Publicité en cours de chargement...
RGPD, saison des prunes au Portugal
Commençons par les arguments de l’établissement hospitalier qui réfute la compétence de la CNPD pour juger du cas, au motif que la loi portugaise n’a pas encore adapté le RGPD (qui est un règlement européen). L’argument est balayé en deux coups de cuillère à pot par la CNPD, qui rappelle que la loi précédente conférait à la CNPD le contrôle de la loi sur l’informatique et les libertés et que l’adaptation locale du RGPD n’y changera certainement rien (on laissera les avocats s’écharper sur cet argument).
La liste des arguments de la CNPD mérite quant à elle une analyse plus exhaustive. Tout d’abord, il est constaté que 985 comptes de médecins au DPI existent, alors que l’établissement n’en compte que 296, l’écart s’expliquant par les vacataires dont les comptes n’ont pas été supprimés ou verrouillés. Traduction du RSSI : il n’est pas anormal d’avoir un écart dans la mesure où certains vacataires sont régulièrement reconduits dans leurs fonctions, mais constater que le compte d’un médecin sans activité à l’hôpital depuis 24 mois peut demeurer actif est clairement une anomalie.
Le deuxième argument de la CNPD pointe l’absence de politique de gestion des comptes : la création d’un compte de test a permis d’accéder à des données médicales nominatives, le niveau d’habilitation ne prenait pas en considération le profil des personnels et, manifestement, les comptes d’accès au DPI n’étaient pas reliés à l’annuaire RH. Traduction du RSSI : il manquait un bon IAM.
Troisième argument, qui dérive du précédent : l’absence de gestion des profils d’accès au DPI a démontré que les personnels « techniques » (on suppose qu’il s’agit de techniciens de laboratoire, de biomédicaux, etc.) avaient le même niveau d’habilitation au DPI que les médecins. Traduction du RSSI : encore l’IAM, toujours l’IAM.
L’établissement a tenté d’argumenter sur deux points. Premièrement, la politique d’habilitation à certaines données est définie par des entités extérieures à l’établissement (apparemment les pouvoirs publics) : nous n’avons pas assez d’éléments dans le présent article pour juger de la pertinence du raisonnement ; clairement, en France, cet argument n’aurait aucun sens. Deuxièmement, la limite des outils informatiques pour définir des niveaux d’habilitation, qui – selon l’établissement – ne le permettaient pas. Commentaire du RSSI : je trouve cette explication plus que limite. En effet, le nombre de logiciels qui ne permettent pas une gestion fine des habilitations tend aujourd’hui vers zéro (on a plutôt le problème inverse, à savoir des possibilités de gestion beaucoup trop étendues) et, par ailleurs, il faudrait démontrer que ce critère était présent dans le cahier des charges, qu’aucun candidat n’y a répondu et que les relances de l’établissement (courriers ou mails tracés et avec preuve) sont restées sans réponse. Bref, ce n’est pas gagné !
Enfin, l’argument qui tue : l’établissement était manifestement au fait de ces pratiques, mais il n’a rien mis en œuvre pour y mettre fin – la revue des comptes des médecins vacataires absents ne demande strictement aucune acquisition matérielle ou logicielle, ce n’est que du processus.
Si l’on prend un peu de hauteur, rien dans les arguments de la CNPD n’exclut les systèmes de contrôle d’accès au DPI de type « a priori » ou « a posteriori ». Revue régulière des comptes utilisateurs, lien avec l’annuaire RH, politique d’habilitation : on est sur du basique, rien de plus. Un accès large aux données de santé à tout le corps soignant et médical peut parfaitement être mis en place en argumentant de la prise en charge par une équipe médicale au sens élargi et de la perte de chance médicale qui résulterait de la trop forte restriction des accès.
Et, pour terminer, il serait intéressant d’examiner les dispositions de la certification des comptes qui sont applicables en l’état au DPI : revue des comptes, politique d’habilitation, etc. Le domaine fonctionnel « soins » aurait certainement à y gagner, et pas seulement en matière de confidentialité : quel établissement procède régulièrement à des tests d’intégrité de la donnée médicale au sein de son DPI ? C’est pourtant obligatoire dans le sous-système Biologie depuis l’accréditation ISO 15189…
Avez-vous apprécié ce contenu ?
A lire également.

L’Institut Curie et le groupe hospitalier Diaconesses Croix Saint-Simon unissent leurs expertises pour un parcours de soins d’excellence en cancérologie
27 juin 2025 - 14:47,
Actualité
- DSIHL’Institut Curie, premier centre français de lutte contre le cancer, et le groupe hospitalier Diaconesses Croix Saint-Simon, créateur du Centre de Cancérologie de l’Est Parisien, annoncent un partenariat stratégique inédit. Ce partenariat, baptisé « Parcours Expert Institut Curie – Diaconesses Croix...

Dedalus France : une nouvelle étape dans la trajectoire de transformation
24 juin 2025 - 07:50,
Actualité
- DSIHDedalus France annonce le départ de Frédéric Vaillant, Directeur Général Délégué, au 30 juin 2025, après plus de 25 ans d’engagement. Fondateur de Medasys, acteur central des grandes étapes de structuration de l’entreprise, il a contribué à façonner Dedalus France comme acteur majeur du numérique en...

Interopérabilité en santé : FHIR on fire
23 juin 2025 - 21:47,
Actualité
- DSIH, Guilhem De ClerckHLTH 2025 – Amsterdam, 17 juin 2025 – Sur la scène du congrès HLTH, l’interopérabilité des données de santé s’est imposée comme un enjeu central, illustrant les limites persistantes des systèmes actuels et les espoirs placés dans la norme FHIR (Fast Healthcare Interoperability Resources). Au cœur de...

« Data Opt-in-imism : pourquoi la confiance est-elle la clé du succès de l’EHDS », une question débattue au HLTH 2025
23 juin 2025 - 21:23,
Actualité
- DSIH, Mehdi LebranchuLe 18 juin dernier, au Salon HLTH Europe d’Amsterdam, la conférence « Data Opt-in-imism: Why trust is key to the success of EHDS » a réuni des voix institutionnelles du nord de l’Europe autour d’une question déterminante pour l’avenir du partage de données de santé : la confiance. Prévu pour 2029, l...