Aux gestionnaires des hôpitaux

Transcription

1 SPF Santé publique, Sécurité de la Chaîne alimentaire et Environnement Service Télématique, Informatique et Communication dans le secteur des soins de santé Votre lettre du: Votre référence: Eurostation Bloc II 1er étage bureau 1D269 Place Victor Horta 40/B10 B Bruxelles Direction Générale des Etablissements de Soins Notre référence: Date: DG1/ST/LN/ctr2008-n02 09 septembre Aux gestionnaires des hôpitaux Annexe(s): 2 Chère Madame, cher Monsieur, Concerne : Conseiller en sécurité chargé de la sécurité de l'information au sein des hôpitaux Ces dernières années, les hôpitaux ont connu un développement croissant du traitement informatisé de données sensibles concernant leurs patients, accentué par une mise en réseau accrue de leurs systèmes informatiques. De telles avancées ne peuvent cependant être réalisées au sein des hôpitaux que si, dans le même temps, ceux-ci adoptent toutes les mesures nécessaires en matière de sécurité de l information et de protection de la vie privée lors du traitement des données à caractère personnel relatives aux patients, en particulier les données médicales, dont l importance ne peut en aucun cas être négligée. Un des garants de la sécurité de l information et de la protection de la vie privée au sein des hôpitaux apparaît sans conteste être le conseiller en sécurité. Son rôle n est pas simple et les réglementations et autres règles qui lui sont applicables sont parfois complexes également. Pour votre bonne information, nous vous transmettons en annexe 1 quelques extraits de réglementations applicables dans ce cadre. 1

2 Par ailleurs, il nous revient que certains hôpitaux n auraient pas encore procédé à la désignation de leur conseiller en sécurité ou qu ils n ont pas encore communiqué ni au Ministre qui a la Santé publique dans ses attributions, ni à la section santé du comité sectoriel de la sécurité sociale et de la santé son identité et ses coordonnées. Il semble également que dans certains cas cette désignation soit purement formelle mais ne permette pas en réalité de rencontrer concrètement les objectifs essentiels assignés à cette fonction. Enfin, nous attirons votre attention sur le fait que, dans le cadre d un dossier relatif à la communication de données à caractère personnel par les organismes assureurs aux prestataires de soins, le comité sectoriel de la sécurité sociale et de la santé a pris la décision, lors de sa séance du 5 juillet 2011, que les hôpitaux ne pourront, à partir du 31 mai 2012, obtenir la communication des données à caractère personnel que pour autant qu'ils disposent d'une part d un conseiller en sécurité de l'information et d autre part d un plan de sécurité, qu ils tiennent à la disposition du comité sectoriel. Il s agit notamment des données d identification du patient et des données à caractère personnel relatives au maximum à facturer et à l assurabilité dont les hôpitaux ont besoin pour la détermination du statut d assurabilité du patient concerné dans le régime du tiers payant et en vue d éviter une double prise en charge de certains frais d hospitalisation (voir la délibération n 07/03 du 9 janvier 2007, tel que modifié le 2 février 2010 et le 5 juillet 2011). A défaut, l autorisation est suspendue à cette date jusqu à ce qu il soit satisfait cumulativement à ces deux conditions. Afin de remédier à cette situation et d assurer une correcte information des hôpitaux en la matière, nous souhaitons par la présente attirer votre attention sur l importance cruciale de cet enjeu et vous proposer notre aide pour le rencontrer au mieux et dans les meilleurs délais. Dans ce cadre, 3 initiatives seront prises dans un avenir proche : 1. Une mise en commun des banques de données disponibles auprès du SPF Santé publique, de l INAMI et du Comité sectoriel de la sécurité sociale afin d identifier les manquements en termes de déclarations relatives à l identité et aux coordonnées des conseillers chargés de la sécurité de l'information au sein des hôpitaux 2. L organisation d une séance d information destinée aux conseillers chargés de la sécurité de l'information au sein des hôpitaux ; celle-ci devrait notamment permettre d identifier les besoins de formation de ces conseillers et de rappeler les missions que ces derniers doivent assumer 3. La constitution d un groupe de travail, regroupant les conseillers en sécurité des hôpitaux, en vue de déterminer, après approbation par la section santé du comité sectoriel de la sécurité sociale et de la santé, les bonnes pratiques en matière de sécurité de l information et de protection de la vie privée lors du traitement des données à caractère personnel relatives aux patients, en particulier les données médicales 2

