Google Ads conforme HIPAA pour les cliniques : diffuser des annonces sans exposer de PHI
Google Ads présente votre cabinet au moment précis où des personnes recherchent des soins. Il peut aussi transmettre discrètement des données de santé protégées (PHI) à une entreprise qui n'a aucune obligation légale de les protéger. La configuration par défaut d'un compte — une balise sur chaque page, le remarketing activé, des listes de contacts importées à des fins de rapprochement — relève de la routine dans le commerce de détail et constitue, en santé, une violation potentiellement notifiable.
Rien de tout cela ne signifie que les cliniques doivent renoncer au référencement payant. Un compte Google Ads conforme à la loi HIPAA est parfaitement réalisable, et des cabinets mènent chaque jour des campagnes rentables et conformes. Mais la conformité doit être intégrée au compte avant la première dépense, car les manquements se produisent dans la tuyauterie — balises, audiences et imports de données — non dans le texte des annonces.
Ce guide traite uniquement de la publicité payante. Pour l'e-mail, les réseaux sociaux, votre site et le reste du sujet, consultez notre guide complet sur le marketing conforme à la loi HIPAA. Une précision d'emblée : il s'agit de recommandations pratiques issues du terrain, non d'un conseil juridique — faites relire votre configuration par un avocat spécialisé en droit de la santé ou par votre responsable conformité avant le lancement.
Plateformes publicitaires et PHI : un terrain juridique miné
Pendant des années, les organisations de santé ont installé des pixels publicitaires comme toutes les autres entreprises : coller le code, collecter les données, optimiser les campagnes. Cette époque a pris fin en décembre 2022, lorsque l'Office for Civil Rights du HHS a publié ses orientations sur les technologies de suivi en ligne. Ce texte retient que, lorsqu'un outil de suivi collecte un identifiant — adresse IP, identifiant d'appareil, cookie — en même temps qu'une information laissant supposer qu'une personne a cherché ou reçu des soins, l'ensemble peut constituer une donnée de santé protégée. La transmettre à une plateforme publicitaire qui n'a pas signé de contrat de sous-traitance devient alors une divulgation non autorisée.
Une juridiction fédérale en a depuis restreint la portée pour les pages publiques non authentifiées, mais la pression des autorités n'a pas faibli. La FTC a sanctionné des entreprises de santé numérique pour avoir partagé des données de santé d'utilisateurs avec des plateformes publicitaires, des groupes hospitaliers ont fait l'objet d'actions collectives à cause des pixels installés sur leurs sites, et plusieurs États ont adopté leurs propres lois sur les données de santé des consommateurs, qui vont au-delà de la loi HIPAA. La tendance est nette : les régulateurs assimilent les flux de données vers les plateformes publicitaires à des divulgations, et la charge de la conformité vous incombe.
La communication numérique conforme à la loi HIPAA tient donc moins au contenu de vos annonces qu'à ce que votre site et votre compte renvoient à la plateforme.
Google ne signe pas de BAA : organisez-vous en conséquence
En vertu de la loi HIPAA, tout prestataire qui crée, reçoit, conserve ou transmet des PHI pour votre compte doit signer un contrat de sous-traitance (BAA). Google en signe pour certains services Google Workspace et Google Cloud. Il n'en signe pas pour Google Ads, ni pour Google Analytics en version standard. Aucun palier entreprise, aucune négociation, aucun contournement ne change cela.
Ce seul constat détermine toute la stratégie. Vous ne pouvez pas rendre Google Ads conforme par contrat : vous rendez donc vos flux de données conformes par conception : rien de ce qui quitte votre site, votre CRM ou votre suivi d'appels pour arriver chez Google ne doit contenir de PHI. Toutes les techniques décrites ici découlent de cette seule règle.
Ce qui relève des PHI dans un contexte publicitaire
La notion de PHI est plus large que ne le supposent la plupart des dirigeants de cabinet. Il s'agit de toute information identifiant une personne et liée à son état de santé, aux soins reçus ou à leur paiement, détenue par une entité couverte ou ses sous-traitants. En publicité, des identifiants que personne ne qualifierait de médicaux — adresse IP, identifiant de clic, cookie — deviennent des PHI dès qu'ils sont associés à un contexte de santé.
Exemples concrets de flux de données susceptibles de franchir la ligne :
- Une balise de conversion déclenchée sur une URL du type /fertility-consultation-confirmed, qui relie un identifiant de clic à une spécialité
- Une audience de remarketing constituée à partir des visiteurs de pages de pathologies ou de traitements
- Une liste d'adresses e-mail de patients exportée de votre dossier patient informatisé et importée dans Google pour Customer Match
- Des réponses de formulaire — symptômes, couverture santé, date de naissance — transmises dans les paramètres d'URL ou la couche de données
- Des enregistrements ou transcriptions d'appels transitant par un prestataire de suivi d'appels qui n'a pas signé de BAA
La constante est claire : aucun de ces cas ne fait intervenir un nom ou un numéro de dossier. Un contexte de santé associé à un identifiant quelconque suffit, et les plateformes publicitaires collectent des identifiants par défaut.
