La CNIL rappelle les mesures de sécurité et de confidentialité pour l’accès au DPI

La CNIL rappelle les mesures de sécurité et de confidentialité pour l’accès au DPI (dossier patient informatisé)

La CNIL est une autorité administrative indépendante, autrement dit, elle peut procéder à des contrôles et énoncer des sanctions. Dans ce contexte, les autorités effectuent une partie de ces contrôles à la suite de plaintes, en fonction de l’actualité ou selon leur programme de contrôle, où ils définissent des thématiques prioritaires annuellement.

En ce qui concerne les thématiques de contrôle pour l’année 2023, les thématiques relevées étaient : L’utilisation de caméras « augmentées » par les acteurs publics, l’utilisation du fichier des incidents de remboursement de crédit aux particuliers, l’accès au dossier patient informatisé au sein des établissements de santé, le traçage des utilisateurs par les applications mobiles.

La CNIL a intégré l’accès au DPI dans son programme de contrôle car plusieurs accès illégitimes aux données des patients ont été signalés.

C’est dans ce contexte d’insécurité pour les patients que la CNIL a intensifié les contrôles et précisé les conditions de sécurisation requises au cours de cette année 2024.

Les divers contrôles ont mis en évidence des lacunes dans la gestion des habilitations et des mesures de sécurité informatique, notamment en ce qui concerne la possibilité d’accès aux données de santé du patient par des professionnels de santé non concernés par sa prise en charge.

Le DPI (Dossier Patient Informatisé) constitue un dossier sensible composé de données de santé à caractère personnel, nécessitant la mise en place d’une sécurité conséquente et le respect des droits des personnes.

Il parait alors important de procéder à un rappel des définitions du sujet, ainsi que de spécifier les mesures de sécurité obligatoires. Le lancement de ces contrôles étant la conséquence d’accès illicites aux DPI, il semble important également de préciser les droits des patients à cet égard.

1. Quelques définitions

Le dossier patient informatisé est un fichier informatique comportant l’ensemble des données médicales du patient liées à son parcours de soin. Il permet à l’ensemble des professionnels de santé la prise en charge rapide et qualitative des patients.

La loi du 4 mars 2002 relative aux droits des malades dispose que le dossier médical englobe la documentation des diagnostics, des traitements, ainsi que toutes les correspondances écrites entre les professionnels de santé, de manière plus générale. Celui-ci est donc composé de données de santé à caractère personnel.

Les données à caractère personnel concernant la santé sont les données relatives à la santé physique ou mentale, passée, présente ou future, d’une personne physique (y compris la prestation de services de soins de santé) qui révèlent des informations sur l’état de santé de cette personne.

Trois catégories de données :

  • Celles qui sont des données de santé par nature ;
  • Celles qui du fait de leur croisement avec d’autres données, deviennent des données de santé en ce qu’elles permettent de tirer une conclusion sur l’état de santé ou le risque pour la santé d’une personne ;
  • Celles qui deviennent des données de santé en raison de leur destination, c’est-à-dire de l’utilisation qui en est faite au plan médical.

Ainsi, le dossier patient informatisé constitue une base de données comprenant des informations administratives et médicales nominatives.

La création d’un DPI nécessite, de par son contenu, une sécurisation importante afin de protéger les données de santé qui y figurent.

2. Les mesures de sécurité

Dans le cadre des différentes mises en demeures prononcées par la CNIL, trois types de protection des DPI à mettre en œuvre remontent de manière plus régulière.

  • La sécurisation de l’accès au système grâce à une politique d’authentification robuste soit par un facteur de connaissance, physique ou biologique. Le guide pratique de la CNIL sur l’authentification est disponible dans la rubrique « textes de référence ».
  • La sécurisation des accès aux DPI avec la mise en place d’une politique d’habilitation, permettant à chaque professionnel de santé ou agent de l’établissement d’accéder uniquement aux dossiers pertinents. La gestion des accès se fait par la définition des rôles de chacun, afin de limiter l’accès en fonction des postes occupés. Deux critères de base retenus pour l’élaboration de celle-ci : le métier exercé, la notion d’équipes de soin.
  • La sécurisation des accès par la traçabilité, la journalisation. Cela permet de contrôler et tracer les connexions et actions des utilisateurs. Pour plus d’information vous pouvez vous référer à la rubrique ci-après : « textes de référence ».