3 Dans ce cadre, nous vous invitons dès à présent à communiquer à la section santé du comité sectoriel de la sécurité sociale ainsi qu à la Direction Générale de l Organisation des Etablissements de Soins du SPF Santé publique, pour le 15 octobre 2011 au plus tard, les nom et prénoms ainsi que les coordonnées du conseiller en sécurité de l hôpital que vous gérez, en précisant sa formation, sa fonction exacte, le temps de travail qu il consacre à son rôle de conseiller en sécurité (une mission à 40% apparaît être le minimum) ; en même temps, nous vous demandons de bien vouloir nous indiquer s il existe au sein de votre hôpital un plan de sécurité. Pour votre facilité, vous trouverez à cet égard, en annexe 2 à la présente, un formulaire avalisé par le comité sectoriel à compléter et à nous renvoyer 1 ; celui-ci permettra également au comité sectoriel d avaliser le candidat ou d émettre des recommandations quant aux formations complémentaires considérées comme nécessaires. Ce formulaire peut-le cas échéant- également vous aider à élaborer ou modifier le profil de poste de la personne en charge de cette fonction. Nous vous prions d agréer, chère Madame, cher Monsieur, l expression de nos sentiments distingués. 1 Il vous est loisible de renvoyer ce formulaire par voie électronique en cliquant en haut à droite sur «Submit Form» après l avoir signé électroniquement. 3

4 Annexe 1 : extraits de réglementations applicables au conseiller chargés de la sécurité de l'information au sein des hôpitaux 1. Arrêté royal du 23 octobre 1964 portant fixation des normes auxquelles les hôpitaux et leurs services doivent répondre Annexe A, III (Normes d organisation), point 9 quater : Protection de la vie privée lors du traitement des données à caractère personnel relatives aux patients, en particulier les données médicales (inséré par l arrêté royal du 16 décembre 1994) : a) Chaque hôpital doit, en ce qui concerne le traitement des données à caractère personnel relatives aux patients, en particulier des données médicales, disposer d'un règlement relatif à la protection de la vie privée. b) Les dispositions de ce règlement relatives aux droits des personnes sont communiquées aux patients, qui reçoivent en même temps notification des données visées à l'article 4 de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. c) Le règlement comporte, pour chaque traitement, au moins les indications suivantes : - les finalités du traitement; - le cas échéant, la loi, le décret, l'ordonnance ou l'acte réglementaire décidant la création du traitement automatisé; - l'identité et l'adresse du maître du fichier et de la personne qui peut agir en son nom; - le nom du médecin visé au f); - le nom du conseiller en sécurité visé au g); - l'identité et l'adresse du (des) gestionnaire(s) de traitements; - les droits et obligations du (des) gestionnaire(s) de traitements; - les catégories de personnes ayant accès ou étant autorisées à obtenir les données médicales à caractère personnel du traitement; - les catégories de personnes dont les données font l'objet d'un traitement; - la nature des données traitées et la manière dont elles sont obtenues; - l'organisation du circuit des données médicales à traiter; - la procédure suivant laquelle, si nécessaire, les données sont rendues anonymes; - les procédures de sauvegarde afin d'empêcher la destruction accidentelle ou illicite de données, la perte accidentelle de données ou l'accès illicite à celles-ci, leur modification ou diffusion illicite; - le délai au-delà duquel les données ne peuvent plus, le cas échéant, être gardées, utilisées ou diffusées; 4

5 - les rapprochements, interconnexions ou tout autre forme de mise en relation de données l'objet du traitement; - les interconnexions et les consultations; - les cas où des données sont effacées; - la manière dont les patients peuvent exercer leurs droits visés dans la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. d) Le règlement visé au 1er mentionne le numéro d'identification du traitement auquel le règlement se rapporte, attribué par la Commission de la protection de la vie privée et est transmis à la Commission pour la supervision et l'évaluation des données statistiques qui concernent les activités médicales dans les hôpitaux dans les trente jours de l'entrée en vigueur du présent article. Toutes les modifications apportées au règlement précité doivent être transmises, dans les trente jours de leur ratification par les instances compétences du pouvoir organisateur, à la Commission pour la supervision et l'évaluation des données statistiques qui concernent les activités médicales dans les hôpitaux. e) La Commission pour la supervision et l'évaluation des données statistiques qui concernent les activités médicales dans les hôpitaux, tient les règlements visés au a) à la disposition de la Commission de la protection de la vie privée et lui communique tous les six mois la liste actualisée des règlements reçus et des modifications de règlements qu'il a reçus. f) Le maître du fichier désigne le médecin qui exerce la responsabilité et la surveillance visées à l'article 7, alinéa 1er, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. g) Le maître du fichier désigne un conseiller en sécurité chargé de la sécurité de l'information. Le conseiller en sécurité conseille le responsable de la gestion journalière au sujet de tous les aspects de la sécurité de l'information. La mission du conseiller en sécurité peut être précisée par Nous. 2. Arrêté royal du 12 février 2008 déterminant les règles suivant lesquelles le gestionnaire des hôpitaux doit communiquer au Ministre qui a la Santé publique dans ses attributions, l'identité des personnes chargées de la communication des données se rapportant à l'établissement Article 2 1er. Dans le mois suivant la publication du présent arrêté, le gestionnaire de chaque hôpital communique au Ministre qui a la Santé publique dans ses attributions, l'identité et les coordonnées : 1 du directeur, du médecin-chef et du chef du département infirmier de l'hôpital; 5

