AgentPublic/cnil huggingface dataset:
- les personnels des organismes d'assurance maladie complémentaire, autorisés de par leur fonction à traiter des données de santé, notamment de l'identité de leurs assurés, de leur numéro de sécurité sociale et sous la forme de codes regroupés, des catégories des actes et prestations effectués ;
- les organismes de recherche dans le domaine de la santé et les organismes spécialisés dans l'évaluation des pratiques de soins, qui peuvent être destinataires de données personnelles de santé dans les conditions définies par le RGPD et la loi du 6 janvier 1978 modifiée (notamment dans le respect du principe de la minimisation des données).
En cas de recours à un prestataire de service pour assurer la maintenance du logiciel et des postes de travail gérant les dossiers patients , celui-ci accède aux données personnelles dans le respect du secret médical. Les données devront être protégées par des moyens physiques et logiques, tels que le chiffrement, afin de permettre au technicien d'assurer ses missions sans pouvoir lire ces données.
Lorsque le logiciel de gestion des dossiers patients est accessible à distance et est hébergé par un prestataire (en général l'éditeur de logiciel, une plateforme de prise de rendez-vous en ligne ou une plateforme de télémédecine) ou si le stockage des données de santé de patients est confié à un prestataire chargé d'en assurer la conservation dans des serveurs à distance (par exemple, un prestataire de sauvegarde ou de permanence téléphonique), ce prestataire doit être hébergeur agréé ou certifié pour l'hébergement, le stockage, la conservation de données de santé conformément aux dispositions de l'article L. 1111-8 du code de la santé publique.
En cas de recours à une plateforme de prise de rendez-vous en ligne, il conviendra de procéder à une répartition claire des responsabilités en fonction des services proposés.
En toute hypothèse, dès qu'un prestataire de services est sollicité pour traiter des données personnelles pour le compte du professionnel de santé (société de maintenance, plateforme en ligne, hébergeur de données de santé agréé ou certifié), cette prestation doit s'effectuer dans les conditions prévues à l'article 28 du RGPD. Un contrat de sous-traitance doit être conclu entre le prestataire et le responsable de traitement. Il devra mentionner que le prestataire, en tant que sous-traitant :
- ne traite les données à caractère personnel que sur instruction du responsable de traitement ;
- veille à la signature d'engagements de confidentialité par le personnel ;
- prend toutes les mesures de sécurité requises ;
- ne recrute pas de sous-traitant sans autorisation écrite préalable du responsable de traitement ;
- coopère avec le responsable de traitement pour le respect de ses obligations, notamment lorsque des patients ont des demandes concernant leurs données ;
- supprime ou renvoie au responsable de traitement l'ensemble des données à caractère personnel à l'issue des prestations ;
- met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations pour permettre la réalisation d'audits.
Le prestataire doit, en sa qualité de sous-traitant, tenir un registre des activités de traitement dans les conditions de l'article 30.2 du RGPD.
Le prestataire doit, en cas d'incident lié aux données qu'il gère pour le compte du responsable de traitement (faille de sécurité, piratage, perte, etc.) l'en informer dans les meilleurs délais, afin que ce dernier puisse respecter ses propres obligations de gestion et de notification de l'incident (4).
7. Durées de conservation
Une durée de conservation précise des données doit être fixée en fonction de chaque finalité : ces données ne peuvent être conservées pour une durée indéfinie.
Au regard des finalités de gestion du cabinet médical ou paramédical, les données enregistrées dans l'application peuvent être conservées pendant une durée de vingt ans à compter de la date de la dernière prise en charge du patient : en base active, pendant une durée de cinq ans à compter de la dernière intervention sur le dossier du patient, puis, à l'issue de cette période, sous la forme archivée sur un support distinct pendant quinze ans, dans des conditions de sécurité équivalentes à celles des autres données enregistrées dans l'application.
Les doubles des feuilles de soins électroniques doivent être conservés trois mois conformément à l'article R. 161-47 du code de la sécurité sociale.
A l'expiration de ces délais, les données sont supprimées ou archivées sous une forme anonymisée.
