AgentPublic/cnil huggingface dataset:
10.7. Dans le cas où des données à caractère personnel collectées conformément au présent référentiel font l'objet d'une réutilisation à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, une nouvelle information individuelle des personnes concernées est requise, sauf si :
la personne concernée dispose déjà des informations prévues aux articles 13 ou 14 du RGPD concernant ce traitement ultérieur ;
l'information délivrée lors de la collecte des données dans le cadre d'une autorisation d'accès compassionnel prévoit la possibilité de réutiliser les données, et renvoie à un dispositif spécifique d'information (par exemple : un portail de transparence disponible sur une site web) auquel les personnes concernées pourront se reporter préalablement à la mise en œuvre de chaque nouveau traitement de données.
11. Droits des personnes
11.1. Les personnes concernées par le traitement et/ou leurs représentants légaux (patients, personnes affectées par la prise du traitement en lien avec le patient et professionnels de santé) disposent des droits suivants :
droit d'accès ;
droit de rectification ;
droit à la limitation (par exemple, lorsque la personne conteste l'exactitude de ses données, elle peut demander au responsable de traitement le gel temporaire de ses données le temps que celui-ci procède aux vérifications nécessaires).
11.2. Conformément à l'article L. 1111-6 du CSP, le patient peut être accompagné dans ses démarches par la personne de confiance qu'il a désignée.
11.3. Dans la mesure où le traitement de données à caractère personnel est fondé sur le respect d'une obligation légale et poursuit un objectif d'intérêt public dans le domaine de la santé publique, les personnes concernées ne disposent ni du droit d'opposition, ni du droit à l'effacement, ni du droit à la portabilité des données. Les personnes concernées en sont informées préalablement.
11.4. S'agissant du patient, ses droits s'exercent à tout moment auprès du professionnel de santé intervenant dans sa prise en charge ou par l'intermédiaire du médecin de son choix. Il peut également exercer ses droits directement auprès du responsable de traitement. Dans cette hypothèse, le patient est informé des conséquences sur la confidentialité de ses données.
11.5. S'agissant des personnes en lien avec le patient et qui sont affectées par la prise du médicament, ces droits s'exercent dans des conditions compatibles avec les dispositions relatives au secret médical et professionnel. Plus précisément, l'exercice des droits de ces personnes ne doit pas conduire le laboratoire à communiquer des informations couvertes par le secret médical. Si l'exercice des droits de la personne en lien avec le patient et qui est affectée par la prise du médicament nécessite que le responsable de traitement révèle des informations confidentielles concernant le patient, le responsable de traitement devra en informer la personne en lien avec le patient et pourra ne pas donner suite à sa demande d'exercice des droits.
11.6. S'agissant des professionnels de santé intervenant dans la prise en charge du patient, leurs droits s'exercent directement auprès du responsable de traitement.
12. Transfert des données en dehors de l'Union européenne (2)
12.1. Les données indirectement identifiantes des patients, des personnes en lien avec le patient qui sont affectées par la prise du médicament et les données directement identifiantes des professionnels de santé ne peuvent faire l'objet d'un transfert hors de l'Union européenne que si les conditions suivantes sont réunies :
les dispositions de l'article 8 relatives aux destinataires des données sont respectées ;
le transfert est strictement nécessaire à la mise à disposition du médicament sous autorisation d'accès compassionnel et le suivi des patients traités par un médicament faisant l'objet d'une telle autorisation.
12.2. En outre, le transfert peut être effectué dans le cadre de la déclaration de conformité au présent référentiel uniquement si l'une des conditions suivantes, prévues au chapitre V du RGPD, est remplie :
le transfert s'effectue à destination d'un pays ou d'une organisation internationale reconnu par la Commission européenne comme assurant un niveau de protection adéquat, conformément à l'article 45 du RGPD (décision d'adéquation) ;
le transfert s'effectue moyennant des garanties appropriées, listées à l'article 46.2, du RGPD (notamment : clauses contractuelles types approuvées par la Commission européenne, règles d'entreprise contraignantes, code de conduite, mécanisme de certification), et, le cas échéant, de mesures supplémentaires si la législation du pays dans lequel les données sont exportées fait obstacle au respect des garanties contractuelles (3) ;
en l'absence d'une décision d'adéquation ou de garanties appropriées, le transfert peut être fondé sur l'une des exceptions prévues à l'article 49 du RGPD sous réserve que les conditions particulières, d'interprétation stricte, énoncées dans cet article s'appliquent (4).