6 2 de la ou des personne(s) responsable(s) de la communication de la situation financière et des résultats d'exploitation de l'hôpital; 3 de la ou des personne(s) responsable(s) de la communication des données statistiques concernant l'hôpital; 4 du conseiller en sécurité visé à l'annexe de l'arrêté royal du 23 octobre 1964 portant fixation des normes auxquelles les hôpitaux et leurs services doivent répondre, Partie I. Normes générales applicables à tous les établissements, Point III. Normes d'organisation, 9 quater, g). 2. Lors de la création d'un nouvel hôpital ou en cas de fusion d'hôpitaux, cette communication doit être réalisée dans le mois suivant la notification de l'agrément provisoire de l'hôpital ou de l'agrément de la fusion d'hôpitaux. 3. Toute modification relative aux personnes susmentionnées doit être communiquée dans le mois. 3. Loi du 15 janvier 1990 relative à l'institution et à l'organisation d'une Banque-carrefour de la sécurité sociale Art 4 5. Toute autorité publique, personne physique et organisme public ou privé qui a accès aux données d'identification des registres Banque-Carrefour ou en obtient la communication, conformément au 4, désigne, parmi ses membres du personnel ou non, un conseiller en matière de sécurité de l'information et de protection de la vie privée qui remplit notamment la fonction de préposé à la protection des données visé à l'article 17bis de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. L'identité de ce conseiller en matière de sécurité de l'information et de protection de la vie privée est communiquée à la section sécurité sociale du comité sectoriel de la sécurité sociale et de la santé, sauf si elle a déjà été communiquée à la Commission de la protection de la vie privée ou à un comité sectoriel institué en son sein en application d'une autre disposition fixée par ou vertu d'une loi, d'un décret ou d'une ordonnance. Dans la mesure où un conseiller en sécurité a déjà été désigné en application de l'article 24, celui-ci exerce en outre le rôle de conseiller en matière de sécurité de l'information et de protection de la vie privée. 6. Toute autorité publique, personne physique ou organisme public ou privé qui a accès aux données d'identification des registres Banque-Carrefour ou en obtient la communication, conformément au 4, est tenu : 1 de désigner nominativement les organes ou préposés qui sont autorisés, en vertu de leurs compétences, à obtenir accès aux données d'identification ou à en obtenir la communication et de les informer conformément à l'article 16, 2, de la loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel; ils devront dresser une liste de 6

7 ces organes ou préposés; 2 de faire signer une déclaration aux personnes qui sont effectivement en charge du traitement des données d'identification, dans laquelle elles s'engagent à préserver le caractère confidentiel des données d'identification. [ ] Section 3 Des conseillers en sécurité. Art. 24 Toute institution de sécurité sociale désigne, au sein de son personnel ou non, un conseiller en sécurité. L'identité de ce conseiller est communiquée à la Banque-carrefour et à sa section sécurité sociale du comité sectoriel de la sécurité sociale et de la santé. La Banque-carrefour désigne également, après avis de la section sécurité sociale du comité sectoriel de la sécurité sociale et de la santé, un conseiller en sécurité au sein du personnel qu'elle occupe. Art 25 Le Conseiller en sécurité visé à l'article 24, alinéas 1er et 2, assure, pour concourir à la sécurité des données sociales traitées ou échangées par son institution et à la protection de la vie privée des personnes auxquelles ces données sociales ont trait : 1 la fourniture d'avis qualifiés à la personne chargée de la gestion journalière; 2 l'exécution de missions qui lui sont confiées par la personne chargée de la gestion journalière. Le conseiller en sécurité de la Banque-carrefour fournit en outre des avis qualifiés relatifs à la sécurité du réseau. Le Roi peut fixer les règles selon lesquelles le conseiller en sécurité exerce ses missions. [ ] Art er Sans préjudice des dispositions du chapitre VII et de la compétence du pouvoir judiciaire, la section sécurité sociale du comité sectoriel de la sécurité sociale et de la santé est chargé, en vue de la protection de la vie privée, des tâches suivantes : 8 vérifier si les conseillers en sécurité reçoivent la formation permanente adéquate et travaillent de façon coordonnée; à défaut, de prendre toutes mesures utiles pour assurer cette formation adéquate ou réaliser la coordination, notamment technique; [ ] Art 62.Seront punis d'un emprisonnement de huit jours à six mois et d'une amende de cent à cinq mille francs, ou d'une de ces peines seulement : 5 la Banque-carrefour et les institutions de sécurité sociale, leurs préposés ou mandataires, qui, contrairement aux dispositions de l'article 24, n'auront pas désigné, au sein de leur personnel ou non, selon le cas, un conseiller de 7

