En tant que Délégué à la protection des données (DPO), il est essentiel de comprendre et de mettre en œuvre les principes techniques et organisationnels décrits dans le référentiel Force Probante en matière de santé. Ce référentiel décrit les mesures à prendre pour garantir la force probante des documents électroniques en matière de santé, et il est donc crucial de respecter ces mesures pour assurer la sécurité des données des patients. Dans cet article, nous allons examiner les différentes mesures organisationnelles et techniques décrites dans le référentiel.
- Mesures organisationnelles
La première mesure organisationnelle à prendre est de nommer un responsable de traitement qui sera en charge de la définition et de l’implémentation du processus. Ce responsable doit prendre en compte les aspects métier, technique, juridique et organisationnel du projet pour aboutir à la solution la plus pertinente en fonction de l’environnement. Il doit également faire appel à des spécialistes de chacun des domaines si nécessaire et s’appuyer sur une analyse de risques pour effectuer ses choix.
Une fois le processus défini, son utilisation et son exploitation doivent être placées sous la responsabilité d’un comité de pilotage chargé de s’assurer du respect des mesures décidées en phase projet et de l’évolution du processus dans le temps. Ce comité de pilotage doit faire auditer régulièrement les pratiques afin de mettre en place, si besoin, les mesures correctrices nécessaires.
- Documentation des processus
En matière de documentation des processus, il est important de suivre l’article L.1111-30 du code de la santé publique en établissant une documentation claire et accessible à toutes les personnes prises en charge et aux professionnels de santé. Cette documentation doit permettre de comprendre les mesures juridiques, techniques et organisationnelles mises en œuvre pour assurer la sécurité des processus. Elle doit également inclure des informations relatives au dossier de preuve, en précisant la durée de conservation des traces.
Il est essentiel de produire cette documentation pour chaque processus mis en place pour garantir la sécurité des données. La documentation doit être rédigée de manière claire pour les personnes prises en charge et les professionnels de santé et ne nécessiter aucune connaissance technique ou réglementaire préalable. Ils doivent pouvoir obtenir facilement cette documentation (quel que soit son format).
En pratique, il n’est pas attendu de chaque acteur local de produire lui-même cette documentation concernant les services mis en œuvre qui sont mutualisés par des opérateurs de services nationaux, voire internationaux. Aussi, et dans le cas où les moyens mis en œuvre sont effectivement opérés par des tiers (fournisseurs, agences publiques), il leur appartiendra néanmoins de :
- S’assurer que leurs fournisseurs de services de dématérialisation, numérisation (à titre d’exemples) disposent de cette documentation, en ligne (exemple : Politique de Signature électronique, Politique d’Archivage électronique) ;
- Indiquer dans les conditions d’usage (CGU) de leur solution les documents de référence applicables (généralement en référençant le numéro du document applicable, son OID le cas échéant, au sein de ces conditions d’usage) ;
- Veiller, par l’utilisation de clauses contractuelles, à ce que ces documents soient conservés par le fournisseur en ligne, et par prudence, en sus, collecter et conserver chaque nouvelle version de ces documents de référence (en cas de défaillance du fournisseur par exemple).
En l’absence de services tiers mutualisés, le responsable de traitement doit assurer lui-même la production de la documentation associée et sa publication, selon les mêmes principes et obligations que ceux qu’il exigerait de son fournisseur.
- Sécurité physique
La sécurité physique est un aspect souvent négligé en matière de sécurité des données de santé. Les mesures de sécurité physique doivent considérer les risques de vol, d’altération ou de divulgation d’informations imprimées sur documents papier, qui sont des risques différents de la seule protection des données informatiques. Ceci doit être pris en compte pour tous les aspects de la sécurité physique, notamment :
- Contrôle d’accès ;
- Détection d’intrusion ;
- Détection et extinction d’incendie ;
- Détection et prévention des risques associés aux dégâts des eaux ;
- Détection et prévention des risques liés aux rongeurs et autres nuisibles.
- Identification et authentification des acteurs
Un processus de gestion de documents fait intervenir plusieurs acteurs. Dans une optique de contrôle d’habilitation et de production d’éléments de preuves, ces acteurs doivent être identifiés et authentifiés par des moyens adaptés. Ces mécanismes de sécurité doivent être définis pendant la phase de conception du processus. Les référentiels d’identification et d’authentification de la [PGSSI-S] doivent être utilisés en l’absence de directives particulières dans le référentiel Force Probante.
En exploitation, les authentifications réussies ou en échec doivent être tracées à titre de preuve ou d’analyse des incidents de sécurité. Les principes d’identitovigilance doivent être respectés dans le cadre de la prise en charge des patients, et les bonnes pratiques conformes à l’état de l’art en la matière sont à appliquer.
- Traçabilité des opérations
Les traces des opérations réalisées constituent un facteur important pour le renforcement de la force probante, lorsqu’il s’agit d’apporter des éléments de preuve en cas de litige. Ces éléments sont donc à ajouter au dossier de preuve du document ou de la donnée.
La mise en place de la traçabilité est une règle générale à appliquer quel que soit le cas d’usage. Toutes les directives en la matière sont décrites au sein du référentiel d’imputabilité de la [PGSSI-S]. Dans le cadre du présent référentiel, les opérations à journaliser sont au minimum celles qui impactent le contenu du document et ses effets juridiques, en particulier :
- Constitution du document par saisie de formulaire, import ou réception de données depuis un autre système, numérisation ;
- Conversion ou transformation du document : changement de format, insertion ou manipulation dans un document [CDA] ;
- Connexion (et éventuelle authentification) du signataire à l‘application ou au service de signature ;
- Validation, approbation (ou consentement) d’un document par une personne physique ou morale ;
- Apposition d’une signature sur le document, quelque soit le niveau ;
- Remise ou transfert du document vers un patient ou un autre système ou entité juridique ;
- Stockage, déplacement, destruction du document papier ou électronique.
D’autres opérations ayant un impact juridique sur le document doivent être tracées en fonction du processus considéré et des risques techniques et juridiques identifiés lors de la conception de celui-ci.
Les traces doivent être conservées au moins aussi longtemps et dans les mêmes conditions que le document sur lequel elles portent. Lorsqu’elles sont susceptibles de contenir des données à caractère personnel, des précautions particulières doivent être prises pour garantir leur confidentialité pendant la durée de conservation, puis pour les détruire une fois cette durée atteinte.
Conclusion sur La force probante des documents électroniques de santé
La mise en place de mesures techniques et organisationnelles pour assurer la force probante des données de santé est une étape importante pour garantir la sécurité et la confidentialité des données, ainsi que leur validité juridique en cas de litige.
Ces mesures incluent la définition et l’implémentation d’un processus adapté à l’environnement métier, technique, juridique et organisationnel, ainsi que la documentation de ce processus pour permettre sa compréhension par les acteurs de santé et les personnes prises en charge.
Il est également essentiel de prendre en compte la sécurité physique des documents, d’identifier et d’authentifier les acteurs impliqués dans le processus, et de mettre en place des mécanismes de traçabilité pour renforcer la force probante des données.
Enfin, il est important de se conformer aux directives en matière d’identitovigilance et de conservation des traces pour garantir la confidentialité et la validité des données de santé.
En tant que DPO, il est de notre responsabilité de veiller à la mise en place de ces mesures et à leur respect par les acteurs de santé, afin de garantir la sécurité, la confidentialité et la validité juridique des données de santé.
