le Business Associate Agreement (BAA) de Google

Si vous êtes abonné à Google Workspace, signez le Business Associate Addendum avec Google et configurez le contrôle d'accès de vos comptes pour respecter les exigences HIPAA. Pour consulter et accepter le BAA,
  1. Connectez-vous à la console d'administration avec le compte administrateur de votre Google Workspace
  2. Dans la console d'administration, cliquez sur l'icône de menu > cliquez sur Account > cliquez sur Account settings
  3. Sur la page Account settings, cliquez sur Legal and Compliance > cliquez sur Security and Privacy Additional Terms
  4. Cliquez sur Google Workspace/Cloud Identity HIPAA Business Associate Amendment pour consulter l'avenant
  5. Cliquez sur Review and Accept > répondez aux trois questions pour confirmer que vous êtes une entité couverte par HIPAA (covered entity) ou un partenaire commercial (Business associate) d'une entité couverte
  6. Pour accepter le BAA HIPAA, cliquez sur OK .
La console d'administration Google Workspace sur la page Security and Privacy Additional Terms, avec le HIPAA Business Associate Amendment

Étape 3 : configurez vos formulaires pour la règle de confidentialité HIPAA (Privacy Rule)

La règle de confidentialité HIPAA définit les utilisations et divulgations autorisées des informations de santé protégées (PHI). Quand vous utilisez Google Forms pour collecter des PHI, suivez ces étapes :
  • Limitez la collecte de PHI. Vous devez configurer vos Google Forms pour ne collecter que le minimum de PHI nécessaire. Évitez de demander des informations sensibles sauf si elles sont requises pour l'objectif précis du formulaire.
  • Définissez des règles de conservation et de suppression des données. Si vous devez collecter des données sensibles sur les patients, établissez des politiques et procédures claires de conservation pour les PHI collectées. Assurez-vous que les données sont définitivement supprimées de Google Forms et des Google Sheets liées quand elles ne sont plus nécessaires.
  • Fournissez un avis sur les pratiques de confidentialité. Fournissez un avis qui informe les personnes de leurs droits en matière de confidentialité et de la manière de les exercer, ainsi que de la façon dont leurs informations médicales peuvent être utilisées et divulguées. Vous pouvez créer une section contenant cet avis dans Google Forms ou le publier sur votre site web et ajouter le lien dans les Google Forms qui collectent des PHI.
  • Obtenez le consentement & l'autorisation. Configurez vos Google Forms pour obtenir le consentement à l'utilisation et à la divulgation des PHI pour les traitements, les paiements et les opérations de soins de santé.

Étape 4 : configurez vos formulaires pour la règle de sécurité HIPAA (Security Rule)

La règle de sécurité HIPAA définit les mesures de protection administratives, physiques et techniques des PHI. Quand vous utilisez Google Forms pour collecter des PHI, suivez ces étapes :
  • Utilisez des identifiants individuels et la MFA. Mettez en place l'authentification des utilisateurs et des contrôles d'accès pour empêcher les personnes non autorisées d'accéder aux PHI. Exigez que chaque membre de l'équipe se connecte avec son propre compte et active la validation en deux étapes. N'utilisez jamais d'identifiant partagé, sinon l'accès au système et l'activité ne peuvent pas être suivis par utilisateur.
  • Mettez en place des contrôles d'accès. Partagez vos Google Forms et les Google Sheets liées uniquement avec les personnes autorisées afin de restreindre l'accès aux PHI collectées. Contrairement à Google Forms, Google Sheets offre des contrôles d'accès précis. Mettez en place une authentification correcte, des niveaux d'autorisation et des restrictions d'accès pour protéger la confidentialité des données en utilisant Google Sheets pour partager les données avec votre équipe.
  • Gardez les PHI hors des titres et des noms de fichiers. Ne mettez jamais d'informations sur les patients dans le titre du formulaire ni dans le nom de la feuille liée, car ils sont faciles à exposer par accident.
  • Désactivez les accusés de réception des réponses. La règle de sécurité n'interdit pas expressément l'utilisation de l'e-mail pour envoyer des e-PHI, mais recommande de mettre en place des politiques et procédures pour en restreindre l'accès. Comme la fonction d'accusé de réception des réponses de Google Forms ne permet pas de personnaliser le contenu, n'activez cette option que si elle est absolument nécessaire.
  • Ne préremplissez jamais de PHI. Google Forms vous permet de préremplir des réponses en passant des valeurs via des paramètres d'URL. Vous ne devez pas utiliser cette fonction pour préremplir des PHI, car elles seraient exposées.

