La Commission nationale de l’informatique et des libertés,
Saisie pour avis par la ministre des solidarités et de la santé du dossier de demande d’agrément de le Centre Hospitalier de Béziers, candidat à l’hébergement de données de santé à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code de la santé publique, notamment ses articles L. 1110-4, L. 1111-8 et suivants et R. 1111-1 à R. 1111-15-1 ;
Vu le code de la sécurité sociale, notamment son article L. 161-36-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Valérie PEUGEOT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés est saisie pour avis par la ministre des solidarités et de la santé, conformément aux dispositions de l’article R. 1111-10 du code de la santé publique, de la demande d’agrément présentée par le Centre hospitalier de Béziers, candidat à l’hébergement de données de santé à caractère personnel.
La Commission doit se prononcer, conformément auxdites dispositions, sur
les garanties présentées par le candidat à l’agrément en matière de protection des personnes à l’égard des traitements de données de santé à caractère personnel et de sécurité de ces données
La Commission rappelle que quel qu’ait été son avis, émis au vu du dossier qui lui a été communiqué, elle a le pouvoir de diligenter des contrôles auprès de tout responsable de traitement afin de procéder à toute opération de vérification nécessaire, conformément aux dispositions des articles 19 de la loi du 6 janvier 1978 modifiée et 16 et suivants du décret n° 2019-536 du 29 mai 2019 pris pour application de cette loi.
Emet dans ces conditions l’avis suivant
Candidat hébergeur :
Le candidat propose un service d’hébergement de données de santé à caractère personnel de type PaaS ( Platform as a Service ) où le candidat fournit au client des prestations de mise à disposition, d’exploitation et de gestion de plateformes techniques destinées à héberger des applications contenant des données médicales à caractère personnel.
Le candidat ne fait appel à aucun sous-traitant.
Le candidat est membre du Groupement Hospitalier de Territoire (GHT) de l'Ouest Hérault. Le candidat propose ces prestations exclusivement aux membres du GHT de l’Ouest Hérault.
Ces prestations peuvent inclure une fonctionnalité d'accès direct du patient aux applications hébergées.
Le périmètre de l’agrément est conforme aux exigences de la Commission.
La politique de sécurité des systèmes d’informations est conforme aux critères exigés par la Commission.
La procédure de gestion du personnel et des habilitations est conforme aux critères exigés par la Commission, sous la réserve suivante :
- la politique de gestion des accès mentionne l'utilisation de comptes génériques. A cet égard, la Commission recommande que l'utilisation de comptes génériques soit limitée au strict minimum, se fasse sous le contrôle du RSSI et soit associée à des outils de traçabilité spécifiques.
Le Plan de continuité d’activité est conforme aux critères exigés par la Commission, sous la réserve suivante :
- le candidat dispose potentiellement de trois sites d’hébergement distants de plusieurs kilomètres ( Montimaran , Perréal et Camille Claudel ). Toutefois les salles d’hébergement sont toutes situées sur le site de Montimaran, même si l’activité d’hébergement sur le site de Perréal est en projet. Un projet de transfert d’une salle de secours sur le site de Perréal est également en cours ;
- la Commission note que les sauvegardes sont chiffrées avec l’algorithme AES-256 et que des tests de restauration réguliers sont effectués. Les sauvegardes sont stockées sur disques dans un réseau de stockage spécialisé.
La procédure de traçabilité est conforme aux critères exigés par la Commission, sous les réserves suivantes :
- le candidat reporte contractuellement sur son client l'obligation de définir une politique de traçabilité des actions effectuées sur les équipements et applications de ce dernier ;
- les traces techniques des équipements sous la responsabilité du candidat sont collectées, exploitées et sécurisées. L’algorithme de chiffrement de ces traces n’est toutefois pas précisé ;
- la durée de conservation de ces traces techniques est fixée à un an, ce qui est conforme aux préconisations de la Commission.
Les droits des personnes concernées sont respectés conformément aux exigences de la Commission :
- les documents contractuels sont à jour des textes applicables (Article L. 1111-8 du code de la santé publique, modifié par la loi n° 2016-041 du 26 janvier 2016 de modernisation de notre système de santé) ;
le candidat reporte sur ses clients l'information des personnes et effectue son devoir de conseil en fournissant un modèle de note d'information annexée au contrat.
Le personnel concerné est formé conformément aux exigences de la Commission, sous les réserves suivantes :
- des formations et sensibilisations sont effectuées à l’arrivée du personnel puis tous les trois ans. La Commission recommande de former le personnel de manière annuelle et de prendre en compte la spécificité des données de santé ;
- la Commission recommande qu’une formation soit effectuée lors du départ d’un membre du personnel, au cours de laquelle lui seront rappelées ses responsabilités légales, ainsi que ses obligations en matière de confidentialité.
Avis de la Commission :
Pour la présidente
La Vice-Présidente déléguée
Sophie LAMBREMON