Retrouvez toutes les informations essentielles et les conseils pratiques qui vous permettront de rester informé et d’optimiser votre gestion professionnelle.
Aux États-Unis, la confidentialité des données d’un candidat du secteur de la santé ne repose pas sur une seule loi, et surtout pas sur HIPAA seule, contrairement à ce que beaucoup croient. Le dossier d’un candidat est encadré par trois textes fédéraux qui se complètent : l’ADA pour les questions médicales, la FCRA pour les vérifications d’antécédents, et HIPAA pour les informations de santé détenues par les prestataires de soins. Cet article explique ce que chacun couvre, où se situent les zones grises, et comment recruteurs comme candidats peuvent agir avec sérénité.
Les professionnels de santé connaissent mieux que quiconque la valeur d’une information confidentielle. Pourtant, au moment de chercher un poste ou un remplacement, ils transmettent souvent un volume important de données : CV détaillé, numéro de licence, historique de carrières, parfois des certificats de vaccination, des attestations d’aptitude ou des demandes d’aménagement. Pour un médecin, une infirmière ou un kinésithérapeute, la frontière entre ce qui relève de la vie professionnelle et ce qui relève de la vie privée devient floue assez vite.
Côté recruteurs, cliniques, cabinets et établissements manipulent ces informations avec des équipes réduites, parfois par courriel, parfois dans des tableurs partagés. Le risque n’est pas seulement technique. Il tient aussi à la méconnaissance du cadre juridique : une information demandée trop tôt ou conservée au mauvais endroit peut exposer l’employeur à des sanctions, et le candidat à une discrimination qu’il ne soupçonne pas.
Il faut d’abord lever un malentendu fréquent, car il conditionne tout le reste.
La loi HIPAA a été adoptée en 1996 puis renforcée par le HITECH Act en 2009, et elle s’applique aujourd’hui aux prestataires de soins comme à leurs sous-traitants qui gèrent des informations médicales protégées. Sa règle de confidentialité, la Privacy Rule, établit des normes nationales pour la protection de certaines informations de santé.
Ce qui compte pour un candidat, c’est le périmètre. Selon le ministère américain de la Santé (HHS), la Privacy Rule ne protège pas les dossiers d’emploi. Elle encadre la manière dont un prestataire de soins ou un régime d’assurance partage vos informations avec un employeur, mais pas ce qu’un employeur demande ou conserve en cette qualité. Concrètement, un justificatif d’arrêt maladie remis à votre employeur ou une demande d’évaluation d’aptitude ne relèvent pas de HIPAA, comme le précise le HHS dans ses recommandations sur la vaccination et le lieu de travail.
Le même texte apporte une nuance utile : la Privacy Rule n’interdit pas à une entreprise, y compris à un établissement de santé, de demander à une personne si elle a reçu un vaccin donné. Ce n’est donc pas HIPAA qui vous protège ici, mais d’autres textes, dont l’ADA, que nous verrons plus bas.
HIPAA reste décisive dans l’autre sens : lorsqu’un prestataire de soins détient vos informations en tant que patient, il ne peut pas les transmettre à un futur employeur sans autorisation valable. Le HHS a d’ailleurs prévu un cadre très restreint pour les examens préalables à l’embauche, les tests de dépistage ou les évaluations d’aptitude : la divulgation à l’employeur sans autorisation n’est possible que dans des circonstances très limitées.
Un accord de résolution conclu en novembre 2024 avec un cabinet de médecine familiale, Holy Redeemer Family Medicine, illustre ce principe. Selon les éléments que nous avons consultés, il s’est soldé par un règlement de 35 581 dollars et porte sur la divulgation d’informations de santé, en l’occurrence liées à la santé reproductive, sans autorisation valable. La leçon pour un établissement est simple : certaines catégories d’informations exigent une vigilance renforcée, et le montant, modeste, ne dit rien de la gêne que subit la personne concernée.
Pour un candidat, la protection la plus concrète vient de l’Americans with Disabilities Act. D’après la commission fédérale pour l’égalité des chances en matière d’emploi (EEOC), un employeur ne peut poser aucune question médicale avant une offre conditionnelle, y compris les questions sur un handicap. Cela signifie qu’un entretien d’embauche ne doit pas aborder vos antécédents de santé, vos traitements ou vos arrêts passés.
Une fois l’offre conditionnelle faite, la situation change : l’employeur peut demander des informations médicales, à condition de le faire pour tous les nouveaux embauchés du même poste. Les informations obtenues doivent alors être conservées dans des dossiers médicaux séparés du dossier du personnel et rester strictement confidentielles. Les exceptions sont étroites : les superviseurs qui doivent connaître les aménagements nécessaires, le personnel de premiers secours en cas d’urgence, les agents publics qui contrôlent le respect de la loi, ainsi que certains cas d’assurance ou d’accidents du travail.