D’autres pratiques peuvent également être appliquées et être rendue obligatoire dans certain cas, afin de sécuriser au maximum ces données de santé :

  • Le chiffrement des données : Le chiffrement des données rend les informations médicales illisibles pour toute personne non autorisée. On utilise un algorithme pour encoder les données, ce qui garantit que seules les personnes disposant des clés appropriées peuvent les déchiffrer.
  • La formation et la sensibilisation : Former régulièrement le personnel médical sur les politiques et les procédures de sécurité des données, ainsi que sur les meilleures pratiques en matière de protection des informations médicales sensibles. Une sensibilisation adéquate réduit les risques d’accès non autorisé et d’utilisation inappropriée des dossiers des patients.
  • Politiques de confidentialité et de conformité : Les établissements de santé doivent élaborer et mettre en œuvre des politiques de confidentialité et de conformité strictes pour assurer la protection des données des patients conformément à la règlementation en matière de protection des données et notamment le RGPD.

Ces mesures visent à protéger les informations médicales sensibles des patients, à prévenir les violations de la vie privée et à garantir des soins de santé qualitatifs et sécurisés.

La sécurisation des DPI contribue également à garantir le droit des personnes concernées à la sécurité et à la protection de leurs données personnelles.

3. Les droits des patients

Le Règlement général sur la protection des données (RGPD) accorde aux individus plusieurs droits concernant leurs données personnelles, y compris celles présentes dans leur dossier médical. Dès lors que des données à caractère personnel sont collectées à leur égard, les patients, en tant que personnes concernées, disposent de droits invocables.

  • Le droit d’accès aux données médicales : La personne concernée, son ayant droit en cas de décès de celle-ci, le titulaire de l’autorité parentale, le tuteur ou le médecin désigné comme intermédiaire peuvent demander l’accès au dossier médical auprès du professionnel de santé ou de l’établissement de santé.
  • Le droit de rectification : Si les individus constatent que les données médicales les concernant sont incorrectes ou incomplètes, ils ont le droit de demander leur rectification ou leur mise à jour.
  • Le droit à l’effacement : Ce droit permet aux individus de demander la suppression de leurs données médicales dans le cas d’un motif légitime invoqué.
  • Le droit à la portabilité : Les individus ont le droit de recevoir leurs données médicales dans un format structuré, couramment utilisé et lisible par machine, et ont le droit de les transmettre à un autre responsable du traitement si nécessaire.
  • Le droit de limiter le traitement de leurs données : Ce droit permet aux individus de geler temporairement le traitement de leurs données médicales dans certaines circonstances, par exemple lorsqu’ils contestent l’exactitude des données ou lorsque le traitement est illégal et qu’ils s’opposent à leur effacement.

En conclusion

La CNIL a intensifié ses contrôles depuis 2023 pour remédier aux problèmes d’accès non autorisé aux dossiers patients informatisés. Les entreprises concernées ont été rappelées aux mesures de sécurité imposées, telles que l’authentification, l’habilitation et la traçabilité, pour protéger les données médicales sensibles. On considère désormais ces actions comme essentielles pour renforcer et garantir la vie privée des patients dans un environnement de santé numérique en évolution constante.

L’autorité de la CNIL a publié les nouvelles thématiques de contrôle prioritaire pour l’année 2024 dans le cadre de son contrôle annuel. Ces thématiques comprennent la collecte de données dans le cadre des Jeux Olympiques et Paralympiques, la collecte de données en ligne concernant les mineurs, les programmes de fidélité et les tickets de caisse dématérialisés, ainsi que le droit d’accès des personnes concernées.

Textes de références :

https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000031919050

https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000043895798

https://www.cnil.fr/fr/lacces-au-dossier-medical

https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3

https://cnil.fr/fr/securite-authentifier-les-utilisateurs

https://cnil.fr/fr/la-cnil-publie-une-recommandation-relative-aux-mesures-de-journalisation

Relire nos articles sur la veille juridique juste ici.

Notre Newsletter

Adhérez au Club Cyber et recevez l'actualité directement dans votre boite mail ! Profitez également de nos offres exclusives d'e-learning et de nos webinaires privés !

spot_img

Dans la même catégorie