Vous utilisez un logiciel métier, probablement hébergeur chez un hébergeur données de santé de type OVH Cloud.
Suis-je responsable en cas de violation de données ?
En cas de violation de données, il est important de déterminer qui est responsable et comment cela a pu se produire. Voici comment la responsabilité peut être partagée entre l’éditeur du logiciel, l’hébergeur et vous en tant que médecin :
- L’éditeur du logiciel : Si la violation de données est due à une faille de sécurité dans le logiciel lui-même, l’éditeur du logiciel pourrait être considéré comme responsable. Cela dépend toutefois de la façon dont le logiciel a été conçu et de la façon dont les mises à jour de sécurité ont été gérées.
- L’hébergeur : Si la violation de données est due à une faille de sécurité dans les serveurs ou les réseaux de l’hébergeur, cela pourrait être considéré comme la responsabilité de l’hébergeur. En tant qu’hébergeur de données de santé, il est important que l’hébergeur prenne des mesures de sécurité adéquates pour protéger les données sensibles.
- Vous en tant que médecin : Vous pourriez être considéré comme responsable si vous avez pris des risques inutiles en matière de sécurité, par exemple en partageant des informations de manière non sécurisée ou en utilisant des mots de passe faibles.
Il est important de noter que la responsabilité en cas de violation de données peut être complexe et dépendre de nombreux facteurs.
A quoi dois-je faire attention en tant que médecin ?
En tant que médecin, il est important de veiller à ce que les données de santé de vos patients soient protégées et traitées de manière responsable. Pour cela, il est recommandé de demander à l’éditeur du logiciel et à l’hébergeur de fournir les documents suivants :
- Politiques de confidentialité et de protection des données : Ces documents décrivent les mesures de sécurité mises en place par l’éditeur du logiciel et l’hébergeur pour protéger les données de santé et respecter les lois et réglementations en vigueur.
- Accords de niveau de service (SLA) : Ces documents décrivent les obligations de l’éditeur du logiciel et de l’hébergeur en termes de disponibilité, de performance et de sécurité du logiciel et des serveurs.
- Certifications de sécurité : Si l’éditeur du logiciel ou l’hébergeur a obtenu des certifications de sécurité comme la certification ISO 27001, cela peut être un indicateur de leur engagement en matière de sécurité des données.
- Plans de gestion des incidents de sécurité : Ces documents décrivent les procédures mises en place par l’éditeur du logiciel et l’hébergeur pour gérer les incidents de sécurité et protéger les données de santé en cas de violation de données.
Il est recommandé de demander ces documents avant de commencer à utiliser un logiciel hébergé par un hébergeur de données de santé afin de vous assurer que les mesures de sécurité et de confidentialité sont adéquates.
Mon hébergeur n’est pas couvertes par le certificat HDS / activité 5
Activité 5 est l’administration et l’exploitation du système d’information contenant les données de santé.
Si votre hébergeur n’a pas l’administration et l’exploitation du système d’information contenant les données de santé, cela signifie qu’il n’a pas la responsabilité de gérer les aspects techniques et opérationnels du système d’information. Cela peut inclure la gestion des serveurs, des bases de données, des réseaux et des logiciels qui stockent et traitent les données de santé.
Cela peut être le cas si vous utilisez un logiciel hébergé par un tiers, par exemple un logiciel en mode SaaS (Software as a Service). Dans ce cas, l’éditeur du logiciel est responsable de l’administration et de l’exploitation du système d’information, tandis que l’hébergeur a la responsabilité de fournir un accès sécurisé au logiciel et de protéger les données de santé contre les accès non autorisés.
Il est important de comprendre les responsabilités de l’hébergeur et de l’éditeur du logiciel en matière de sécurité et de confidentialité des données de santé afin de pouvoir prendre les mesures de sécurité appropriées et de veiller à ce que vos données de santé soient protégées.
Il est possible que votre hébergeur ne soit pas responsable en cas de violation de données dans certains cas, notamment si la violation est due à une faille de sécurité dans le logiciel lui-même ou à des actions non autorisées de votre part. Voici quelques exemples de situations où votre hébergeur pourrait ne pas être considéré comme responsable :
- Si la violation de données est due à une faille de sécurité dans le logiciel lui-même, l’éditeur du logiciel pourrait être considéré comme responsable. Cela dépend toutefois de la façon dont le logiciel a été conçu et de la façon dont les mises à jour de sécurité ont été gérées.
- Si vous prenez des risques inutiles en matière de sécurité, par exemple en partageant des informations de manière non sécurisée ou en utilisant des mots de passe faibles, vous pourriez être considéré comme responsable en cas de violation de données.
- Si la violation de données est due à des actions non autorisées de votre part, comme l’accès à des données de santé sans autorisation ou la divulgation de données confidentielles, vous pourriez être considéré comme responsable.
Il est important de noter que la responsabilité en cas de violation de données peut être complexe et dépendre de nombreux facteurs.
La responsabilité en cas de violation de données peut être complexe
Si une violation de données est signalée à la Commission Nationale de l’Informatique et des Libertés (CNIL) en France, cette dernière peut mener une enquête pour déterminer les causes de la violation de données et qui est responsable. La CNIL peut se tourner vers différentes parties pour obtenir des informations et des explications, notamment l’entreprise ou l’organisation qui a collecté ou traité les données (le médecin), l’hébergeur de données et l’éditeur du logiciel utilisé.
Il est important de noter que la CNIL a le pouvoir de sanctionner les entreprises et les organisations qui ne respectent pas les lois et réglementations en vigueur en matière de protection des données personnelles.
Mon éditeur de logiciel doit il etre certifié HDS ?
Il n’est pas obligatoire pour un éditeur de logiciel médical d’avoir une certification HDS (Hébergeur de Données de Santé) en France, même s’il a accès aux serveurs HDS. Cependant, obtenir cette certification peut être un indicateur de l’engagement de l’éditeur en matière de sécurité et de confidentialité des données de santé et peut être perçu comme une garantie de qualité par les utilisateurs de ses logiciels.
La certification HDS est délivrée par l’Agence de la Sécurité des Systèmes d’Information (ASSI) en France et vise à garantir que les hébergeurs de données de santé respectent les exigences de sécurité et de confidentialité définies par la loi. Pour obtenir cette certification, un hébergeur doit satisfaire à un certain nombre de critères de sécurité et de confidentialité, notamment en matière de sécurité physique et logique, de gestion des incidents de sécurité et de respect des lois et réglementations en vigueur.