12.3. Le responsable de traitement doit avoir préalablement informé les personnes concernées du transfert de leurs données à caractère personnel vers des pays tiers à l'Union européenne, de l'existence ou de l'absence d'une décision d'adéquation ou de garanties appropriées, et enfin des moyens d'en obtenir une copie conformément aux articles 13.1 f et 14.1 f du RGPD.
12.4. Est considéré comme un transfert, tout accès distant aux données depuis l'extérieur du territoire de l'Union européenne (visualisation).
13. Sécurité
13.1. De manière générale, le responsable de traitement ainsi que son ou ses sous-traitant(s), y compris les établissements assurant la collecte des données, doivent prendre toutes les précautions utiles au regard des risques présentés par le traitement, pour préserver la sécurité des données à caractère personnel et, notamment, au moment de leur collecte, durant leur transmission et leur conservation, empêcher qu'elles ne soient altérées, endommagées, perdues ou que des tiers non autorisés y aient accès.
13.2. Le responsable du traitement définit, met en œuvre et contrôle l'application d'une politique de sécurité qui doit notamment décrire les mesures répondant à l'exigence de sécurité du traitement prévu par l'article 32 du RGPD.
13.3. En particulier, dans le contexte du présent référentiel, le responsable de traitement et ses sous-traitants, doivent adopter les mesures techniques et organisationnelles suivantes, mesures qui doivent être lues à la lumière des autres réglementations applicables à la sécurité des systèmes d'information en santé, notamment la politique générale de sécurité des systèmes d'information en santé (PGSSI-S) :
Numéros d'exigence
Exigences de sécurité
Sensibiliser les utilisateurs
SEC-SEN-1
Informer et sensibiliser les personnes manipulant les données
Chaque personne habilitée à accéder aux données concernées par le présent référentiel doit être formée au respect du secret professionnel et être régulièrement sensibilisée aux risques et obligations inhérents au traitement de données à caractère personnel, et en particulier aux données de santé et aux catégories particulières de données à caractère personnel (comme les données génétiques ou celles révélant l'origine ethnique du patient).
SEC-SEN-2
Rédiger une charte informatique et lui donner une force contraignante
Chaque personne habilitée à accéder aux données traitées dans le cadre d'un traitement encadré par le présent référentiel doit s'engager à respecter une charte de confidentialité précisant notamment les sanctions en cas de non-respect.
Authentifier les utilisateurs
SEC-AUT-1
Définir un identifiant (login) unique à chaque utilisateur
Chaque personne habilitée à accéder aux données traitées dans le cadre d'un traitement encadré par le présent référentiel doit disposer d'un identifiant unique et individuel. Les comptes partagés entre plusieurs utilisateurs sont à proscrire.
SEC-AUT-2
Mettre en place une authentification des utilisateurs
Le responsable de traitement met en place une authentification multi-facteurs forte faisant intervenir a minima deux facteurs d'authentification distincts pour l'ensemble des utilisateurs et administrateurs, par exemple en utilisant un identifiant couplé à un mot de passe et à un mot de passe à usage unique généré via un protocole cryptographique.
L'authentification des professionnels de santé, dans le cas où le recueil des données est opéré au moyen d'une interface permettant la saisie électronique des données, est assurée par le service dématérialisé prévu au II de l'article R. 5121-74-5 du CSP. En tout état de cause, cette authentification devra être conforme aux exigences de la PGSSI-S, dans son volet relatif à l'identification électronique des acteurs des secteurs sanitaire, médico-social et social, applicable aux personnes physiques.
SEC-AUT-3
Adopter une politique de mot de passe utilisateur conforme aux recommandations de la CNIL
Si l'un des facteurs d'authentification est un mot de passe, celui-ci doit être conforme à la délibération n° 2022-100 du 21 juillet 2022 de la CNIL portant adoption d'une recommandation relative aux mots de passe et aux autres secrets partagés, et abrogeant la délibération n° 2017-190 du 22 juin 2017, ou toute autre mise à jour ultérieure de cette recommandation.
SEC-AUT-4
Obliger l'utilisateur à changer son mot de passe après réinitialisation
L'utilisateur doit changer tout mot de passe attribué par un administrateur ou automatiquement par le système lors de la création du compte ou d'une réinitialisation.
SEC-AUT-5
Limiter le nombre de tentatives d'accès à un compte
Le responsable de traitement doit prévoir une limite du nombre de tentatives d'accès à toute plateforme électronique utilisée pour recueillir les données traitées dans le cadre d'un traitement encadré par le présent référentiel et mettre en place un blocage temporaire de l'accès lorsque la limite est atteinte.
