Memoire Online - Dossier médical informatisé des travailleurs soumis à la surveillance de santé

Dossier Médical Informatisé des travailleurs soumis à la surveillance de santé

Remerciements

Je remercie toutes les personnes du Cesi qui m'ont soutenu, au travers du temps qu'ils m'ont consacré, des longues discussions intéressantes et constructives, partage de points de vue différentspermettant ainsi de réaliser montravail de fin d'étude.

Aux membres de ma famille qui m'ont permis de prendre de leur temps précieux durant les week-endspour suivre la formation InfoSafeet rédiger mon travail de fin d'étude.

1. Présentation du CESI

1.1. Description

Le Cesi est un service externe de prévention et de protection (SEPP) qui existe depuis plus de quarante ans. Son objectif principal est de veiller à la santé et au bien-être des travailleurs lors de l'exécution de leur travail dans les entreprises qui lui sont affiliées.

Le CESI compte environ 300 collaborateurs (médecins, ingénieurs, ergonomes, psychologues, personnel paramédical, personnel administratif,...) et 17.000 clients. Ceux-ci n'occupentpas moins de 252.000 travailleurs aussi bien dans le secteur public que dans le secteur privé.

Nous disposons de plus de vingt-cinq centres d'examens répartis dans toute la Belgique auxquels s'ajoute une flotte de onze cars dispensairesqui se déplacent dans les entreprises afin de faciliter la réalisation des examens médicaux et de limiter l'impact de ceux-ci sur l'activité des affiliés.

En sa qualité de Service Externe de Prévention et de Protection, le CESI exerce ses missions dans le cadre légal défini par la loi du 4 août 1996 et de ses arrêtés d'exécution, notamment ceux du 27 mars 1998. Notre agrément est conditionné à l'obligation légale d'appliquer à nos missions un système de qualité certifié conforme à la norme NBN-EN-ISO 9001.

Nos missions consistent à assurer la surveillance médicale, à évaluer les conditions de sécurité au travail, à assurer la protection de la santé des travailleurs, à offrir une assistance en matière de sécurité au travail, d'ergonomie, d'hygiène industrielle et d'aspects psychosociaux du travail.

Undes axes stratégiques du Cesi est de développer des outils qui permettent de véhiculer en toute confidentialité, avec une intégrité et une disponibilité maximale,des informations médicales et psychosociales en interne et des données personnelles plus rapidement vers l'extérieur. Le Dossier Médical Informatisé (DMI) en fait partie à part entière.

Dans nos communications d'informations avec l'extérieur en connexion avec le DMI,nous utilisons actuellement le système Dimona qui nous permet de recevoir automatiquement des données relatives aux employeurs et aux travailleurs affiliés et nous échangeons des informations avec des laboratoires d'analyse. Nous participons activement aux projets de transferts de dossiers médicaux entre SEPP lors d'un changement d'affiliation ainsi que d'échange d'informations de manière électronique avec le fond des accidents du travail (FAT).

1.2. Organisation

1.2.1. Le département médical

La gestion du département médical est confiée au Directeur Médical qui organise et dirige le département conformément aux prescriptions du Code sur le Bien-Être. Avec la Direction Générale etla Coordination Générale, il collaboreà l'élaboration des objectifs et du plan d'action du service externe de prévention et de protection au travail ainsi qu'à fixer les priorités d'action du département médical.

Il assume la garde des dossiers de santé papier et est responsable du traitement des données si ceux-ci font l'objet d'un traitement automatique.

Il fait connaître les objectifs de sécurité qu'il souhaite atteindre et formule des propositions de mesures de sécurité à prendre.

Les conseillers en préventionde la médecine du travaildoivent assurer la surveillance de santé des travailleurs conformément à l'arrêté royal du 28 mai 2003. C'est après avoir effectué une analyse de risques que le médecin va déterminer si le travailleur est soumis à cette surveillance. Cette analyse se base entre autressur une première visite des lieux de travail qu'il peut lui même entreprendre. Il participe aux réunions du Comité pour la Prévention et la Protection au Travail (CPPT) dans les entreprises où cet organe de concertation a été institué.

Lors des examens médicaux des travailleurs soumis à la surveillance de santé, les conseillers en prévention de la médecine du travailseront souvent assistés par une assistante paramédicale. Pour des raisons organisationnelles, les entreprises préfèrent parfois que les examens se déroulent dans un car. Un technicien chauffeur est alors adjoint à l'équipe médicale classique.

Pour les travailleurs soumis à la surveillance, l'équipe médicale assure la totalité des examens médicaux tels que prescrits à l'article 16 de l'arrêté royal du 28 mai 2003 relatif à la surveillance de santé des travailleurs à savoir l'évaluation de santé préalable, l'évaluation de santé périodique, les examens de reprise du travail, des examens spontanés, des examens en vue de la protection de la maternité, ...

Conformément à l'article 80 de l'AR du 28 mai 2003 relatif à la surveillance de santé des travailleurs, le conseiller en préventionde la médecine du travail se charge de l'établissement et de la tenue à jour du dossier de santé de chaque travailleur examiné.

1.2.2. Le département de la gestion des risques

Le département de la gestion des risques est confié au Directeur de la gestion des risques.

Ce département assure les missions de prévention et de protection par une assistance en matière de sécurité au travail, de médecine du travail d'ergonomie, d'hygiène industrielle et d'aspects psychosociaux du travail.

