TLDR : SOC 2 Type II est un audit indépendant qui vérifie si les contrôles de sécurité d'un fournisseur ont fonctionné efficacement sur une période de plusieurs mois. La conformité HIPAA est une obligation légale sans autorité de certification : ce qu'un fournisseur peut offrir, c'est un Business Associate Agreement signé et des preuves des garanties exigées.

Pourquoi la sécurité de votre éditeur de logiciel devient-elle votre problème ?

Sous HIPAA, un laboratoire qui traite des informations de santé protégées est responsable des fournisseurs avec lesquels il partage ces informations, par le biais d'un Business Associate Agreement. Une violation chez votre éditeur est une violation touchant les données de vos patients, et elle est déclarable.

Les chiffres l'expliquent mieux que le principe. Dans l'analyse du portail des violations de l'Office for Civil Rights du HHS, 35,8 pour cent des violations de données de santé déclarées en 2025 provenaient de partenaires commerciaux et non des établissements de soins eux-mêmes. Environ un tiers du problème arrive par les fournisseurs.

Pour un laboratoire dentaire, ce n'est pas un risque abstrait. Les dossiers portent des identifiants de patients, des prescriptions, des scans et de la correspondance clinique. Si cela réside dans le cloud d'un fournisseur, les contrôles de ce fournisseur font partie de votre posture de conformité, que quelqu'un les ait examinés ou non.

Que teste réellement SOC 2 Type II ?

Un examen SOC 2 est réalisé par un cabinet de CPA indépendant au regard des Trust Services Criteria de l'AICPA. Le Type I vérifie si les contrôles sont conçus de façon appropriée à un instant donné. Le Type II vérifie s'ils ont effectivement fonctionné efficacement sur une période, couramment de trois à douze mois.

La distinction entre Type I et Type II fait toute la valeur de l'exercice, et elle est régulièrement brouillée dans les conversations commerciales. Le Type I dit que le fournisseur a une politique. Le Type II dit qu'un auditeur a échantillonné des preuves sur plusieurs mois et constaté que la politique était suivie.

Quand un fournisseur vous propose un rapport SOC 2, posez quatre questions :

1. Type I ou Type II ? S'il s'agit du Type I, il vous en dit beaucoup moins.
2. Quelle période d'observation ? Un rapport couvrant trois mois est une preuve plus faible qu'un rapport couvrant douze mois, et un rapport dont la période s'est achevée il y a dix-huit mois est périmé.
3. Quels Trust Services Criteria ? La sécurité est obligatoire. Disponibilité, confidentialité, intégrité du traitement et protection de la vie privée sont des ajouts optionnels, et savoir lesquels étaient dans le périmètre compte.
4. Y a-t-il eu des exceptions ? Les rapports les listent. Un rapport avec des exceptions relevées et un plan de remédiation est souvent plus instructif qu'un rapport sans réserve, parce que vous apprenez comment le fournisseur réagit.

SmileShape a mené à bien un examen SOC 2 Type II. Demandez le rapport sous accord de confidentialité et lisez la section du périmètre plutôt que le logo.

Pourquoi la conformité HIPAA ne peut pas être certifiée

Il n'existe aucun organisme public ni dispositif accrédité qui certifie la conformité HIPAA. Le Department of Health and Human Services n'avalise pas de certifications. Ce qui existe, c'est une obligation légale, un ensemble de garanties exigées, et un Business Associate Agreement qui met cette obligation par écrit entre vous et votre fournisseur.

Cela compte parce que la mention « certifié HIPAA » figure sur beaucoup de sites de fournisseurs et ne signifie rien au sens strict. Un fournisseur qui l'affirme utilise soit un raccourci pour quelque chose de réel, ce qui est acceptable, soit ne comprend pas le cadre, ce qui ne l'est pas.

Ce qu'il faut réellement demander :

• Un Business Associate Agreement signé. Pas la promesse d'en signer un plus tard. Les clauses du BAA type publiées par le HHS sont la référence pour ce qu'il doit contenir.
• Des preuves des garanties administratives, physiques et techniques exigées par la Security Rule. Un rapport SOC 2 Type II est généralement le moyen le plus efficace de les voir, et c'est pourquoi les deux éléments vont de pair.
• Les conditions de notification des violations. À quelle vitesse vous prévient-on, par quel canal, et qui est prévenu.
• Le traitement des sous-traitants. Leur fournisseur de cloud est aussi le domicile de vos données. Demandez qui d'autre y touche.

SmileShape opère sous obligations HIPAA et signe des Business Associate Agreements avec les laboratoires et les cabinets. C'est la version exacte de l'affirmation, et c'est celle sur laquelle un processus de diligence peut s'appuyer.

Ce que ni l'un ni l'autre ne vous dit

Ni l'un ni l'autre n'est une déclaration sur la qualité de fonctionnement du produit. SOC 2 couvre les contrôles de sécurité et d'exploitation. HIPAA couvre le traitement des informations de santé protégées. Savoir si le logiciel est utile, s'il constitue un dispositif réglementé, et si le résultat vaut quelque chose sont des questions distinctes avec des preuves distinctes.

Les laboratoires lisent parfois un badge SOC 2 comme une assurance générale, et les fournisseurs les corrigent rarement. Il vaut la peine de garder ces catégories séparées dans votre propre évaluation, car un fournisseur peut être excellent sur l'une et non examiné sur l'autre.

Pour les logiciels cliniques en particulier, la question du dispositif constitue sa propre piste d'investigation. SmartCAD est classé comme une aide à la conception opérée par le technicien, avec examen humain obligatoire, et ce n'est pas un outil de diagnostic ni de planification de traitement. C'est un fait différent de sa posture de sécurité, et il doit être vérifié séparément.

Une courte séquence de diligence

1. Demandez le rapport SOC 2 sous accord de confidentialité. Lisez le type, la période, les critères dans le périmètre et les exceptions.
2. Demandez le Business Associate Agreement et faites-le lire par la personne qui vous conseille sur HIPAA, en particulier la clause de notification des violations.
3. Demandez où les données sont stockées, qui sont les sous-traitants, et ce qu'il advient de vos données si vous partez.
4. Demandez comment l'accès est contrôlé en interne : qui, chez le fournisseur, peut voir les dossiers d'un client, et ce qui est journalisé.
5. Conservez les réponses. Reposez la question chaque année, car un rapport SOC 2 couvre une période qui s'achève.

À lire également

• une liste de contrôle sécurité des fournisseurs pour les laboratoires dentaires qui achètent du logiciel
• comment évaluer un logiciel de conception de prothèses assisté par l'IA

Sources

1. AICPA, SOC 2 (System and Organization Controls) reporting framework
2. HHS, Business Associate Contracts under the HIPAA Privacy Rule
3. HHS Office for Civil Rights, Breach Portal (breaches affecting 500 or more individuals)
4. HIPAA Journal, 2025 Healthcare Data Breach Report (analysis of the HHS OCR breach portal)