Sécurisation données de santé (pseudonymisées) sur serveurs locaux?

#1

Bonjour,
Je suis en train de mettre en place une convention entre mon équipe et l’APHP, pour un projet qui se place a priori dans le cadre de la MR004.
Je dois très rapidement décider du niveau de sécurisation pour la configuration de nos serveurs (en cours de livraison/installation).
Quelqu’un aurait-il des informations précises sur le niveau de sécurisation des données, notamment sur l’obligation, ou pas, de chiffrer les données de santé sur les serveurs, au delà, bien évidemment de la gestion des permissions pour leur accès et la journalisation de ces accès.

Il est très difficile d’obtenir des informations claires sur ces niveaux d’exigence pour la gestion de données de santé (pseudonymisées) sur des serveurs de recherche.

Je vous remercie bien par avance pour toute information utile !
Bien cordialement,
Hervé Turlier

#2

Bonsoir,

Votre interrogation porte sur le niveau de sécurisation dans l’accès à vos données qui entrent dans le cadre de la MR-004.
Cela va dépendre de qui accède à ces données.
En effet, le point 2.3.2 de la MR004 dresse la liste des personnes pouvant avoir accès aux données directement identifiantes des personnes concernées par la recherche ainsi qu’à leurs données de santé. Parmi ces personnes, il y a notamment les professionnels de santé et leurs collaborateurs intervenants dans la recherche qui ont suivi le patient dans le cadre de ses soins et les personnes responsables du contrôle et de l’assurance de qualité.
Toutes les autres personnes (c’est-à-dire, celles qui ne sont pas citées au point 2.3.2 de la MR004) ne peuvent accéder qu’aux données de santé de ces patients. Les données ne doivent pas être identifiantes et doivent par conséquent être pseudonymisées.
Par ailleurs, seuls les professionnels de santé et leurs collaborateurs intervenant dans la recherche dans un lieu de recherche ont la possibilité de conserver le lien d’identification entre l’identité codée des personnes se prêtant à la recherche utilisée pour associer leurs données de santé à caractère personnel et leurs nom(s) et prénom(s). Cette table de correspondance devra bien entendu être conservée de façon sécurisée.
Pour plus d’information à cet effet, je vous invite à consulter toutes les explications relatives à la MR004 via le lien suivant disponible sur le site de la CNIL : https://www.cnil.fr/fr/declaration/mr-004-recherches-nimpliquant-pas-la-personne-humaine-etudes-et-evaluations-dans-le

Bien cordialement

Emmanuel STRANADICA (Expert SNDS)

#3

Cher Monsieur,
Je vous remercie pour votre réponse et les informations.
J’ai bien consulté les explications sur le site de la CNIL concernant la MR004
Néanmoins, je ne suis pas sûr que cela réponde à ma question, qui est de savoir si je dois légalement prévoir le stockage sous forme cryptée des données pseudonymisées de santé sur nos serveurs (situées au Collège de France).
Le contrôle d’accès sera bien mis en place, ainsi que sa journalisation.
Je vous remercie par avance pour votre aide.
Bien cordialement,
Hervé Turlier

#4

Bonsoir Monsieur Turlier,

Pour que la MR004 puisse être applicable il est nécessaire de respecter a minima toutes les mesures de sécurité indiquées dans le texte. Toutefois, il est exact que la MR004 comme le document CNIL ne répondent pas spécifiquement à votre interrogation sur l’obligation de crypter des données pseudonymisées sur les serveurs de stockage de données.
Nous ne sommes malheureusement pas en mesure de vous fournir davantage d’informations sur le sujet. En conséquence je vous invite à vous rapprocher du RSSI du Collège de France ou de poser directement la question à la CNIL. Je pense que ceux-ci devraient vous apporter la réponse à votre questionnement.

Bien cordialement

Emmanuel STRANADICA (Expert SNDS)