Gérer les habilitations
SEC-HAB-1
Définir des profils d'habilitation
Différents profils d'habilitation doivent être prévus afin de gérer les accès aux données en tant que besoin et de façon exclusive, d'une durée déterminée et limitée.
Une granularité des accès aux données doit être prévue pour chaque type de profil, par exemple un accès uniquement à des données agrégées, un accès à des données pseudonymisées ou un accès à des données directement identifiantes. Il convient également de distinguer les accès aux données de santé des accès aux autres données.
Les accès privilégiés disposant de droits étendus, notamment pour l'administration et la maintenance, doivent être réservés à une équipe restreinte et être limités au strict nécessaire.
SEC-HAB-2
Supprimer les permissions d'accès obsolètes
Les permissions d'accès doivent être retirées dès le retrait des habilitations, par exemple après le départ d'un collaborateur.
SEC-HAB-3
Réaliser une revue annuelle des habilitations
Une revue des habilitations doit être réalisée régulièrement et a minima annuellement.
Sécuriser les échanges avec d'autres organismes
SEC-ÉCH-1
Sécuriser le recueil d'informations via une plateforme électronique
Si le recueil de données à caractère personnel se fait au format électronique à l'aide d'une plateforme dédiée, le responsable de traitement prévoit que les données soient envoyées de façon chiffrée :
soit en chiffrant directement les données ;
soit en utilisant un canal de communication chiffré (via des protocoles du type HTTPS, SFTP).
Dans tous les cas, les algorithmes de chiffrement employés devront satisfaire les exigences SEC-CRY-1.
La confidentialité des secrets (clé de chiffrement, mot de passe, etc.) devra être assurée en les transmettant via un canal de communication distinct (par exemple, dépôt du fichier chiffré sur la plateforme et communication du mot de passe par téléphone ou SMS).
SEC-ÉCH-2
Sécuriser les envois par courriel
S'agissant des transmissions de données par courriel, celles-ci devront être sécurisées, par exemple en chiffrant les données à caractère personnel par un algorithme de chiffrement asymétrique avec une clé privée détenue uniquement par le destinataire des données.
La confidentialité des secrets (clé de chiffrement, mot de passe, etc.) devra être assurée en les transmettant via un canal distinct (par exemple, envoi du fichier chiffré par courriel et communication du mot de passe par téléphone ou SMS).
Lors de la transmission par courriel, l'expéditeur devra s'assurer qu'il s'agit du bon destinataire, afin d'éviter que des données à caractère personnel ne soient accidentellement divulguées à un tiers non autorisé.
SEC-ÉCH-3
Sécuriser les envois par fax
Si le format papier est utilisé et que les transmissions sont effectuées par fax, les mesures de sécurité suivantes doivent être mises en œuvre :
Le fax doit être situé dans un local physiquement contrôlé et accessible uniquement au personnel habilité ;
L'impression des messages doit être subordonnée à l'introduction d'un code d'accès personnel ;
Lors de l'émission des messages, le fax doit afficher l'identité du fax destinataire afin d'être assuré de l'identité du destinataire ;
Le carnet d'adresses des fax doit pré-enregistrer, dans la mesure du possible, les destinataires potentiels afin d'éviter toute erreur de destinataire.
SEC-ÉCH-4
Envoyer de manière sécurisée les rapports de synthèse aux autorités
Le responsable de traitement doit prendre les mesures de sécurité adéquates, y compris celles listées dans les exigences SEC-ÉCH-1, SEC-ÉCH-2 et SEC-ÉCH-3, afin de transmettre aux autorités compétentes les rapports de synthèse. L'usage d'une plateforme électronique d'échange de documents sécurisée est à privilégier.
Utiliser des fonctions cryptographiques
SEC-CRY-1
Utiliser des algorithmes, des logiciels et des bibliothèques reconnues
Les données à caractère personnel doivent être chiffrées au repos par des algorithmes et tailles de clé conformes à l'annexe B1 du référentiel général de sécurité (" RGS "). Une procédure opérationnelle de gestion des clés doit être formalisée.
Les sauvegardes de ces données doivent également faire l'objet d'un chiffrement conforme à l'annexe B1 du RGS.
Toutes les transmissions de données sont réalisées via des canaux de communication chiffrés et assurant l'authentification de la source et du destinataire (type HTTPS, avec une version de TLS la plus à jour possible).