C’est un point que beaucoup d’équipes de recrutement sous-estiment. L’EEOC rappelle, dans son guide destiné aux candidats, que l’ADA impose des exigences de confidentialité strictes pour les informations médicales transmises pendant l’embauche. Cela vaut aussi pour des informations qui ne ressemblent pas à un dossier clinique : un candidat qui explique avoir besoin d’horaires souples en raison d’une maladie chronique livre une information médicale, au même titre qu’un compte rendu d’examen.
Dans la pratique, une telle mention reçue par courriel par un responsable de service ne devrait pas rester dans une boîte de réception partagée. Elle doit rejoindre le dossier confidentiel, avec un accès limité aux personnes qui ont réellement besoin de la connaître pour organiser l’aménagement.
Candidats et employeurs confondent parfois la vérification de l’autorisation de travail (formulaire I-9, E-Verify) avec un contrôle de santé. Ce sont deux sujets distincts. Les documents du service d’immigration (USCIS) décrivent E-Verify comme un système qui transmet de manière sécurisée le numéro de sécurité sociale, le nom, le statut de citoyenneté et la date de naissance du nouvel employé. Cette vérification intervient après l’offre, et ne sert en aucun cas à repérer un problème de santé ou un handicap chez un candidat.
Les établissements de santé vérifient souvent les antécédents judiciaires, les licences ou les références avant d’embaucher. Lorsqu’ils font appel à une société extérieure, la loi sur les rapports de crédit, la Fair Credit Reporting Act, s’applique. La Federal Trade Commission explique que l’employeur doit prévenir le candidat par écrit, sur un document distinct de la candidature, et obtenir son autorisation écrite avant d’obtenir le rapport.
Si l’employeur envisage de refuser une candidature à cause de ce rapport, il doit d’abord vous en remettre une copie, accompagnée d’un résumé de vos droits. Vous avez ainsi la possibilité de contester une information inexacte avant que la décision ne soit prise. Le guide de la FTC destiné aux employeurs précise que ces règles valent pour toutes les décisions de personnel : embauche, maintien dans l’emploi, promotion ou changement d’affectation.
Pour un candidat, un réflexe en découle : une vérification que l’on ne vous a pas annoncée, ou un formulaire d’autorisation noyé dans le dossier de candidature, mérite une question polie auprès du recruteur. Pour un établissement, la procédure est plus sûre quand le formulaire d’autorisation est présenté seul, à un moment clair du parcours. Notre article sur la manière de structurer les vérifications sans ralentir les recrutements détaille cette organisation, et celui consacré aux vérifications auditables par rôle complète le sujet.
Prises ensemble, ces règles poursuivent un objectif commun : éviter qu’une information sensible ne pèse, directement ou non, sur une décision d’embauche. Les recommandations de la FTC invitent les employeurs à sécuriser les dossiers de leurs candidats, mais aussi à veiller à ce que le processus lui-même reste équitable, sans s’appuyer sur des informations médicales ou génétiques restreintes.
La sécurité technique joue son rôle. Les travaux du NIST sur la sécurité de HIPAA rappellent que l’intégrité des données dépasse le simple chiffrement : il s’agit de garantir la fiabilité de l’information tout au long de son cycle de vie et d’empêcher toute altération ou destruction non autorisée des informations de santé électroniques. Appliqué au recrutement, cela veut dire savoir qui a ouvert un dossier, qui l’a modifié, et pendant combien de temps il est conservé.
Une précision reste nécessaire : cet article porte sur le droit fédéral. Plusieurs États ont leurs propres lois sur la vie privée, qui peuvent ajouter des obligations. Un établissement qui recrute dans plusieurs États devrait donc vérifier le droit applicable à chaque lieu d’exercice, avec l’appui d’un juriste spécialisé en droit du travail.
Un candidat n’a pas à devenir juriste, mais quelques habitudes réduisent beaucoup les risques. La première consiste à ne communiquer que ce que l’étape du processus justifie. La FTC recommande, dans ses conseils aux candidats, de ne pas inscrire son numéro de sécurité sociale ni ses coordonnées bancaires sur une candidature ou un CV : si une entreprise les réclame avant même un entretien, il s’agit probablement d’une arnaque.
La deuxième habitude concerne les informations de santé. Avant l’offre conditionnelle, un recruteur n’a pas à vous interroger sur votre état de santé, et vous n’avez pas à le lui expliquer. Si vous le faites de votre propre initiative, par exemple pour évoquer un aménagement, mieux vaut le faire par écrit, auprès de la personne chargée des ressources humaines, et non auprès d’un interlocuteur multiple.
La troisième est de lire les documents qu’on vous demande de signer. Une autorisation de vérification doit être claire et distincte. Une autorisation qui autorise la communication de votre dossier médical à un futur employeur mérite d’être relue avec attention : HIPAA repose précisément sur votre consentement éclairé pour ce type de transfert.
