Découvrez les bonnes pratiques essentielles en matière de sécurité des données dans le domaine de la santé

La sécurité des données à caractère personnel revêt une importance capitale dans le secteur de la santé. Les professionnels de la santé doivent prendre des mesures préventives pour garantir l'intégrité et la confidentialité des données, de leur collecte à leur stockage. Ceci est essentiel pour prévenir toute altération, tout dommage ou accès non autorisé. Les directives du "Guide de la sécurité des données personnelles" doivent être suivies et mises en pratique pour assurer une conformité optimale.

Conformément à l'article L. 1110-4-1 du Code de la santé publique, il est impératif que les professionnels de la santé veillent à ce que leurs systèmes d'information, outils numériques et services respectent les référentiels de sécurité et d'interopérabilité approuvés par le ministre de la santé. Les recommandations spécifiques de sécurité établies dans ces référentiels doivent être scrupuleusement respectées.

Pour garantir une sécurité optimale des données, les meilleures pratiques suivantes sont recommandées :

• Sensibilisation des utilisateurs :

  • Informer et sensibiliser le personnel du cabinet quant à l'accès aux données.
  • En cas de partage de ressources informatiques au sein d'un cabinet, contribuer à la rédaction d'une charte informatique.

• Authentification des utilisateurs :

  • Attribuer un identifiant unique à chaque utilisateur.
  • Mettre en place une politique de mots de passe conforme aux directives de la CNIL.
  • Exiger le changement du mot de passe après réinitialisation.
  • Restreindre le nombre de tentatives d'accès.

• Gestion des habilitations :

  • Différencier les niveaux d'autorisation pour les données administratives et médicales.
  • Supprimer les autorisations d'accès obsolètes.
  • Effectuer une révision annuelle des habilitations.

• Traçabilité des accès et gestion des incidents :

  • Mettre en place un système de journalisation.
  • Informer les utilisateurs de l'instauration de ce système.
  • Assurer la protection des équipements de journalisation ainsi que des données enregistrées.
  • Établir des procédures pour signaler les violations de données personnelles.

• Sécurisation des postes de travail :

  • Instaurer une procédure de verrouillage automatique des sessions.
  • Maintenir à jour les antivirus.
  • Installer un pare-feu logiciel.
  • Chiffrer les données stockées.
  • Obtenir l'autorisation préalable de l'utilisateur pour toute intervention sur son poste.

• Sécurité de l'informatique mobile :

  • Respecter les référentiels de sécurité et d'interopérabilité pour l'accès à distance aux dossiers patients.
  • Protéger les écrans contre les regards indiscrets.
  • Limiter l'utilisation de supports de stockage amovibles et chiffrer systématiquement les données sensibles.
  • Mettre en place des mécanismes de sauvegarde régulière et de synchronisation des données.

• Sécurité du réseau informatique interne :

  • Restreindre les flux réseau aux besoins essentiels.
  • Limiter les connexions d'appareils non professionnels.
  • Sécuriser les accès à distance des appareils informatiques nomades par l'intermédiaire d'un réseau privé virtuel (VPN).
  • Mettre en œuvre le protocole WPA2 ou WPA2-PSK pour les réseaux Wi-Fi.

Les mesures de sécurité s'appliquent également aux serveurs, aux sites web, aux échanges avec d'autres organismes et englobent la sauvegarde, la continuité d'activité, l'archivage sécurisé, la maintenance et la destruction des données, ainsi que la gestion des partenaires externes.

Dans le cas où les professionnels de santé partagent un système d'information pour plus de 10 000 patients annuels, la CNIL recommande de réaliser une Analyse d'Impact sur la Protection des Données (AIPD) et de désigner un Délégué à la Protection des Données (DPD), conformément à l'article 28 du RGPD.

En adoptant ces bonnes pratiques en matière de sécurité des données, les professionnels de la santé contribuent activement à la protection et à la confidentialité des données à caractère personnel dans le contexte de la santé. Pour des informations détaillées sur la mise en œuvre de ces mesures, référez-vous aux ressources disponibles sur le site de la CNIL.