Structurer les campagnes pour qu'aucune PHI n'atteigne Google
Une architecture de compte conforme repose sur quatre règles. Chacune ferme un canal précis par lequel des PHI s'échappent vers les plateformes publicitaires.
Désactivez le remarketing fondé sur les patients
Ne constituez pas de listes de remarketing à partir des pages du portail patient, des confirmations de rendez-vous ou des pages consacrées à une pathologie. Ces audiences sont, de fait, des listes de personnes ayant cherché des soins : des PHI sous un autre nom. La politique de Google sur la publicité personnalisée interdit de toute façon le ciblage fondé sur l'état de santé ; ces audiences enfreignent donc à la fois les règles de la plateforme et la loi HIPAA. En santé, le levier de croissance est l'intention de recherche, pas le reciblage : les mots-clés à forte intention produisent le rendement que d'autres secteurs vont chercher dans les listes d'audience.
N'importez jamais de données de patients
Customer Match — l'import de listes d'adresses e-mail ou de numéros pour cibler ces personnes — est exclu dès lors que la liste provient des dossiers patients. Le hachage n'y change rien : les identifiants hachés relèvent d'une mesure de sécurité, pas d'une anonymisation au sens de la loi HIPAA, et la divulgation à un prestataire sans BAA a lieu dans tous les cas. Le même raisonnement vaut pour les conversions améliorées reposant sur les adresses e-mail des patients.
Gardez vos balises et vos URL propres
Ne déclenchez les balises de conversion que sur des pages de remerciement génériques, dont l'URL ne révèle rien de la prestation réservée. Retirez toute balise publicitaire des espaces authentifiés : portails, formulaires d'admission, téléconsultations. Ne transmettez jamais de valeurs de formulaire dans les URL ou la couche de données. Déployez une bannière de consentement et configurez le mode consentement de Google pour que vos balises respectent les choix de chaque visiteur ; un outil de consentement ne rend pas légal un transfert de PHI, mais il constitue une exigence de base au regard des lois de confidentialité des États et des propres règles de Google.
Anonymisez vos données de conversion
Pour toute mesure allant au-delà des conversions simples sur page, faites transiter les données par une infrastructure située à l'intérieur de votre périmètre de conformité : un conteneur de balisage côté serveur que vous contrôlez, ou un prestataire d'analytique santé qui signe un BAA, supprime les identifiants et ne transmet à Google que des événements de conversion anonymisés. La plateforme conserve assez de signal pour optimiser les enchères ; elle ne reçoit jamais rien qui identifie un patient.
Les règles publicitaires de Google en santé forment un second cadre
La loi HIPAA ne couvre que la moitié du sujet. La politique de Google relative à la santé et aux médicaments limite ce qui peut être diffusé : les termes liés aux médicaments sur ordonnance sont réservés aux annonceurs certifiés, les services de traitement des addictions exigent une certification LegitScript, et les traitements spéculatifs ou expérimentaux sont purement interdits. Certaines catégories requièrent en outre une certification propre à chaque pays avant toute diffusion.
Par ailleurs, Google classe la santé parmi les catégories sensibles pour la publicité personnalisée. Vous ne pouvez ni cibler des audiences selon leur état de santé, ni diffuser des annonces laissant entendre que vous connaissez la situation médicale d'une personne. En pratique, cela renforce la méthode compatible avec la loi HIPAA : bâtir les campagnes sur les mots-clés, la zone géographique, les plages de diffusion et la qualité des pages de destination — des signaux sur la recherche, pas sur celui qui la formule. Une page de destination médicale dédiée qui convertit un trafic à forte intention fait davantage pour votre coût par rendez-vous pris que n'importe quel segment d'audience que vous n'avez pas le droit d'utiliser.
La liste de contrôle de conformité avant lancement
Avant toute dépense, passez cette liste en revue avec la personne chargée de la conformité dans votre cabinet :
- Recensez toutes les balises et tous les pixels de votre site ; documentez ce que chacun envoie et à qui
- Retirez toute balise publicitaire des pages authentifiées : portails, formulaires d'admission, téléconsultation
- Vérifiez que les pages de conversion utilisent des URL génériques, sans détail de pathologie, de traitement ni de rendez-vous
- Désactivez le remarketing et la collecte d'audiences sur l'ensemble des contenus cliniques
- Vérifiez qu'aucune liste issue des dossiers patients n'a été importée dans le compte — et restreignez les accès permettant de le faire
- Déployez une bannière de consentement et configurez le mode consentement de Google
- Obtenez des BAA signés auprès de vos prestataires de formulaires, de suivi d'appels et d'analytique
- Confrontez vos annonces et vos pages de destination à la politique de Google relative à la santé et aux médicaments
- Documentez l'ensemble de la revue — une trace datée de votre analyse de risque compte beaucoup si une autorité vous interroge
Rien de tout cela n'est long au regard du coût d'une erreur. Une violation liée aux technologies de suivi est notifiable, publique et parfaitement évitable.