La quatrième est de demander comment vos données seront conservées. Une politique de confidentialité sérieuse indique qui accède aux candidatures, pendant combien de temps elles sont conservées, et comment demander leur suppression. L’absence de réponse claire est elle-même une information.
Pour un établissement, un cabinet ou un organisme de recrutement, la conformité commence par un parcours de candidature découpé en étapes, chacune avec ses données autorisées. Avant l’offre, le dossier se limite aux informations professionnelles : formation, expérience, licences, références. Après l’offre conditionnelle seulement, les questions médicales et les examens peuvent intervenir, à condition d’être posés à tous les candidats du même poste.
Il faut ensuite séparer physiquement et logiquement les dossiers. Les informations médicales n’ont pas leur place dans le dossier du personnel, et les accès doivent être limités aux situations que prévoit la loi. Ce principe s’applique aussi aux courriels contenant des demandes d’aménagement, qui doivent être rapidement classés.
La formation des équipes est le troisième pilier. Un responsable de service qui reçoit un message évoquant un traitement médical doit savoir quoi en faire. Une procédure simple, connue de tous, évite la plupart des incidents. Les articles que nous avons consacrés au processus d’embauche en santé et au workflow de gestion des candidatures proposent des repères pour construire ce parcours.
Le choix des outils compte enfin. Un outil de suivi de candidatures concentre les échanges et les pièces jointes en un seul endroit, avec des droits d’accès et un historique, ce qui vaut mieux qu’une dispersion entre messageries personnelles et tableurs. Nous développons ces gains dans notre article sur la digitalisation du recrutement santé et dans notre guide pour gérer efficacement les candidatures médicales.
Depuis 1998, nous accompagnons la rencontre entre professionnels de santé et structures qui recrutent, et nous constatons que la confidentialité est rarement un sujet de principe : c’est un sujet de gestes quotidiens. Un candidat qui hésite à déposer son CV en ligne se demande surtout qui le verra, et si son employeur actuel pourra le savoir. Un recruteur qui hésite à structurer son processus craint de perdre du temps.
Notre conviction est que ces deux préoccupations se rejoignent. Un processus bien organisé protège le candidat et rassure l’établissement, parce qu’il réduit les erreurs de manipulation et les demandes faites au mauvais moment. C’est pourquoi nous préférons une plateforme où le candidat garde la main sur ce qu’il publie, et où le service reste gratuit pour lui, plutôt qu’un circuit où les informations circulent sans que personne ne sache qui les détient.
Nous rappelons aussi une limite : nous ne sommes pas un cabinet d’avocats, et la réglementation américaine évolue. Pour une décision engageante, par exemple la mise en place d’une procédure de vérification d’antécédents ou le traitement d’une demande d’aménagement délicate, un juriste en droit du travail reste l’interlocuteur adapté. Notre rôle est de vous aider à garder un parcours de recrutement clair, humain et respectueux de chacun.
— Valentin
Si vous recrutez, vous pouvez publier une annonce d’emploi, de remplacement ou de cession de patientèle et gérer les candidatures reçues depuis un même espace, sans multiplier les échanges par courriel. Si vous cherchez un poste, vous pouvez consulter les offres d’emploi ou déposer votre CV en ligne, gratuitement, en choisissant ce que vous rendez visible.
Pas en général. Selon le HHS, la Privacy Rule ne couvre pas les dossiers d’emploi tenus par un employeur en cette qualité. Ce sont surtout l’ADA et les règles de confidentialité de l’EEOC qui encadrent ces informations.
Non, pas avant une offre conditionnelle. L’EEOC interdit les questions médicales et celles sur un handicap à ce stade. Après l’offre, elles sont possibles si elles sont posées à tous les candidats du même poste, et les réponses doivent rester confidentielles.
Oui, lorsqu’elle est confiée à une société tierce. La FTC indique que l’employeur doit vous prévenir par écrit sur un document séparé et obtenir votre autorisation écrite. S’il envisage de vous refuser à cause du rapport, il doit vous en remettre une copie avec un résumé de vos droits.
Oui. Une demande liée à une maladie chronique est une information médicale au sens de l’ADA, même sans diagnostic détaillé. Elle doit être conservée à part et accessible seulement aux personnes qui en ont besoin pour organiser l’aménagement.
Village de la Justice : la protection des données de santé aux États-Unis
HHS : résumé de la Privacy Rule HIPAA
HHS : employeurs et informations de santé au travail
HHS : HIPAA, vaccination COVID-19 et lieu de travail
HHS : examens préalables à l’embauche et divulgation à l’employeur
HHS : accord de résolution Holy Redeemer Family Medicine
EEOC : questions médicales avant l’embauche
FTC : vérifications d’antécédents et vos droits
FTC : vérifications d’antécédents, ce que les employeurs doivent savoir