Il revient aux prestataires fournissant des solutions logicielles d'intégrer des fonctionnalités d'archivage automatique à date d'échéance. A défaut, le professionnel de santé y procèdera manuellement.
La conservation et l'archivage des données doivent être réalisés dans des conditions de sécurité conformes aux dispositions de l'article 32 du RGPD.
Pour en savoir plus, vous pouvez vous référer aux guides de la CNIL :
- Sécurité : Archiver de manière sécurisée ;
- Limiter la conservation des données .
Les données utilisées à des fins statistiques ne sont plus qualifiées de données à caractère personnel dès lors qu'elles ont été dûment anonymisées (voir les lignes directrices du CEPD sur l'anonymisation) ; une pseudonymisation n'est pas une anonymisation : effacer les noms et prénoms des personnes concernées ne suffit pas à anonymiser les données.
8. Information des personnes
Un traitement de données personnelles doit être mis en œuvre en toute transparence vis-à-vis des personnes concernées.
Ainsi, dès le stade de la collecte des données personnelles, les personnes doivent être informées des modalités de traitement de leurs données dans les conditions prévues par les articles 12, 13 et 14 du RGPD (voir guide pratique à destination des médecins).
Les personnes concernées doivent par ailleurs être informées de la manière dont elles peuvent exercer leurs droits.
Les personnes dont les données sont enregistrées et conservées dans les traitements de données à caractère personnel du professionnel de santé sont informées par voie d'affichage dans les locaux du cabinet médical ou paramédical ou par la remise d'un document spécifique, notamment dans le cadre des visites à domicile (tel qu'un dépliant remis au patient ou mis à sa disposition dans la salle d'attente ou un courriel confirmant un rendez-vous).
9. Droits des personnes
Les personnes concernées disposent des droits suivants, qu'ils exercent dans les conditions prévues par le RGPD (voir la rubrique dédiée aux droits) :
- droit de s'opposer au traitement de leurs données, sous réserve des conditions d'exercice de ce droit en application des dispositions de l'article 21 du RGPD : ainsi par exemple, le droit d'opposition ne trouvera pas à s'appliquer au dossier médical ;
- droit d'accès à leur dossier patient, et à toutes les données les concernant de manière générale ;
- droit de rectification des données les concernant, si elles sont inexactes ;
- droit d'effacement des données qui les concernent sous réserve des conditions d'exercice de ce droit en application des dispositions de l'article 17 du RGPD ;
- droit à la limitation du traitement. Par exemple, lorsque la personne conteste l'exactitude de ses données, elle peut demander au professionnel de santé, le gel temporaire du traitement de ses données, le temps que celui-ci procède aux vérifications nécessaires concernant sa demande.
Il est à noter que le choix d'une base légale du traitement conditionne l'existence de certains droits (https://www.cnil.fr/fr/la-liceite-du-traitement-lessentiel-sur-les-bases-legales-prevues-par-le-rgpd). Ainsi, la tenue d'un dossier médical répond à une obligation légale. Le patient ne peut dès lors s'opposer par principe au traitement de ses données personnelles, conformément aux dispositions de l'article 21 du RGPD.
10. Sécurité
Le professionnel de santé doit prendre toutes les précautions utiles au regard des risques présentés par son traitement pour préserver la sécurité des données à caractère personnel et, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès. Pour ce faire, le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles.
Conformément à l'article L. 1110-4-1 du code de la santé publique, le professionnel de santé devra s'assurer que les systèmes d'information, services ou outils numériques qu'il utilise sont conformes aux référentiels de sécurité (5) et d'interopérabilité (6) approuvés par arrêté du ministre chargé de la santé. Il devra également respecter les consignes de sécurité le concernant prévues par ces derniers.
