Sur la sécurité des données.
Le responsable de traitement prend toutes précautions utiles pour préserver la sécurité des données traitées, afin notamment d'empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
A cet effet, le responsable de traitement doit utiliser un service de messagerie sécurisée de santé conforme aux exigences de sécurité imposées par l'article 34 de la loi du 6 janvier 1978 modifiée.
Il doit réaliser ou s'assurer qu'a été réalisée, lorsqu'il fait appel à un prestataire éditeur d'une solution de messagerie sécurisée de santé, une analyse des risques que le système de messagerie fait peser sur les libertés et la vie privée des personnes concernées.
Conformément aux dispositions du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, le responsable de traitement est tenu, le cas échéant, d'attester de sa conformité aux exigences du référentiel général de sécurité (RGS) et de rendre cette attestation accessible au public.
Les services de messageries sécurisées de santé doivent assurer une identification et une authentification fiables des professionnels habilités, afin de garantir la confiance dans ces dispositifs.
La mise en place d'un service de messagerie sécurisée de santé doit, en outre, satisfaire aux conditions suivantes :
1. Le service de messagerie doit garantir l'identité de l'émetteur et du destinataire d'un message en vérifiant leur appartenance à un référentiel d'identification national ou local.
Le responsable de traitement est garant de l'identification et de l'authentification des professionnels habilités.
La commission rappelle qu'en application de l'article de l'article 6-1° de la loi du 6 janvier 1978 modifiée un traitement de données à caractère personnel doit satisfaire à une condition de licéité. Dès lors, pour la création d'un compte de messagerie, le responsable de traitement est tenu de s'assurer de l'identité de l'utilisateur final et de son exercice légal de la profession. Lorsque des comptes de messageries dits « organisationnels ou applicatifs » sont créés, ceux-ci n'identifient pas une personne physique, mais un service, un secrétariat, un automate ou toute forme d'organisation. Cette création est réalisée sous la responsabilité du responsable de traitement de la structure auquel ils se rattachent. En tout état de cause, le responsable de traitement doit veiller à ce que les traces d'accès à ces comptes de messagerie permettent d'identifier la personne physique qui a accédé au compte applicatif ou organisationnel.
Pour l'accès et l'utilisation d'un compte de messagerie :
- s'agissant des professionnels de santé, l'authentification doit être réalisée au moyen d'une carte de professionnel de santé (CPS) ou d'un dispositif équivalent agréé par l'organisme chargé d'émettre la CPS ;
- s'agissant des autres professionnels habilités, l'utilisateur final doit s'authentifier de manière forte, c'est-à-dire par un procédé qui requiert au minimum deux facteurs d'authentification distincts parmi ce que l'on sait (par exemple un mot de passe), ce que l'on a (par exemple un certificat électronique ou une carte à puce) et une caractéristique qui nous est propre (par exemple une empreinte).
Le service de messagerie sécurisée de santé doit être doté d'un dispositif assurant la traçabilité des actions d'utilisation et d'exploitation du service. Ces traces doivent être conservées dans des conditions permettant d'assurer la sécurité des données, notamment leur pérennité et leur intégrité.
2. Le service de messagerie doit assurer la sécurité des messages et des pièces jointes lors de leur transfert.
Le service de messagerie sécurisée de santé doit être mis en œuvre de façon à garantir la sécurité des messages et pièces jointes, notamment leur confidentialité et leur intégrité durant leur transfert entre le poste des professionnels habilités (l'utilisateur final-émetteur et l'utilisateur final-destinataire).
A cette fin, le recours à des moyens de chiffrement conformes à l'état de l'art pour protéger le transfert des messages et des pièces jointes est obligatoire.
3. Le service de messagerie sécurisée de santé doit assurer la conservation sous une forme sécurisée des messages et des pièces jointes.
Lorsque le responsable de traitement développe lui-même le service de messagerie sécurisée de santé utilisé par les professionnels habilités et qu'il conserve par ses propres moyens les serveurs de messagerie sécurisée de santé, il est tenu de mettre en place les moyens techniques et organisationnels adéquats.
Le responsable de traitement doit ainsi assurer la disponibilité, l'intégrité, la traçabilité et la sécurité physique et logique des messages et des pièces jointes qu'il conserve.
Les moyens mis en œuvre doivent être conformes à l'état de l'art et adaptés à la finalité d'un service de messagerie sécurisée de santé. Ces moyens doivent correspondre aux mesures de sécurité retenues au terme d'une analyse des risques.
Lorsque le responsable de traitement ne conserve pas par ses propres moyens les données de santé à caractère personnel échangées et collectées par le biais d'un service de messagerie sécurisée de santé, il doit veiller à ce que les serveurs de messagerie soient conservés par un hébergeur agréé à cet effet, dans les conditions conformes aux articles L. 1111-8 et R. 1111-9 et suivants du code de la santé publique.
L'hébergeur ainsi agréé garantit la disponibilité, l'intégrité, la confidentialité et la traçabilité des données de santé.
Lorsque le responsable de traitement utilise un service de messagerie sécurisée de santé développé et fourni par un prestataire, il doit s'assurer que celui-ci respecte l'ensemble des dispositions du présent article 7.