Expertises des Systèmes d'information - Avril 2020 - N°456 - Le mensuel du droit de l'informatique et du multimédia - 149

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

L'obligation d'utiliser l'INS
Après un premier article qui présente
l'identifiant national de santé et l'obligation de
l'utiliser (paru dans le n° 456), voici un second
article qui traite du régime juridique de cette
obligation et des nécessaires mesures de
sécurité à mettre en oeuvre.

L

e régime juridique applicable au référencement est
constitué de l'ensemble
des exigences juridiques
suivantes à mettre en œuvre :
1.	Identifier le(s) responsable(s)

de la prise en compte des
exigences juridiques et de leur
mise en œuvre.
2.	Respecter l'obligation de
référencer les données avec
l'INS (sauf dans le cas d'une
dérogation légale).
3.	Respecter la liste des données
concernées par l'opération de
référencement.
4.	Transmettre les données
référencées avec l'INS
uniquement aux acteurs
légitimes à en être destinataires.
5.	Respecter les droits des
personnes dont les données
sont référencées avec l'INS.
6.	Respecter la durée de
conservation.
7.	

A ces exigences de nature
juridique s'ajoute l'obligation pour
le responsable de ce traitement
d'appliquer les mesures de sécurité
du référentiel INS.

L'obligation de recourir à l'INS
présente la particularité d'entraîner
une nécessaire réflexion sur la
sécurité du système d'information
dans lequel le référencement
va être réalisé. Les bases dans
lesquelles il est introduit sont
déjà en elles-mêmes sensibles en
termes de sécurité puisqu'elles
contiennent
des
données
personnelles dont des données de
santé. En tant qu'index, l'INS vient
faciliter le croisement des données
et par nature, il n'est pas possible
de le stocker séparément.
Les mesures à prendre pour
protéger les données de santé
associées ou non à l'INS sont la
responsabilité des professionnels
qui les collectent et les traitent, quel
que soit leur mode d'exercice, seul
ou en collaboration avec d'autres,
en cabinet ou en établissement
de prise en charge sanitaire ou de
suivi médico-social. La protection
mise en place est variable en
fonction des moyens et de la
sensibilisation des professionnels à
la sécurité des données contenues
dans leur système d'information
de santé.
EXPERTISES Avril 2020

C'est la raison pour laquelle les
mesures de sécurité contenues
dans le référentiel INS spécifiques
au référencement de l'INS doivent
être accompagnées, d'une part, de
mesures touchant aux pratiques
quotidiennes
dites
d'identitovigilances et, d'autre part, de
mesures de sécurité globale.

Mesures spécifiques
Afin d'assurer la qualité du
référencement des données de
santé par l'INS, l'INS et les données
d'identité doivent être qualifiés dès
que possible. Pour être qualifiés, ils
doivent respecter deux critères :
■	 l'accès à l'INS et les traits qualifiés
ou leur vérification doivent être
faits à l'aide des téléservices INS
développés par la Cnam ;
■	 l'identité de la personne doit
être vérifiée en respectant des
procédures
d'identito
vigilance. · Le référencement des
données de santé avec l'INS n'a
pas vocation à remplacer l'identito vigilance. Cependant, des
mesures propres à l'INS doivent
être ajoutées aux chartes et aux
politiques d'identito vigilance

149

Expertises des Systèmes d'information - Avril 2020 - N°456 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Avril 2020 - N°456 - Le mensuel du droit de l'informatique et du multimédia