Ce sujet n’est pas le plus simple à mettre en œuvre dans le cadre de la mise en conformité au RGPD. Bien souvent, le patrimoine applicatif d’une entreprise prend rarement en charge l’archivage et la purge des données. Historiquement, cette prise en compte est plus souvent portée par des problèmes techniques liés à la volumétrie des bases de données et aux performances du SI que par une approche réglementaire.
Dans le cadre de la mise en place de nouveaux applicatifs, cette fonctionnalité doit faire partie intégrante du projet, c’est la mise en pratique du Privacy by design.
Mais qu’il s’agisse d’un nouveau projet ou de la mise en conformité d’applications existantes, certains pré-requis sont indispensables pour mener à bien ce chantier :
- Définir un référentiel des durées de conservation selon les usages
- Définir l’architecture que l’on souhaite mettre en place pour l’archivage (archivage logique ou physique), qui pourra accéder à ces données archivées, comment et pour quel usage,
- Définir les caractéristiques des traitements de purge (périodicité, traçabilité, propagation,…)
- Identifier le besoin d’anonymiser ou pas les données à l’issue de la durée de conservation
- Identifier les impacts de la purge sur les autres SI
Ces travaux nécessitent la collaboration des acteurs métiers, juridique, conformité, architecture, informatique … et à défaut d’une cartographie à jour du système d’information, l’expertise de « sachant » afin d’identifier les impacts éventuels sur les applications connexes.
Guides pratiques et informations complémentaires sous https://www.cnil.fr/fr/les-durees-de-conservation-des-donnees
Données de santé
Les données de santé ont un statut particulier dans les données à caractère personnel, elles sont qualifiées de « sensible ». Il faut donc apporter une vigilance toute particulière lors de la collecte, du stockage, de l’utilisation de ces données et mettre en œuvre les procédures et infrastructures en rapport avec la criticité de ces données.
- Lors de la collecte : informer les personnes concernées sur le traitement apporté à leurs données et dans quel but, recueillir leur consentement pour l’utilisation de ces données
- Lors du stockage : si ces données sont stockées chez un tiers hébergeur, s’assurer que celui-ci est bien certifié Hébergeur de Données de Santé (HDS) par un organisme dûment habilité à délivrer cette certification https://esante.gouv.fr/labels-certifications/hebergement-des-donnees-de-sante
- Lors de l’utilisation des données de santé : des mesures de sécurité doivent impérativement être mises en place : habilitations dédiées pour l’accès aux données dans les SI de gestion, anonymisation des données dans les SI Décisionnel, sécurisation des flux, …
Tout le parcours de la donnée santé doit pouvoir être audité par les organismes de contrôle d’état. Il est donc nécessaire de documenter et tracer l’usage de la donnée de santé collectée.
Une Analyse d’Impact (AIPD) des risques relatifs aux données de santé doit systématiquement être menée lors de la mise en place d’un nouveau traitement ou pour un traitement existant. Effectivement, l’impact sur les droits fondamentaux des personnes étant important en cas de violation des données, de fuite etc… il est primordial d’évaluer les risques pour la personne et de définir les remédiations à mettre en œuvre.
L’actualité, au travers d’articles ou de reportages, nous rappelle régulièrement que ces principes fondamentaux ne sont pas toujours appliqués.
Bonnes pratiques Privacy by design
Tout nouveau projet doit maintenant prendre en compte la protection des données personnelles dès sa conception, c’est le « privacy by design ». Cela signifie que, bien en amont dans le projet, il faut se poser les questions sur l’information à communiquer sur le traitement de ces données personnelles auprès de la personne concernée, sur le besoin de recueillir le consentement, sur la gestion des demandes d’exercice des droits, sur la sécurité à mettre en place etc…
Toutes les informations sur cette plate-forme d’échange mise en place par la CNIL et apportant des exemples concrets https://design.cnil.fr/
