Sécurisation des données de Santé : quelles sont vos obligations ?
Médecins traitant, spécialistes, laboratoires d’analyses, établissements de santé, assurance maladie… tous détiennent des données personnelles de santé sensibles, disséminées dans différents systèmes. Mais où qu’elles soient, assurer leur sécurité est un enjeu crucial.
Vols, accès illégitimes et modifications non désirées des données sont des risques dont les établissements de santé doivent se prémunir. En la matière, réglementations, normes et certifications fixent des obligations nécessaires à la sécurisation des données de santé.
PROTECTION DES DONNÉES DE SANTÉ : UN CADRE RÉGLEMENTAIRE PRÉCIS
Les professionnels de santé ont toujours eu à respecter des obligations réglementaires en matière de sécurisation des données de santé : Code de la Santé Publique, la CNIL, la loi Informatique et Libertés, etc.
Ce cadre réglementaire s’est renforcé avec :
- Le Règlement Général sur la Protection des Données (RGPD) : ce texte de référence en matière de protection des données régit le traitement des données personnelles de santé. Il impose notamment la mise en place d’un registre de traitement, de mener des analyses d’impact pour les traitements considérés comme présentant « un risque élevé » pour les personnes, de renseigner les actions menées pour garantir la sécurité des données, etc.
- Le Ségur de la Santé : de nouvelles obligations visent à accélérer et généraliser l’échange et le partage sécurisés des données de santé. Parmi elles, l’obligation, à compter du 1er janvier 2021, d’utiliser le numéro d’inscription au répertoire d’identification des personnes physiques (dit « NIR » qui correspond au numéro de sécurité sociale), comme Identifiant National de Santé (INS). Cet identifiant permet de partager de manière fiable et sécurisée des données de santé entre acteurs de la prise en charge. Cette nouvelle obligation renforce ainsi les règles de sécurité dans la prise en charge et la protection des données.
CONSERVATION DES DONNÉES DE SANTÉ : CE QU’A CHANGÉ LE RGPD
- Une durée de conservation des données limitée : elle est estimée en fonction du temps nécessaire à la satisfaction des objectifs poursuivis par leur collecte ainsi qu’au respect des obligations légales. Une fois le délai de conservation atteint, les données doivent être effacées, ou anonymisées afin de rendre impossible la réidentification de la personne ou archivées sous certaines conditions.
- Droits des usagers renforcé : ces derniers peuvent s’opposer au stockage et à l’utilisation de leurs données personnelles (droit d’opposition, droit de rectification, droit à l’oubli). Un patient ayant confié ses données à un établissement de santé peut à tout moment et sans justification retirer son consentement.
Pour préserver la sécurité des données de santé, toutes les précautions doivent aussi être prises pendant leur durée de conservation, comme lors de leur collecte ou de leur transmission. Celles-ci ne doivent pas être endommagées, ni accessibles par des tiers non autorisés, qu’elles soient traitées en interne ou confiées à un hébergeur externe.
HÉBERGEMENT DES DONNÉES DE SANTÉ : DES CERTIFICATIONS INDISPENSABLES
Externaliser l’hébergement des données de santé est un choix plébiscité par de nombreux établissements de santé. En effet, peu d’entre eux sont en capacité de mettre en œuvre les mesures de sécurité qui s’imposent. Toutefois, un hébergeur externe se doit de disposer des certifications adéquates qui assurent à l’établissement de santé un haut niveau de protection et de sécurisation des données de santé.
- La certification ISO 27001 atteste que l’hébergeur a mis en place un Système de management de la sécurité de l’information (SMSI) efficace, construit sur la base de la norme internationale de référence, l’ISO 27001. Elle garantit que des mesures de protection appropriées ont bien été prises afin d’assurer la confidentialité, la disponibilité et l’intégrité de l’information. Chez Xelians, le périmètre ISO27001 certifié est le suivant : «Fourniture et maintien en condition opérationnelle de l’infrastructure destinée à héberger les applications éditées et fournies par Xelians ».
- La certification HDS (Hébergeur de Données de Santé) est obligatoire pour l’hébergement et l’infogérance des services et applications contenant des données de santé identifiables et personnelles. Elle assure que ces données sont traitées de manière sécurisée et confidentielle.
Xelians est certifié pour l’hébergement de données de santé à caractère personnel sur les activités n°2, 3 et 4. L’activité n°1 est couverte par la certification HDS de ses datacenters.
Discutons de vos projetsDécouvrez notre offre pour les professionnels de santé
