Santé et médico-social : protéger les données de vos usagers
sans ralentir l’accompagnement

Si votre structure traite des données de santé à grande échelle, ce qui est le cas de la quasi-totalité des établissements de santé et des établissements et services sociaux et médico-sociaux, la désignation d’un délégué à la protection des données auprès de la CNIL est une obligation. La vraie question porte sur le format : un salarié qui cumule cette mission avec un autre poste se retrouve souvent en conflit d’intérêts et sans temps disponible, là où un DPO externe apporte un temps garanti et une indépendance de fait.

C’est la bonne question à poser, et la réponse se vérifie. Demandez combien de structures du médico-social le juriste suit réellement, s’il travaille à partir du référentiel CNIL du 11 mars 2021, et s’il sait ce qu’est un dossier usager informatisé, une télégestion ou un dossier de protection de l’enfance. Chez nous, la filière santé et médico-social est suivie par des juristes qui n’accompagnent presque que ce secteur.

Nous ne sommes pas hébergeur certifié HDS et nous ne prétendons pas l’être. Notre rôle est de vérifier que votre hébergement, le plus souvent celui de votre éditeur, est bien couvert par une certification HDS valide, que le contrat le prévoit noir sur blanc, et que la sauvegarde et la réversibilité tiennent la route. C’est là que se trouvent la plupart des mauvaises surprises.

Le programme CaRE finance des actions de mise à niveau technique et organisationnelle des établissements sanitaires et médico-sociaux, avec des appels à financement thématiques successifs. Nous vous aidons à cadrer le dossier et à produire les preuves d’atteinte des objectifs attendues sur la plateforme, mais l’éligibilité dépend de votre statut et du domaine de l’appel en cours : c’est le premier point que nous vérifions ensemble.

La première heure décide de beaucoup : isoler sans tout éteindre, préserver les traces, savoir quelles sauvegardes sont saines. Nos abonnements RSSI comprennent un crédit de trois jours par an de gestion de crise cyber, mobilisable sans avenant, au-delà duquel les jours de crise sont facturés au tarif de la journée complémentaire. La notification à la CNIL sous 72 heures et l’information des personnes concernées sont pilotées par le DPO, en parallèle de la remise en service.

Oui. Nos équipes techniques interviennent sur les Hauts-de-France et l’Île-de-France, et nos juristes-DPO se déplacent sur site pour les comités et les sessions de sensibilisation. Les frais sont inclus sur la métropole européenne de Lille et facturés au-delà sur justificatif.

Par un état des lieux, et il est court. Côté données, un audit RGPD adossé au référentiel CNIL du secteur. Côté sécurité, un diagnostic de maturité sur le guide d’hygiène informatique de l’ANSSI. Les deux produisent une feuille de route priorisée que vous pouvez présenter à votre conseil d’administration et, le cas échéant, adosser à un financement public.