Mesurer le coût par rendez-vous pris sans porter atteinte à la confidentialité
L'objection la plus fréquente à un Google Ads conforme à la loi HIPAA est qu'il détruit la mesure. C'est faux. Il déplace la mesure à l'intérieur de vos murs, où elle a sans doute sa place.
Le problème des PHI concerne les données qui sortent vers Google, pas celles qui entrent. Votre CRM ou votre logiciel de gestion de cabinet conforme à la loi HIPAA peut enregistrer la campagne, le mot-clé et l'identifiant de clic à l'origine de chaque demande, car ces systèmes se trouvent dans votre périmètre de conformité, couverts par un BAA. L'attribution vit là, avec toute sa précision.
Le processus est simple. Enregistrez les paramètres de campagne dans le CRM au moment de la demande. Indiquez quelles demandes aboutissent à un rendez-vous. Divisez la dépense par le nombre de rendez-vous, campagne par campagne, chaque mois. Vous obtenez ainsi le véritable coût par rendez-vous pris — le seul indicateur publicitaire qui compte vraiment — sans qu'aucune donnée de patient n'atteigne la plateforme. En sortie, n'envoyez à Google que des volumes de conversions agrégés et anonymisés, afin que ses algorithmes d'enchères disposent encore de quoi apprendre.
C'est le modèle opérationnel que nous appliquons chez Medical Marketing lorsque nous gérons les campagnes Google Ads des cliniques : des flux de données sans PHI vers la plateforme, une attribution complète dans les systèmes du cabinet. Conforme et mesurable ne s'opposent pas : c'est la même discipline appliquée à deux niveaux.
Configurez le compte ainsi dès le premier jour et la loi HIPAA cesse d'être la raison pour laquelle vous évitez le référencement payant. Elle devient la raison pour laquelle vous le pilotez mieux que les cabinets qui n'ont jamais vérifié leur tuyauterie.
Questions fréquentes
Google signe-t-il un BAA pour Google Ads ?
Non. Google signe des contrats de sous-traitance pour certains services Google Workspace et Google Cloud, mais pas pour Google Ads ni pour Google Analytics en version standard. Rien de ce que vous envoyez à la plateforme publicitaire — données de balises, audiences, listes importées, détails de conversion — ne doit donc contenir de données de santé protégées. La conformité doit être construite de votre côté du flux de données, elle ne s'obtient pas par contrat.
Ma clinique peut-elle utiliser le remarketing ?
Pas comme dans les autres secteurs. Les audiences constituées à partir des portails patients, des pages de prise de rendez-vous ou des contenus consacrés à une pathologie sont en pratique des listes de personnes ayant cherché des soins, donc des PHI. La politique de Google sur les annonces personnalisées interdit par ailleurs le ciblage fondé sur la santé. La plupart des équipes conformité en santé désactivent totalement le remarketing et réaffectent le budget à des campagnes de recherche à forte intention.
Google Analytics est-il conforme à la loi HIPAA pour le suivi publicitaire ?
Google Analytics en version standard ne l'est pas : Google refuse de signer un BAA pour cet outil et les orientations du HHS visent expressément les technologies de suivi sur les sites de santé. S'il vous faut une analytique reliée aux campagnes, optez pour une configuration côté serveur ou pour un prestataire d'analytique santé qui signe un BAA, supprime les identifiants et ne transmet que des événements anonymisés.
Le hachage des e-mails de patients suffit-il pour importer une liste Customer Match ?
Non. Le hachage est une mesure de sécurité, pas une anonymisation au sens de la loi HIPAA. Une adresse e-mail de patient hachée reste une information identifiant une personne, et son import chez un prestataire sans BAA demeure une divulgation non autorisée. Customer Match ne doit jamais être alimenté par votre dossier patient informatisé, votre logiciel de gestion de cabinet ou toute liste issue des dossiers patients.
Puis-je encore mesurer quelles campagnes génèrent réellement des rendez-vous ?
Oui. Enregistrez la campagne, le mot-clé et l'identifiant de clic dans votre CRM conforme à la loi HIPAA au moment de la demande, indiquez quelles demandes aboutissent à un rendez-vous et calculez le coût par rendez-vous pris en interne. Ne renvoyez à Google que des signaux de conversion agrégés et anonymisés, afin que ses enchères continuent d'apprendre. Vous ne perdez rien de ce qui compte pour décider.