8 sécurité; 4. Protocole, conclu le 19 avril 2001 entre les organisations représentatives des hôpitaux et les organismes assureurs, portant les conditions et les modalités selon lesquelles force probante jusqu'à preuve du contraire peut être accordée aux données qui sont enregistrées ou conservées au moyen d'un procédé électronique, photographique, optique ou de toute autre technique ou communiquées d'une autre manière que sur un support papier, ainsi que les conditions et les modalités selon lesquelles ces données sont reproduites sur papier ou sur tout autre support lisible. (Protocole CARENET) A/ Art. 3. La procédure de transmission des données doit satisfaire aux conditions suivantes : b. Conditions techniques en matière de mode d'enregistrement, de traitement et de conservation En exécution de l'article 2, 3 et 4 de l'arrêté royal du 27 avril 1999 susvisé 2, les données transmises doivent être enregistrées systématiquement et complètement. En outre, les données concernant l'identité de celui qui a traité et mis à exécution les données, le lieu et la date de l'opération, d'éventuelles perturbations qui ont été constatées pendant le traitement ainsi que la nature des informations doivent être conservées. Les modalités d'enregistrement ou de conservation sont prévues dans l'annexe 3 du présent protocole. e. Contrôle, surveillance et gestion Sont ici visés le contrôle et la surveillance de l'application correcte des dispositions du présent protocole et des dispositions de l'arrêté royal du 27 avril 1999 précité. 1) au niveau de l'organisme assureur ou de l'hôpital La surveillance au niveau de l'organisme assureur ou de l'hôpital des conditions visées sous le point b. du présent article doit être assurée par le conseiller en sécurité. La surveillance au niveau de l'organisme assureur ou de l'hôpital de l'enregistrement et de l'octroi de certificats doit être assurée par le conseiller en sécurité. Ces conseillers en sécurité ont également le devoir d'informer dans les plus brefs délais tant l'autorité d'enregistrement que l'autorité de certification, visées sous le point c. du présent article, de toutes les modifications qui 2 Il s agit de l arrêté royal relatif à la force probante des données enregistrées, traitées, reproduites ou communiquées par les dispensateurs de soins, les organismes assureurs, l'institut national d'assurance maladie-invalidité et toute autre personne physique ou morale en application de la loi coordonnée le 14 juillet 1994 et de ses arrêtés d'application 8

9 pourraient avoir une influence sur l'enregistrement et/ou sur les certificats délivrés. Les hôpitaux doivent communiquer à l'administrateur général de l'inami les nom, prénom, qualité de leurs conseillers en sécurité, le nom de leur employeur ainsi que leur lieu d'occupation. Toute modification intervenant dans ces données doit également être communiquée dans les 15 jours. L'identification du conseiller en sécurité au sein de l'organisme assureur est publiée dans le Moniteur belge. B/ Annexe 3 : procédure Back Office Remarques Chaque étape de la procédure devra garantir la reproduction fidèle durable et complète des informations, prévoir un enregistrement systématique et complet des données. Les données archivées seront conservées durant une période de 10 ans, classées et protégées contre toute altération. Il sera fait mention des mesures de sécurité prises pour protéger le caractère confidentiel des données. Pour chaque étape, un journal de bord doit être tenu dans lequel sera indiqué : - l'identité du responsable du traitement - l'identité de celui qui a exécuté le traitement - le type d'information traitée - les date, heure et lieu du traitement - les perturbations éventuelles constatées. L'ensemble des procédures, du matériel et logiciels utilisés seront décrits en détail dans un dossier régulièrement tenu à jour dont un exemplaire sera remis au conseiller en sécurité de l'institution ou de l OA et un autre sera à la disposition des services de contrôle de l'inami. Rôle du conseiller en sécurité Le conseiller en sécurité conseillera, de sa propre initiative ou à la demande, le responsable de la gestion journalière de son institution ou OA. Il est chargé de rassembler, de tenir à jour et de distribuer la documentation nécessaire. Il est également chargé de veiller à la bonne application des procédures mise en place au sein de l'institution ou OA. Il établira annuellement un rapport portant sur le respect effectif des procédures. En tout temps, il devra, s'il constate un quelconque manquement, en faire part immédiatement à la direction de l'institution ou OA. Les avis ou rapports seront communiqués de façon écrite et motivée. 9