SNDS Référentiel de sécurité Guide pédagogique du ...

1 0 1 1. Pr ambule Qu est-ce que le Syst me national des donn es de sant ? L article 193 de la loi de modernisation de notre syst me de sant pr voit l ouverture de l acc s aux donn es de sant en mettant en place le Syst me national des donn es de sant : le SNDS. Le SDNS a pour vocation de centraliser l ensemble des donn es suivantes : o les donn es issues des syst mes d information des tablissements de sant , publics ou priv s ; o les donn es du Syst me national d information inter-r gimes de l assurance maladie (SNIIRAM) ; o les donn es sur les causes m dicales de d c s ; o les donn es m dico-sociales du syst me d information des Maisons d partementales des personnes handicap es (MDPH) ; o un chantillon repr sentatif des donn es de remboursement par b n ficiaire transmises par des organismes d assurance maladie compl mentaire. La loi de modernisation de notre syst me de sant indique que le SNDS a pour finalit s principales de contribuer : o l information sur la sant ; o la mise en uvre des politiques de sant ; o la connaissance des d penses de sant ; o l information des professionnels et des tablissements sur leurs activit s ; o la recherche, aux tudes, l valuation et l innovation dans les domaines de la sant o la surveillance, la veille et la s curit sanitaire.

2 Le sch ma ci-dessous illustre le fonctionnement du SNDS : L gende : PMSI : Programme de m dicalisation des syst mes d'information = donn es en provenance des h pitaux. SNIIRAM : Syst me national d'information inter-r gimes de l'Assurance maladie = donn es en provenance des Caisses primaires d assurance maladie (CPAM), des caisses du R gime social des ind pendants (RSI) et de la Mutualit sociale agricole (MSA). MDPH : Maisons d partementales des personnes handicap es (syst me d information en construction). CMDC : Causes M dicales de D c s = donn es de d c s en provenance des m decins certificateurs. 2 Pourquoi un r f rentiel de s curit est-il mis en uvre ? Le r f rentiel de s curit du SNDS d coule d une disposition du titre VI du code de la sant publique instaur par la loi : L acc s aux donn es s effectue dans des conditions assurant la confidentialit et l int grit des donn es et la tra abilit des acc s et des autres traitements, conform ment un r f rentiel d fini par arr t des ministres charg s de la sant , de la s curit sociale et du num rique, pris apr s avis de la Commission nationale de l informatique et des libert s.

3 En effet, les donn es mises disposition dans le SNDS sont sensibles. Bien qu entrepos es sur la base de pseudonymes, la combinaison de plusieurs variables peut d boucher sur l identification des citoyens concern s, ce qui constitue un risque d atteinte la vie priv e. Le r f rentiel a t labor sur la base d une analyse de risques rigoureuse de fa on mettre en place les mesures de s curit ad quates. Pourquoi ce Guide p dagogique est-il diffus ? Le pr sent Guide p dagogique a pour but d accompagner les responsables de la s curit des syst mes d'information (RSSI) dans leurs d marches de conformit au r f rentiel de s curit . Ce Guide propose une vision pratique et des r f rences des documents/m thodes d j existants afin de guider les utilisateurs au plus proche du terrain. Ce Guide p dagogique a notamment vocation apporter des clairages sur les points les plus complexes. Quels sont les fondamentaux juridiques ?

4 1. La loi Informatique et Libert s n 78-17 du 6 janvier 1978 relative la protection des donn es personnelles (ci-apr s, la loi Informatique et Libert s ), notamment son article 1er affirmant que l informatique (..) ne doit porter atteinte ni l identit humaine, ni aux droits de l homme, ni la vie priv e, ni aux libert s individuelles ou publiques . Les donn es de sant tant consid r es comme sensibles , le SNDS est galement soumis aux dispositions sp cifiques de la loi informatique et libert s (chapitre IX). 2. Le r glement europ en sur la protection des donn es caract re personnel du 8 avril 2016 s appliquera pleinement compter de mai 2018. 3. Les dispositions r gissant le SNDS ont t int gr es au Code de la sant publique (articles L. 1460-1 et suivants). 3 Comment utiliser le Guide p dagogique ? Chaque section du r f rentiel est d taill e sous la forme d une fiche contenant : L exigence du r f rentiel de s curit L objectif principal de l exigence Une rubrique savoir qui rappelle les notions cl s ma triser pour appliquer l exigence Une rubrique faire qui indique les actions mener dans le temps et qui est d coup e selon trois items : Qui ?

5 Quoi ? et Quand ? Port e du document : l objectif de ce document est d illustrer le r f rentiel de s curit et d accompagner les RSSI du SNDS pour faciliter la mise en uvre des exigences. La conformit avec le r f rentiel reste de la responsabilit de chaque gestionnaire. 4 2. D finitions Les concepts suivants sont utilis s dans le r f rentiel : Administrateur technique : Personnel au sein des quipes du gestionnaire du syst me consid r en charge de l'administration technique du syst me (la gestion des infrastructures, des syst mes, des bases de donn es, la mise en place de nouveaux environnements de travail, etc.). Administrateur fonctionnel : Personnel en charge de l'administration fonctionnelle du syst me et des exportations de donn es du syst me. Anonymisation : Processus emp chant la r -identification des individus. Appariement : Action de joindre des donn es compl mentaires des syst mes fils ou des jeux de donn es du SNDS.