En particulier, dans le contexte spécifique du présent référentiel, l'organisme est invité à adopter les mesures suivantes, à justifier de leur équivalence ou du fait que leur mise en œuvre n'est pas nécessaire :
			Catégories
			Mesures
			Sensibiliser les utilisateurs
			Informer et sensibiliser le personnel du cabinet accédant aux données
			Pour un cabinet mutualisant des ressources informatiques, rédiger une charte informatique et lui donner force contraignante
			Authentifier les utilisateurs
			Définir un identifiant ( login ) propre à chaque utilisateur
Adopter une politique de mots de passe utilisateur conforme aux
			recommandations de la CNIL (7)
			Pour les utilisateurs accédant aux données de santé, utiliser une authentification forte via leur carte de professionnel de santé (CPS) ou tout moyen alternatif à deux facteurs
			Maintenir la CPS au niveau strictement personnel, sans communication du code secret au personnel du cabinet (p. ex. : secrétaire médical) (8)
			Gérer les habilitations
			Attribuer un profil d'habilitation adapté à chaque utilisateur (distinguant notamment les données administratives et les données médicales)
			Supprimer les permissions d'accès obsolètes
			Informer les utilisateurs de la mise en place du système de journalisation
			Prévoir les procédures pour les notifications de violation de données à caractère personnel
			Sécuriser les postes de travail
			Prévoir une procédure de verrouillage automatique de la session informatique
			Permettre la mise à jour régulière des antivirus
			Recueillir l'accord de l'utilisateur avant toute intervention sur son poste
			Limiter le stockage d'informations d'ordre médical sur une tablette ou un ordiphone (en raison des conséquences pour les patients en cas de vol ou de perte du matériel).Si ces équipements sont utilisés, leur niveau de sécurisation des données doit être équivalent à celui des autres équipements (chiffrement, codes d'accès, etc.)
			Exiger un secret pour le déverrouillage des ordiphones ou des tablettes
Protéger les écrans des regards indiscrets (orientation, filtre optique)
			Limiter l'utilisation de supports de stockage amovibles (clés USB, disques dur externe) et chiffrer systématiquement les données sensibles qui y sont conservées
			Ne pas prêter un ordiphone ou une tablette à usage professionnel
			Protéger le réseau informatique interne
			Limiter les connexions d'appareils non professionnels sur le réseau
			Sécuriser les serveurs
			Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
			Permettre l'installation sans délai des mises à jour critiques
			Sauvegarder et prévoir la continuité d'activité
			Effectuer ou permettre l'exécution des sauvegardes régulières
			Stocker les supports de sauvegarde dans un endroit sûr
			Archiver de manière sécurisée
			Mettre en œuvre des modalités d'accès spécifiques aux données archivées
			Détruire les archives obsolètes de manière sécurisée
			Encadrer la maintenance et la destruction des données
			Enregistrer les interventions de maintenance dans une main courante
			Encadrer par un responsable du cabinet les interventions par des tiers
			Effacer les données de tout matériel avant sa mise au rebut
			Gérer la sous-traitance
			Prévoir des clauses spécifiques dans les contrats des sous-traitants
			Prévoir des conditions de restitution et de destruction des données
			S'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
Sécuriser les échanges avec d'autres professionnels de santé et aves les patients
			S'assurer qu'il s'agit bien du bon destinataire
			Utiliser une messagerie électronique sécurisée de santé pour les échanges entre professionnels de santé
			Pour les échanges avec d'autres professionnels intervenant dans la prise en charge du patient ou avec les patients eux-mêmes :
			- procéder au chiffrement des données avant leur envoi sur une messagerie électronique standard (9) et transmettre le secret par un envoi distinct et via un canal différent ;
			- utiliser un protocole de transfert garantissant la confidentialité des messages et l'authentification du serveur de messagerie ;
			- choisir une messagerie hébergeant les données dans un pays ou auprès d'un prestataire garantissant la protection des données conformément aux règles européennes.
			Protéger les locaux
			Restreindre les accès aux locaux au moyen de portes verrouillées
			Installer des alarmes anti-intrusion et les vérifier périodiquement
			Sécuriser le stockage des dossiers au format papier (locaux sécurisés, armoire fermant à clé)
			Récupérer les documents imprimés contenant des données immédiatement après leur impression ou effectuer, lorsque c'est possible, une impression sécurisée
			Détruire les documents papier contenant des données et qui ne sont plus utiles à l'aide d'un broyeur approprié (certifié au minimum classe 3 de la norme DIN 32757105)
En cas d'externalisation de l'hébergement des données, les prestataires informatiques doivent être agréés ou certifiés pour l'hébergement, le stockage, la conservation de données de santé conformément aux dispositions de l'article L. 1111-8 du code de la santé publique.