SEC-CRY-2
Conserver les secrets et les clés cryptographiques de manière sécurisée
Ces secrets doivent être protégés, a minima par la mise en œuvre de droits d'accès restrictifs et d'un mot de passe sûr.
Tracer les accès
SEC-JOU-1
Prévoir un système de journalisation (logs)
Les actions des utilisateurs doivent faire l'objet de mesures de journalisation notamment, a minima, les accès des utilisateurs, l'horodatage de leurs accès ainsi que les détails des actions effectuées (comme des opérations de lecture ou d'écriture) ainsi que la référence de l'enregistrement concerné.
Les traces de journalisation doivent être conservées pendant une durée comprise entre six mois et un an.
SEC-JOU-2
Informer les utilisateurs de la mise en place du système de journalisation
Les utilisateurs participant aux traitements encadrés par le présent référentiel doivent être informés de la mise en place du dispositif de journalisation, de la nature des données collectées et de la durée de conservation de ces traces.
SEC-JOU-3
Protéger les équipements de journalisation et les informations journalisées
L'architecture de journalisation doit être centralisée et les journaux doivent faire l'objet de mesures de protection particulières. L'accès aux journaux est restreint aux seules personnes ayant obtenu une autorisation spécifique basée sur la stricte nécessité.
SEC-JOU-4
Contrôler les traces
Un contrôle automatique ou semi-automatique des traces doit être réalisé régulièrement et a minima tous les deux mois, afin de détecter d'éventuelles anomalies.
Gérer les incidents et les violations de données
SEC-VIO-1
Prévoir les procédures pour les incidents de sécurité
Une politique de gestion des incidents de sécurité est mise en œuvre afin de répondre immédiatement à tout éventuel incident de sécurité et d'identifier si l'incident entraîne une violation des données à caractère personnel traitées par le responsable de traitement.
La politique prévoit notamment une procédure visant à mettre en œuvre des actions de remédiation afin de réduire la gravité du préjudice pour une personne concernée par la violation de données et de corriger les vulnérabilités engendrées par les incidents de sécurité.
SEC-VIO-2
Prévoir les procédures pour les notifications de violation de données à caractère personnel
			Le responsable de traitement prévoit une procédure pour déterminer la gravité d'une violation de données (c'est-à-dire toute atteinte, même temporaire, à la confidentialité, à la disponibilité ou à l'intégrité des données) pour les personnes concernées.
Le cas échéant, s'il existe un risque pour les personnes concernées, le responsable de traitement devra procéder à la notification de la violation auprès de l'autorité en charge de la protection des données à caractère personnel compétente sur le territoire dans lequel le responsable de traitement a son établissement principal et, dans l'hypothèse où le responsable de traitement n'est pas établi sur le territoire de l'Union européenne, à la CNIL dans les conditions prévues à l'article 33 du RGPD.
Si ce risque est estimé élevé, le responsable de traitement devra communiquer la violation aux personnes concernées dans les conditions prévues à l'article 34 du RGPD.
Le responsable de traitement doit documenter en interne toute violation de données quel que soit son niveau de gravité.
Sauvegarder et prévoir la continuité d'activité
SEC-SAU-1
Effectuer des sauvegardes fréquentes des données
Que les données soient sous forme papier ou électronique, des sauvegardes complètes doivent être prévues à intervalles réguliers. Le processus de restauration des données à partir des sauvegardes doit également faire l'objet de tests réguliers.
SEC-SAU-2
Stocker les supports de sauvegarde dans un endroit sûr
Les supports de sauvegardes (disque dur externe, clé USB, etc.) doivent être conservés dans un lieu sûr et différent du lieu de stockage des données. Les supports à privilégier sont ceux ayant une longévité suffisante.
SEC-SAU-3
Prévoir des moyens de sécurité pour le convoyage des sauvegardes
Lorsque les sauvegardes sont transmises par le réseau, il convient de chiffrer le canal de transmission des sauvegardes lorsqu'elles sont transmises via un réseau public.
SEC-SAU-4
Prévoir et tester régulièrement la continuité d'activité
Le responsable de traitement prévoit un plan de reprise et de continuité d'activité informatique, même sommaire. Il doit s'assurer que les utilisateurs et les sous-traitants savent qui contacter en cas d'incident.
Ce plan de continuité ou de reprise d'activité ainsi que la restauration des sauvegardes doivent être régulièrement testées.
Archiver de manière sécurisée
SEC-ARC-1
Mettre en œuvre des modalités d'accès spécifiques aux données archivées
Le responsable de traitement définit un processus d'archivage et de gestion des archives, qui inclut les modalités d'accès spécifiques aux données archivées, du fait que l'utilisation des données archivées doit intervenir de manière ponctuelle et exceptionnelle.
