Plusieurs établissements de santé ont été mis en demeure par la CNIL de mettre en place les mesures nécessaires pour garantir la sécurité du dossier patient informatisé (DPI), soulignant, en adéquation avec le principe de minimisation1, que les données des patients ne doivent être accessibles qu'aux personnes justifiant le besoin d'en avoir connaissance.
La vigilance de la CNIL
Pas moins de 13 contrôles ont été effectués auprès d'établissements de santé par la CNIL entre 2020 et 2024. Les années Covid ont au moins eu le bénéfice de nous alerter sur les failles de sécurités manifestes présentes dans les établissements de santé.
Le constat est clair : des lacunes existent dans les mesures de sécurité dites techniques ainsi que dans les mesures organisationnelles comme les politiques de gestion des habilitations2.
En effet ces mesures visent traditionnellement à minimiser les risques en réduisant l'accès aux données personnelles (de surcroît « sensibles » en l'espèce) au minimum de personnes possibles. En réduisant les accès on réduit les potentielles vulnérabilités. Par analogie si vous ne confiez la clef de votre appartement qu'à un nombre limité de personnes cela réduit les risques de cambriolage mais aussi facilite les potentielles enquêtes.
Les mesures correctrices prononcées par la CNIL
Trois types de protection des DPI sont préconisés par la CNIL :
- Sécuriser les accès au système grâce à une politique d'authentification robuste en mettant notamment en place une politique de mot de passe suffisamment complexe : 15 caractères si on tient compte de la sensibilité des données et des recommandations de l'ANSSI.
- Prévoir des habilitations spécifiques pour que chaque professionnel de santé ou agent de l'établissement n'accède qu'aux dossiers dont il a à connaître et ainsi éviter la centralisation de comptes où médecins et aides-soignants ont accès à tous les dossiers.
La CNIL précise que cette politique d'habilitation doit être sur plusieurs niveaux et ainsi prendre en compte les métiers/rôles des acteurs (agent d'accueil, infirmier, médecin, etc) en les minimisant en conséquence en fonction de ce que chacun a à connaître. En outre, cette minimisation devra mettre en exergue la notion « d'équipe de soin »3pour que le secret médical soit respecté en donnant accès aux données qu'aux seuls médecins en charge d'un patient déterminé.
La CNIL mentionne un mode dit
« brise-glace »4 qui permet aux agents
administratifs et aux autres professionnels de santé
d'avoir accès à d'autres données pour
tout patient en cas d'urgence.
- Tracer les accès au DPI (journalisation) via un traçage des utilisateurs du SI et de leurs actions ainsi qu'un horodatage de ces dernières.
Plus généralement ces préconisations de la CNIL ne restent que l'application de principes élémentaires du RGPD et ne devraient se circonscrire qu'aux seuls établissements de santé. A méditer...
Footnotes
1. Article 5 du RGPD
2. Article 32 du RGPD
3. Article L. 1110-12 du Code de la santé publique
4. La CNIL rappelle que l'utilisation de ce mode « bris de glace » doit être particulièrement bien tracé et surveillé pour que toute personne y ayant recours puisse être identifiée et justifier des conditions de son utilisation.
The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.