Les prestataires de service chargés de développer, d'assurer la maintenance du logiciel et des postes de travail gérant les dossiers patients ou proposant une plateforme de rendez-vous sont invités à adopter les mesures suivantes, sous le contrôle du responsable de traitement :
			Catégories
			Mesures
			Sensibiliser les utilisateurs
			Informer et sensibiliser le personnel du cabinet accédant aux données
			Pour un cabinet mutualisant des ressources informatiques, contribuer à la rédaction d'une charte informatique
			Authentifier les utilisateurs
			Définir un identifiant ( login ) propre à chaque utilisateur
			Intégrer une politique de mots de passe utilisateur conforme aux recommandations de la CNIL (10)
			Obliger l'utilisateur à changer son mot de passe après réinitialisation
			Limiter le nombre de tentatives d'accès à un compte
			Pour les utilisateurs accédant aux données de santé, exiger une
			authentification forte via leur carte de professionnel de santé (CPS) ou tout moyen alternatif à deux facteurs
			Gérer les habilitations
			Intégrer des profils d'habilitation distinguant notamment les données administratives et les données médicales
			Supprimer les permissions d'accès obsolètes
Réaliser une revue annuelle des habilitations
			Limiter la diffusion des documents papier contenant des données de santé aux personnes ayant besoin d'en disposer dans le cadre de leur activité
			Tracer les accès et gérer les incidents
			Prévoir un système de journalisation
			Informer les utilisateurs de la mise en place du système de journalisation
			Protéger les équipements de journalisation et les informations journalisées
			Prévoir les procédures pour les notifications de violation de données à caractère personnel
			Sécuriser les postes de travail
			Prévoir une procédure de verrouillage automatique de la session informatique
			Mettre en œuvre des antivirus régulièrement mis à jour
			Installer un pare-feu ( firewall ) logiciel
			Chiffrer les données stockées
			Recueillir l'accord de l'utilisateur avant toute intervention sur son poste
			Sécuriser l'informatique mobile
			Pour l'accès à distance aux dossiers patients, respecter les référentiels d'interopérabilité et de sécurité prévus à l'article L. 1110-4-1 du code de la santé publique
			Protéger les écrans des regards indiscrets
			Limiter l'utilisation de supports de stockage amovibles (clés USB, disques dur externe) et chiffrer systématiquement les données sensibles qui y sont conservées
			Prévoir des mesures de sauvegarde et de synchronisation régulière des données
			Protéger le réseau informatique interne
Limiter les flux réseau au strict nécessaire (bloquer les protocoles et ports qui ne sont pas utilisés)
			Limiter les connexions d'appareils non professionnels sur le réseau
			Sécuriser les accès distants des appareils informatiques nomades par un VPN
			Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
			Sécuriser les serveurs
			Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
			Chiffrer les données stockées
			Installer sans délai les mises à jour critiques
			Assurer une disponibilité des données
			Sécuriser les sites web
			Utiliser le protocole TLS et vérifier sa mise en œuvre
			Vérifier qu'aucun mot de passe ou identifiant n'est incorporé aux URL
			Sauvegarder et prévoir la continuité d'activité
			Prévoir des sauvegardes régulières
			Prévoir le stockage des supports de sauvegarde dans un endroit sûr
			Prévoir des moyens de sécurité pour le convoyage des sauvegardes le cas échéant
			Prévoir et tester régulièrement la continuité d'activité
			Archiver de manière sécurisée
			Mettre en œuvre des modalités d'accès spécifiques aux données archivées
			Détruire les archives obsolètes de manière sécurisée
			Encadrer la maintenance et la destruction des données
			Enregistrer les interventions de maintenance dans une main courante
			Effacer physiquement les données de tout matériel avant sa mise au rebut
			Gérer la sous-traitance
Prévoir des clauses spécifiques dans le contrat avec le responsable de traitement
			Prévoir des conditions de restitution et de destruction des données
			Permettre au responsable de traitement de s'assurer de l'effectivité des garanties prévues (audits de sécurité, visites, etc.)