SEC-ARC-2
Détruire les archives obsolètes de manière sécurisée
Le responsable de traitement met en œuvre un mode opératoire garantissant que l'intégralité d'une archive a été détruite.
13.4. De façon plus générale, le responsable de traitement ou son sous-traitant, si le responsable de traitement a recours à des prestataires informatiques dans le cadre des traitements visés par le présent référentiel, doivent mettre en œuvre et documenter les mesures suivantes :
Catégories
Mesures
Sécuriser les postes de travail
			Prévoir une procédure de verrouillage automatique de session
			Utiliser un antivirus régulièrement mis à jour
			Installer un " pare-feu " (" firewall ") logiciel
			Recueillir l'accord de l'utilisateur avant toute intervention de maintenance à distance sur son poste
Sécuriser l'informatique mobile
			Prévoir des moyens de chiffrement des supports de stockage des équipements mobiles
			Faire des sauvegardes ou des synchronisations régulières des données
			Exiger un secret pour le déverrouillage des ordiphones
Protéger le réseau informatique interne
			Limiter les flux réseau au strict nécessaire
			Sécuriser les accès distants des appareils informatiques nomades par VPN
			Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi
Sécuriser les serveurs
			Limiter l'accès aux outils et interfaces d'administration aux seules personnes habilitées
			Définir et implémenter une politique de mise à jour des outils logiciels et installer sans délai les mises à jour critiques
Sécuriser les sites web
			Utiliser le protocole TLS et vérifier sa mise en œuvre
			Vérifier qu'aucun mot de passe ou identifiant n'est transmis via des URL
			Contrôler que les entrées des utilisateurs correspondent à ce qui est attendu
			Mettre un bandeau de consentement pour les traceurs (cookies) non nécessaires au service
Encadrer la maintenance et la destruction des données
			Enregistrer les interventions de maintenance dans une main courante
Encadrer par un responsable de l'organisme les interventions de maintenances réalisées par des tiers
			Effacer les données de tout matériel avant sa mise au rebut
Protéger les locaux
			Restreindre les accès aux locaux au moyen de portes verrouillées que ce soit aux fichiers papiers ou aux matériels informatiques, notamment aux serveurs.
			Installer des alarmes anti-intrusion et les vérifier périodiquement
Encadrer les développements informatiques
			Proposer des paramètres respectueux de la vie privée aux utilisateurs finaux
			Éviter les zones de commentaires ou les encadrer strictement
			Réaliser les tests et recettes sur des données fictives ou anonymisées
13.5. Ces mesures ne sont pas exhaustives et devront être complétées par les éventuelles mesures qui auront été jugées nécessaires lors de la réalisation de l'analyse d'impact sur la protection des données menée, tel que détaillé à l'article 14 du présent référentiel.
13.6. Le responsable de traitement pourra utilement se référer au Guide de la sécurité des données personnelles (5) publié par la CNIL.
13.7. Les articles 5.1 f et 32 du RGPD nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques, afin que celles-ci soient conformes à l'état de l'art.
14. Analyse d'impact relative à la protection des données
14.1. Conformément à l'article 35 du RGPD, le responsable de traitement doit réaliser et documenter une analyse d'impact relative à la protection des données (AIPD).
14.2. Pour réaliser et documenter son analyse d'impact, le responsable de traitement pourra se reporter :
aux principes contenus du présent référentiel ;
aux outils méthodologiques proposés par la CNIL sur son site web.
14.3. Le cas échéant, le responsable de traitement pourra élaborer une procédure relative à l'AIPD permettant d'impliquer les acteurs et les personnes pertinentes pour sa réalisation, notamment le délégué à la protection des données (DPD/DPO), qui devra être consulté.
14.4. L'AIPD devra être réexaminée et mise à jour régulièrement, notamment si des changements importants sont prévus dans le traitement ou si les risques pour les personnes concernées ont évolué (comme la poursuite d'une finalité supplémentaire, le recours à un nouveau sous-traitant, de nouvelles données collectées, une fuite de données permettant la réidentification, etc.).
14.5. Conformément à l'article 36 du RGPD, le responsable de traitement doit consulter la CNIL préalablement à la mise en œuvre du traitement si, à l'issue de l'analyse d'impact, il ne parvient pas à identifier et à mettre en place des mesures suffisantes pour réduire les risques à un niveau acceptable (risque résiduel restant trop élevé).
________________________________________________________