Sécurité, sauvegarde, archivage…

Que faire de vos données informatiques ?

Par

Publié le 25/09/2017

Article réservé aux abonnés

Dossier pharmaceutique (DP), dossier médical partagé (DMP), objets connectés, la e-santé s’infiltre dans les officines. Avec la promesse d’une création de valeur et de services. Le talon d’Achille de cette hyperconnexion est la fuite des données de santé à caractère personnel. Comment les sécuriser à l’officine ?

Prescriptions de médicaments, résultats d’analyses, diagnostics, et même les confidences du patient sont des données à caractère personnel. Soumises au secret professionnel, la protection de ces informations volatiles est le ciment de la relation de confiance avec le patient.

Comment sécuriser les données sensibles ?

À l’officine, le titulaire a la responsabilité d’édifier des remparts pour protéger les informations sensibles qu’il détient. Première restriction, « seules les personnes habilitées par le titulaire peuvent avoir accès aux données à caractère personnel des patients », prévient Pierre Desmarais, avocat spécialisé en analyse de risques des systèmes d’information. Autre bouclier organisationnel, « contrôler l’utilisation des ordinateurs afin de ne pas récupérer de virus », poursuit l’avocat. Ainsi, naviguer sur Facebook depuis un poste de dispensation n’est pas recommandé. Reste ensuite à filtrer l’intrusion dans le logiciel de gestion officinal d’un cheval de Troie ou surtout d’un ransomware.

En pratique, comment surveiller les manipulations des éditeurs de logiciels et autres prestataires extérieurs qui ont partiellement la main sur le circuit informatique ? La réponse réside dans les contrats, lesquels doivent contenir une clause détaillant le périmètre d’opérations et les modalités d’intervention du sous-traitant. « Il est nécessaire de passer au crible tous les contrats afin de vérifier qu’ils sont bien respectueux du principe selon lequel, le sous-traitant n’agit que sur autorisation du pharmacien et s’engage à ne pas lire la messagerie de l’officine ». Autres précautions pratiques, « demander à l’éditeur quels types de données sont extraits, comment sont-elles ensuite agrégées et anonymisées ? » conseille l’avocat. Ne pas hésiter non plus à traquer ses interventions en lui réclamant une traçabilité écrite. Car c’est bien le titulaire qui est responsable de sécuriser les données qu’il détient. Pèse sur lui l’obligation d’apporter toutes les garanties pour sceller les informations soumises au secret professionnel. La révélation d’une information à caractère secret par une personne qui en est dépositaire constitue un délit passible de 15 000 euros d’amende et un an d’emprisonnement. « Aujourd’hui, c’est une obligation qui est davantage virtuelle. Elle est écrite dans les textes mais personne ne la met vraiment en œuvre », concède l’expert. Le frein n’est pourtant pas technologique. Un arsenal de solutions existe. Parmi lesquelles les messageries sécurisées de santé comme Apicrypt ou MSSanté. Exit donc les courriels envoyés depuis une boîte hotmail ou gmail ! D’autres mesures simples et peu onéreuses permettent un contrôle draconien : des antivirus, des pare-feu et des mots de passe avec des droits d’accès segmentés en fonction de l’utilisateur et de sa fonction à l’officine.

Qu’est-ce que le RGDP va changer ?

Une date à cocher dans le calendrier, le 25 mai 2018. Dans huit mois, entrera en vigueur le RGDP, nom de code pour « Règlement général sur la protection des données ». À compter de cette échéance, la Loi Informatique et Libertés de 1978 sera remplacée par un texte européen qui modifiera l’équilibre actuel. Sans aucune mesure de transposition nationale. L’éditeur deviendra responsable de tout manquement et devra respecter de nouvelles exigences. Le principe de « privacy by design » lui imposera d’intégrer la protection des données personnelles dès la conception du logiciel ou de l’application. Le principe de « privacy by default » imposera de prendre par principe un maximum de mesures de sécurité et d’être en mesure de les prouver. Corollaire de ce renforcement, le sous-traitant engagera sa responsabilité civile, pénale, et administrative. Avec des sanctions pécuniaires colossales pouvant atteindre jusqu’à 20 millions d’euros ou jusqu’à 4 % du chiffre d’affaires annuel mondial de l’entreprise.

Fabienne Rizos-Vignal

En complément