			Sécuriser les échanges avec d'autres organismes
			Prévoir une messagerie électronique sécurisée de santé pour les échanges entre professionnels de santé
			Pour les échanges avec d'autres professionnels intervenant dans la prise en charge du patient ou avec les patients eux-mêmes :
			- prévoir le chiffrement des données avant leur envoi sur une messagerie électronique standard (11) et la transmission du code secret par un envoi distinct et via un canal différent ;
			- utiliser un protocole de transfert garantissant la confidentialité des messages et l'authentification du serveur de messagerie ;
			- choisir une messagerie hébergeant les données dans un pays ou auprès d'un prestataire garantissant la protection des données conformément aux règles européennes
			Encadrer les développements informatiques
			Proposer par défaut des paramètres respectueux de la vie privée aux utilisateurs finaux
			Éviter les zones de commentaires libres ou les encadrer strictement
			Tester sur des données fictives ou anonymisées (et non pas seulement pseudonymisées)
			Utiliser des fonctions cryptographiques
			Utiliser des algorithmes, des logiciels et des bibliothèques reconnus
Conserver les secrets et les clés cryptographiques de manière sécurisée
11. Mesures complémentaires : Analyse d'impact et Délégué à la protection des données
La CNIL estime que la réalisation d'une AIPD et la désignation d'un délégué à la protection des données (DPO) devraient être nécessaires pour les professionnels de santé qui, exerçant en cabinet groupé, partagent un système d'information commun, à partir d'un seuil annuel de 10 000 patients.
Pour réaliser une étude d'impact, le responsable de traitement pourra se reporter :
aux principes contenus dans ce référentiel,
aux outils méthodologiques proposés par la CNIL sur son site web.
Conformément à l'article 28 du RGPD, le sous-traitant doit fournir au responsable de traitement toute information nécessaire à la réalisation de cette analyse.
(1) Par exemple, le guide rédigé conjointement par le CNOM et la CNIL à destination des médecins.
(2) D'autres bases légales, telles que le contrat ou l'intérêt public, pourraient également être retenues.
(3) Sous réserve de choix différents justifiés par un contexte spécifique.
(4) https://www.cnil.fr/fr/notifications-dincidents-de-securite-aux-autorites-de-regulation-comment-sorganiser-et-qui-sadresser.
(5) https://esante.gouv.fr/securite.
(6) https://esante.gouv.fr/interoperabilite.
(7) https://www.cnil.fr/fr/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires.
(8) Il est possible de mettre en place une authentification forte pour le personnel du cabinet, par exemple au moyen d'un mot de passe à usage unique (identifiant, mot de passe et envoi d'un code à chaque connexion) ou au moyen d'une carte de personnel d'établissement (CPE, à demander à l'Agence du numérique en santé).
(9) Les messageries instantanées ( chat ) doivent être utilisées avec la plus grande précaution, et de manière sécurisée.
(10) https://www.cnil.fr/fr/authentification-par-mot-de-passe-les-mesures-de-securite-elementaires.
(11) Les messageries instantanées ou chat doivent être utilisées avec la plus grande précaution, et de manière sécurisée.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des solidarités et de la santé d’une demande d’avis concernant un projet d’arrêté portant approbation du référentiel Identifiant national de santé ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique, notamment ses articles L. 1111-8-1 et R. 1111-8-1 et s. ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-e) ;
Vu le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-1036 du 8 octobre 2019 modifiant le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé et les articles R. 1111-8-1 à R. 1111-8-7 du code de la santé publique ;
Vu la délibération n° 2014-343 du 18 septembre 2014 portant avis sur un projet de loi relatif à la santé ;
Vu la délibération n° 2017-014 du 19 janvier 2017 portant avis sur un projet de décret relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant de santé ;
Vu la délibération n° 2019-102 du 18 juillet 2019 portant avis sur un projet de décret modifiant le décret n° 2017-412 du 27 mars 2017 relatif à l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques comme identifiant national de santé et les articles R. 1111-8-1 à R. 1111-8-7 du code de la santé publique ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :