Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448 - 253

de santé, les établissements et
services de santé, et tout autre
organisme
participant
à
la
prévention, aux soins ou au suivi
médico-social et social doivent
en effet respecter des référentiels
d'interopérabilité et de sécurité
entérinés par les pouvoirs publics,
lorsqu'ils utilisent des systèmes
d'information permettant le traitement, la conservation sur support
informatique et la transmission
par voie électronique de données
de santé à caractère personnel17.
De façon similaire, lorsque ces
professionnels
externalisent
l'hébergement de ces données à
des tiers, ceux-ci doivent avoir fait
l'objet de vérifications de conformité à certaines exigences, auparavant réalisées dans le cadre d'un
agrément délivré par le ministère
chargé de la Santé, et désormais,
dans le cadre d'un dispositif de
certification par des organismes
certificateurs dûment accrédités18.
Cette certification, prévue par la
loi, et portant expressément sur
certains aspects des traitements
de données de santé, constitue
une illustration de l'intérêt que
peut avoir cet outil de vérification
de conformité pour la protection
des données, notamment dans
des contextes sensibles. Ceci
d'autant plus que le dispositif
actuel a cherché à tirer les leçons
de près de dix années d'agrément.
Tout d'abord, la procédure implique
désormais tant un audit documentaire, comme dans la procédure
antérieure, qu'un audit sur site,
qui a vocation à permettre une
meilleure compréhension pour
l'auditeur des mesures de sécurité
effectivement mises en œuvre par
l'organisme.
Par ailleurs, le référentiel est
majoritairement basé sur des
exigences issues de la norme ISO
27001 (système de management
de la sécurité des systèmes d'information), rappelle Brice Gilbert,
Ingénieur confiance numérique,
AFNOR Certification, ce qui permet

une
meilleure
transparence
du dispositif de certification
français, en s'appuyant sur une
norme internationale, disponible
dans plusieurs langues. Un
système d'équivalence permet
aux organismes d'ores et déjà
certifiés sur le périmètre ISO 27001
de faire valoir cette précédente
certification.
Après quelques mois de fonctionnement, les organismes ayant
obtenu
cette
certification
commencent à effectuer des
retours d'expérience. Adèle Adam,
Ingénieure conformité & sécurité
et Data Protection Officer au sein
de la société Claranet, société
auparavant agréée et désormais
certifiée, estime que ce changement de procédure présente de
réels avantages, tant pour l'organisme que pour les personnes
concernées par le traitement.
Les procédures de certification
sont connues des professionnels
des systèmes d'information, et le
fait d'utiliser des référentiels basés
sur des normes déjà existantes
permet d'accélérer la démonstration de la conformité, plutôt que de
devoir s'adapter à une procédure
différente, ayant pourtant des
objectifs identiques. « Pour parvenir
à une véritable mise en conformité,
il faut cependant considérer la
certification comme un processus
d'amélioration continue », souligne
Adèle Adam. «  Une équipe doit
être mise en place, non seulement
pour préparer l'obtention de la
certification, mais également pour
poursuivre les travaux de mise
en conformité et de maintien des
processus, tout au long de la durée
du certificat ».
Si les organismes déjà aguerris
aux procédures de certification
sont ainsi mieux à même d'être
rapidement certifiés, la procédure
de certification prévoit une
forme d'audit à blanc, pour les
organismes d'une moins grande
maturité sur ces sujets, précise
encore Adèle Adam.

EXPERTISES Juillet-Août 2019

Pour les personnes concernées par
les traitements, ainsi que pour les
clients des organismes certifiés,
ce type de dispositif constitue une
certaine assurance. Néanmoins,
il est nécessaire d'être attentif au
périmètre de certification. Les
certifications de type ISO 27001
permettent au certifié de choisir
le périmètre qui va faire l'objet
d'un audit. Dans le cadre d'une
procédure telle que celle prévue
pour les hébergeurs de données
de santé, la loi prévoit cependant
le périmètre des activités qui
doit impérativement faire l'objet
d'une certification, ce qui facilite
la compréhension du périmètre
certifié par le client / la personne
concernée. En revanche, dans le
cas de certifications volontaires,
le certifié est libre du périmètre
faisant l'objet de la vérification
de conformité. Ainsi, de façon
générale, la simple mention d'un
logo représentant le certificat sur
les outils de communication d'une
entreprise ne donne pas d'information sur le périmètre effectivement
couvert. Il est essentiel de vérifier
ce périmètre, qui est indiqué à la
fois sur le certificat ainsi que sur la
déclaration d'applicabilité.

Perspectives
européennes
Concluant les échanges, Nicolas
Hamblenne, avocat au barreau
de Bruxelles au sein du cabinet
belgo-français KOAN, a observé
que si les programmes de certification apparaissent porteurs de
solutions prometteuses pour la
protection des données personnelles, des travaux semblent
nécessaires pour en clarifier
précisément la portée.
Il apparaît certain que la certification dans le cadre de la protection
des données personnelles offre
un cadre de responsabilisation
pour les certifiés, et augmente
le niveau de transparence, tant
dans  les relations inter-entreprises que face aux individus
concernés
par
les
données

253
Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juillet/Août 2019 - n°448