Étape 5 : formez votre personnel

La conformité est continue, pas une configuration unique. Formez toutes les personnes qui manipulent des PHI aux règles HIPAA et à l'utilisation correcte de ces formulaires : définir les bonnes autorisations et la bonne visibilité, garder les PHI hors des titres et des liens préremplis et savoir signaler une violation suspectée. Renouvelez régulièrement cette formation.

Les lacunes qui subsistent même avec un BAA signé

Vous avez signé le BAA, configuré vos formulaires pour les règles de confidentialité et de sécurité et formé votre personnel. Même ainsi, la plupart de ces protections sont des contournements. Vous renoncez à des fonctions au lieu de les sécuriser. Le problème de ces restrictions, c'est qu'elles limitent les fonctions que vous pouvez utiliser et dégradent l'expérience des patients. Plusieurs lacunes subsistent que Google Forms ne peut pas combler seul :
  • Des fonctions perdues, pas des fonctions sécurisées. Désactiver les accusés de réception et éviter le préremplissage protège les PHI en supprimant des fonctions utiles. Il n'existe aucun moyen natif d'envoyer une réponse par e-mail ou de préremplir les informations d'un patient connu sans exposer de PHI.
  • Pas d'autorisations par champ. L'accès est tout ou rien : toute personne qui peut modifier le formulaire ou sa feuille liée voit toutes les réponses, donc la norme du "minimum nécessaire" est difficile à appliquer.
  • Pas de signature électronique ni de recueil du consentement. Il n'existe aucun moyen intégré de recueillir un accusé signé des pratiques de confidentialité ou une autorisation d'utilisation et de divulgation.
  • Pas de versions ni de PDF pour le patient. Pas de piste d'audit pour les réponses modifiées et pas de copie PDF de ce qui a été envoyé à remettre au patient.
  • Les modules complémentaires sont hors du BAA de Google. Le BAA de Google ne couvre pas les modules complémentaires du Marketplace, donc tout module qui touche aux PHI doit fournir son propre BAA à votre organisation.

Les processus cliniques que Google Forms ne gère pas

Au-delà de la conformité, ces situations reviennent sans cesse dans le secteur de la santé et n'ont aucune solution native dans Google Forms :
L'envoi de fichiers oblige les patients à se connecter. La question d'envoi de fichiers de Google Forms exige que le répondant se connecte avec un compte Google, donc collecter une carte d'assurance, une ordonnance ou une pièce d'identité avec photo signifie que chaque patient a besoin d'un compte Google, que beaucoup n'ont pas ou ne veulent pas utiliser.
Les autorisations ne peuvent pas être limitées par patient. Une décharge ou une autorisation est généralement valable pour une personne précise et une période donnée, mais Forms ne peut pas limiter un formulaire de cette façon. L'équipe finit par copier le formulaire pour chaque patient et nommer la copie d'après lui, ce qui met le nom du patient (PHI) dans le titre du fichier, exactement la pratique contre laquelle la règle de confidentialité met en garde.
Pas de score clinique. Les évaluations validées comme le PHQ-9, le GAD-7, l'AUDIT, etc. pondèrent chaque réponse et associent le total à un niveau de gravité. Google Forms ne propose que la notation juste/faux des quiz, pas de score pondéré, donc il ne peut pas calculer ces résultats et l'équipe doit les calculer à la main dans Google Sheets.
Aucune donnée partagée entre plusieurs formulaires. L'admission implique généralement plusieurs formulaires à la suite (admission du patient, évaluation et autorisation de divulgation) et Google Forms ne peut pas transmettre de données de l'un à l'autre. Les patients ressaisissent les mêmes nom, e-mail et informations sur chacun, ce qui fait perdre du temps et favorise les erreurs.
Pas de planification ni de rappels. Certaines évaluations doivent être répétées selon un calendrier (un PHQ-9 toutes les deux semaines, par exemple) pour suivre l'évolution. Google Forms ne peut pas envoyer un formulaire à intervalle régulier ni relancer les patients qui ne répondent pas, donc l'équipe doit penser à le renvoyer et à relancer à la main.
C'est pour combler ces lacunes qu'un outil spécialisé entre en jeu. Il y a deux façons de le faire avec Formesign, selon que vos formulaires sont déjà dans Google Forms ou que vous partez de zéro. Ces deux options s'appuient sur notre propre BAA et sur notre attestation SOC 2 Type II.