6 Cha nage des donn es : Proc d permettant de relier entre elles les donn es du SNDS correspondant un m me individu, quelle que soit la source de donn es. Le cha nage des donn es rend possible la mise en relation de diff rentes donn es se rattachant un m me individu et la r alisation de traitement sur ces derni res. Donn es fort risque : Donn es dont la divulgation une personne non autoris e a un impact lev sur la vie priv e. Donn es faible risque : Donn es dont la divulgation une personne non autoris e a un impact limit sur la vie priv e. Environnement ma tris : Ensemble de ressources (mat riel, logiciels, personnel, donn es) sur lesquelles le gestionnaire de syst me mettant disposition des donn es du SNDS applique les exigences de s curit du r f rentiel. Exportation de donn es : Alimentation d'un syst me fils partir de donn es d un syst me du SNDS largi (SNDS central, syst me source ou un syst me fils).

7 Gestionnaire du syst me : Responsable de l'ensemble des composants mat riels et logiciels du syst me, ainsi que du choix et de l'exploitation des services de t l communications mis en uvre. Jeu de donn es : Tout ou partie du SNDS mis disposition des utilisateurs du SNDS, dans le cadre d'une autorisation pour sa mise disposition. Pseudonymisation : Proc d visant la g n ration d un identifiant pseudonymis , appel ici pseudonyme, partir d un identifiant initial signifiant li une personne (par exemple : nom, pr nom, num ro de s curit sociale NIR). Le proc d de pseudonymisation ne doit pas permettre l identification individuelle directe de la personne associ e ce pseudonyme (l identification indirecte reste toutefois possible). Ce processus est utilis pour contribuer l anonymat et au respect de la vie priv e des individus. R -identification : Capacit d couvrir l identit r elle d une ou plusieurs personnes dont on ne conna t pas directement l identit (par exemple par d duction ou inf rence sur un ou plusieurs jeux de donn es).

8 Responsable de traitement : Personne, l'autorit publique, le service ou l'organisme qui d termine les finalit s et moyens du traitement (d finition Cnil). SNDS : Ensemble des donn es qui constituent le Syst me National des Donn es de Sant mentionn au I de l du code de la sant publique. SNDS largi : Ensemble des syst mes r unissant, organisant et mettant disposition tout ou partie des donn es du SNDS des fins de recherche, d' tude ou d' valuation. Le SNDS largi comporte le SNDS central, des syst mes fils et des syst mes sources. SNDS central : Syst me r unissant, organisant et mettant disposition le SNDS. Le gestionnaire du SNDS central est la CNAMTS. 5 Sortie de donn es : Ensemble de donn es anonymes sorties par un utilisateur de l'environnement ma tris . Syst me fils : Syst me du SNDS largi h bergeant ou mettant disposition des donn es relatives au SNDS c d es par le SNDS central ou un syst me source ou un autre syst me fils.

9 Syst me source : Syst me alimentant le SNDS central en donn es du SNDS. Tiers de confiance national : Dans le cadre du pr sent r f rentiel, organisme, distinct des gestionnaires des syst mes du SNDS largi et des responsables de traitement, en mesure de faire le lien entre les identit s des b n ficiaires et un ensemble de pseudonymes du SNDS largi. Il assure la s curit de ce dispositif. Utilisateur : Personne acc dant un ou plusieurs jeux de donn es du SNDS des fins de recherche, d tude ou d valuation. Un utilisateur ne peut pas r aliser d exportations de donn es du SNDS. 6 3. Exigences g n rales - Pr requis Exigence : Pr requis avant la mise disposition de donn es du SNDS Chaque gestionnaire de syst mes du SNDS largi doit apporter la preuve du respect des r gles du pr sent r f rentiel, du r glement europ en sur la protection des donn es caract re personnel, de la Politique g n rale de s curit des syst mes d information en sant (PGSSI-S), de la Politique de s curit des syst mes d information pour les minist res charg s des affaires sociales (PSSI MCAS), des r gles applicables dans le cadre du R f rentiel G n ral de S curit (RGS) et de la Loi n 78-17 du 6 janvier 1978 relative l'informatique, aux fichiers et aux libert s [.]

10 ]. En particulier, chaque syst me du SNDS largi doit tre homologu . ce titre, le gestionnaire du syst me doit adopter la d marche suivante avant la mise en uvre du syst me : r alisation d une analyse de risques ; r alisation d une tude d impacts sur la vie priv e (Privacy Impact Assessment) ; mise en uvre des mesures de couverture des risques associ es ; r alisation d tapes de recette et de tests pour s assurer de la bonne couverture des risques ; r alisation d une homologation de s curit sur le p rim tre consid r ; suivi op rationnel de la s curit du syst me d information. Le gestionnaire d un syst me du SNDS largi doit s assurer que les utilisateurs sont autoris s par la CNIL ou par les autres conditions pr vues par la loi acc der aux donn es non anonymes du SNDS. Les donn es non anonymes du SNDS ne peuvent tre h berg es que sur des syst mes homologu s vis- -vis du pr sent r f rentiel.