Des Google Forms conformes à HIPAA avec Formesign

Il existe deux méthodes et elles conviennent à des équipes différentes.
  1. Vous avez déjà créé vos formulaires dans Google Workspace avec un BAA et formé votre personnel ? Ajoutez le module complémentaire Formesign HIPAA form et continuez à travailler là où vous êtes.
  2. Vous partez de zéro ou avez créé votre formulaire avec un compte personnel ? Importez le Google Form dans l'espace de travail conforme à HIPAA de Formesign via son URL.

Méthode 1 : le module complémentaire Formesign - HIPAA compliance for Google Forms

Votre formulaire reste dans Google Forms ; le module complémentaire y ajoute la conformité. Marquez des champs comme PHI pour les masquer dans les e-mails de notification, les exports vers Sheets et les liens préremplis, définissez des autorisations par champ (modifiable, lecture seule ou masqué), recueillez des signatures électroniques pour le consentement et l'autorisation et conservez des journaux d'audit versionnés des modifications de réponses, ce qui comble les lacunes ci-dessus sans changer votre façon de travailler.
  1. Installez le module complémentaire Formesign - HIPAA compliance for Google Forms
  2. Marquez les champs comme PHI : ouvrez votre formulaire dans Google Forms > cliquez sur l'icône des modules complémentaires > sélectionnez Formesign - HIPAA compliance for Google Forms > cliquez sur Check HIPAA compliance et suivez les instructions pour terminer la vérification.
  3. Obtenez le consentement : cliquez sur l'icône des modules complémentaires > sélectionnez Formesign - HIPAA compliance for Google Forms > cliquez sur Add e-signature et suivez les instructions pour ajouter une option de signature à votre formulaire pour le consentement et l'autorisation.
  4. Collectez les réponses : utilisez le lien de partage Formesign pour collecter les réponses de vos patients ou utilisez l'option e-mail qui crée automatiquement un préremplissage sécurisé, avec le nom et l'e-mail du patient remplis sans les exposer dans l'URL.

Méthode 2 : importez votre Google Form dans Formesign

L'écran Make a copy of Google Form and make it HIPAA compliant, avec un lien de formulaire collé et le bouton Make my form compliant mis en évidence
  • Quand il affiche Verify your Google Forms setup meets HIPAA requirements with Formesign, cliquez sur Proceed et cliquez sur Next.
  • Sous Select fields that contain PHI, cochez chaque champ qui peut contenir des informations de santé protégées et cliquez sur Next.
  • Cliquez sur Sign BAA et suivez les instructions pour créer votre formulaire conforme à HIPAA dans Formesign. Vous ne pouvez pas sauter cette étape.
  • Collectez les réponses : utilisez le lien de partage Formesign pour collecter les réponses de vos patients ou utilisez l'option e-mail qui crée automatiquement un préremplissage sécurisé, avec le nom et l'e-mail du patient remplis sans les exposer dans l'URL.

Pourquoi Formesign

Quelle que soit la méthode choisie, Formesign comble aussi les lacunes des processus cliniques ci-dessus :
Envoi de fichiers par les patients sans connexion. Formesign convertit le champ d'envoi de fichiers de Google Forms en envoi HTML, pour que les patients puissent joindre leur carte d'assurance, leurs ordonnances ou une pièce d'identité sans compte Google. Les fichiers sont stockés par défaut dans l'infrastructure Google Cloud de Formesign conforme à HIPAA, avec l'option de les synchroniser vers votre propre Google Drive (gardez ce Drive sous le BAA de votre Workspace pour que les fichiers synchronisés restent couverts).
Des autorisations datées et par patient à partir d'un seul formulaire. Utilisez des formules pour définir automatiquement la période d'autorisation (TODAY() pour la date de début et TODAY().add(2, "years") pour l'expiration) et ajoutez des champs qui enregistrent les informations de chaque patient à l'envoi. Un seul formulaire sert alors tous les patients, chaque envoi ayant sa propre période de validité. Plus besoin de copier un formulaire par patient ni de mettre des noms de patients dans les titres de fichiers.
Score automatique des évaluations. Attribuez des points pondérés à chaque réponse : Formesign les additionne en un total et l'associe à un niveau de gravité, ce qui note des instruments comme le PHQ-9, le GAD-7 et l'AUDIT sans calcul manuel.
Des formulaires connectés, remplis une seule fois. Reliez vos formulaires d'admission pour que l'envoi de l'un affiche un message de remerciement avec un lien vers le suivant et que les réponses communes soient reportées automatiquement au lieu d'être ressaisies. Les informations communes comme le nom et l'e-mail passent par des liens de préremplissage sécurisés, donc elles ne sont jamais exposées dans l'URL.
Formulaires planifiés et rappels. Programmez l'envoi d'un formulaire à intervalle régulier (quotidien, hebdomadaire ou mensuel) : Formesign envoie automatiquement le lien par e-mail à chaque cycle, avec des rappels à toute personne qui ne l'a pas rempli à temps. Les évaluations périodiques fondées sur la mesure, comme un PHQ-9 toutes les deux semaines, se déroulent ainsi toutes seules.

Comparaison

En un coup d'œil, voici comment Google Forms se compare au HIPAA form de Formesign sur les protections de conformité et les processus cliniques abordés ci-dessus.
FonctionsGoogle FormsFormesign
BAA HIPAANonOui
Autorisations par champNonOui
Masquer les PHI dans les e-mails & exportsNon Oui 
Journal d'audit par réponseAu niveau du fichier seulementOui
Signatures électroniquesNonOui
PDF des réponses & PDF signésNonOui
Envoi de fichiers sans connexionNonOui
Score des évaluations (PHQ-9, GAD-7 etc) NonOui
Formulaires connectés & préremplissage sécuriséNonOui
 Formulaires planifiés & rappelsNonOui 

Questions fréquentes

Google Forms est-il conforme à HIPAA par défaut ?

Non. Il ne peut être rendu conforme que sur un forfait Google Workspace payant, avec un BAA signé et une configuration correcte. La conformité HIPAA dépend en fin de compte à la fois du produit et de la façon dont vous l'utilisez.

Google Forms peut-il être rendu conforme à HIPAA ?

Oui. Il vous faut un forfait Google Workspace compatible HIPAA (Business Starter ou supérieur ou Enterprise), un Business Associate Agreement signé et accepté dans la console d'administration, ainsi qu'une configuration correcte des contrôles d'accès et des paramètres de partage et la formation du personnel pour respecter les exigences HIPAA

La version gratuite de Google Forms est-elle conforme à HIPAA ?

Non. Google ne propose pas de BAA pour les comptes grand public gratuits (gmail.com), donc la version gratuite ne peut pas être utilisée légalement pour collecter, stocker ou transmettre des PHI.

Puis-je utiliser Google Forms pour les formulaires d'admission des patients ?

Seulement sous un BAA signé avec des protections correctement configurées. Comme l'admission des patients implique presque toujours des PHI et que Forms n'a ni contrôles d'accès par champ ni journaux d'audit par réponse, beaucoup d'organisations ajoutent un module complémentaire dédié ou utilisent un outil spécialisé pour l'admission.

Envoyer les réponses Google Forms par e-mail est-il conforme à HIPAA ?

Pas par défaut. Les e-mails de notification et les accusés de réception contiennent la réponse complète, y compris les PHI, donc si l'un d'eux arrive dans une boîte de réception non couverte par un BAA, c'est une divulgation non autorisée. Pour envoyer les réponses par e-mail en toute sécurité, masquez ou retirez les PHI du message ou désactivez complètement les notifications par e-mail.

Résumé

Si vous recueillez des données de patients, Google Forms exige une offre Workspace payante, un BAA signé et des solutions de contournement qui retirent des fonctionnalités. Avec Formesign, vous importez votre formulaire dans un espace de travail conforme à HIPAA, vous marquez les champs contenant des données de patients et vous signez un BAA. Pour cela, créez votre formulaire comme le montre la méthode 2. Si vous avez des questions, écrivez à l'assistance.

Dernière mise à jour :