Les experts liés à l'unité de Sécurité assistent les entreprises dans la mise en oeuvre du système dynamique de gestion des risques, aident à remplir les différentes obligations légales (rapport annuel, plan global de prévention, prévention incendie, sécurité des produits chimiques,...) et fournissent diverses formations (sensibilisation de la ligne hiérarchique, formation des équipes de première intervention,...).

Les experts liés à l'unité d'Hygiène du travail procèdent à toutes sortes de mesures sur le lieu de travail (mesures du bruit, poussières, vibrations, solvants, environnement, dosimétrie).Les experts liés à cette unité conseillent les entreprisesen ce qui concerne la gestion des risques chimiques et biologiques.Il est également tenu compte des aspects environnementaux dans la mesure où ceux-ci ont un impact sur les conditions de travail.

Les experts liés à l'unité d'Ergonomiecollaborent avec l'employeur et les travailleurs pour faire coïncider les conditions de travail avec les possibilités humaines. Leur mission est d'adapter le travail à l'homme, en particulier en ce qui concerne la conception des postes de travail, le choix des équipements de travail et des méthodes de travail de productiondans le but d'obtenir des conditions optimales de confort, de santé, de sécurité et d'efficacité.

Les experts liés à l'unité Psychosocialeétudient la charge psychosociale en lienavec les conditions de travail et les relations humaines au travail. Ils formulent ainsi des propositions et accompagnent les processus de prévention et de traitement des comportements abusifs tels que le harcèlement moral ou sexuel. L'attention est également portée sur divers problèmes d'assuétudes relatifs à l'alcool, à la drogue ou au tabagisme.

1.2.3. Le département des services centraux

Le département des services centraux est confié au Directeur Général.Celui-ci est responsable de la gestion journalière et rend compte de la gestion du Service devant le Conseil d'Administration.

Le département des services centraux travailleen appui aux deux autres départements.

Le service Commercial s'occupe de toutes les activités commerciales : offres, suivis des clients au niveau des affiliations et des désaffiliations, de la communication externe ainsi que la gestion du site Extranet.

Le service des Ressources Humainesassume la gestion du personnel, l'organisation et le suivi des formations du personnel ainsi que le recrutement.

Le service administratif et financier regroupe toutes les activités administratives liées au client (facturation, note de crédit, suivi de dossier,...), à la comptabilité et au service informatique.

Le directeur général supervise directement le personnel chargé de la Qualité et Organisation, de l'environnement, du SIPP (Service Interne de Prévention et Protection) ainsi que de la sécurité de l'information. Comme stipulé dans les normes minimales de la Banque Carrefour de la Sécurité Sociale (BCSS), le servicede la sécurité de l'information dépend bien directement du responsable de la gestion journalière.

1.3. Le Coordinateur de la Sécurité de l'information

Il assure la gestion centralisée de la sécurité de l'information au sein du CESI. Ses différentes missions sont :

· Suivre les différentes actions et initiatives liées à la sécurité de l'information

· Veiller aux exigences légales et contractuelles liées à la sécurité de l'information et plus spécialement au respect de la législation relative à la protection de la vie privée (y compris les formalités de déclaration à la Commission de Protection de la vie privée).

· Promouvoir et sensibiliser le personnel à la sécurité de l'information au sein du CESI

· Etre le point de contact unique pour toutes questions/conseils relatifs à la sécurité de l'information

2. L'existant en sécurité des systèmes d'information

2.1. Historique

En 2009, voulant bénéficier des informations disponibles grâce au système de déclaration immédiate de l'emploi (Dimona) obligatoire pour tout employeur, la direction du Cesi a dû créer le service de sécurité de l'information.Illui fixe comme premier objectif d'amenerla sécurité des informations au niveau des normes minimales exigées par la Banque Carrefour de la Sécurité Sociale (BCSS). Ces normes ne sont à ce jour pas encore une obligation légale pour les SEPPqui utilisent la Dimona mais devront normalement bientôt l'être. Un arrêté Royal est attendu.

Dans le même temps, un audit en sécurité a été réalisé afin de connaître les forces et les faiblesses. De cet audit découleralepremier plan d'action qui sera confié au comité de sécurité de l'information. Ce comité, composé du Directeur Général, du Directeur Administratif et Financier, du responsable bâtiments, d'un membre du département médical, d'un membre de la gestion des risques et du coordinateur de sécurité de l'information, aura la charge de faire vivre ce plan d'actions.

6. Renforcement de la sécurité physique de la salle informatique Disaster Recovery Plan

8. Mise en place d'un système de monitoring des contrôles environnementaux dans la salle informatique principale

2.2. Politique de sécurité

Parallèlementà la mise en place du plan d'actions et d'un comité de sécurité de l'information, la première version de notre politique de sécurité a été rédigée.

Cette politique de sécurité avait comme ambition de refléter les objectifs en matière de sécurité de l'information et de reprendre toutes les chartes informatiques.

La politique de sécurité a été rédigée en s'inspirant de la politique de sécurité de la BCSS, de l'audit que nous avions effectué, de la norme ISO 27001, de l'analyse des risques et d'une bonne connaissance des systèmes informatiques.

Elle a été approuvée par le comité de sécurité de l'information, le comité de direction et le comité d'entreprise.Nous l'avons publiée sur les valves électroniques afin que l'ensemble du personnel puisse en prendre connaissance.

Depuis elle a fait l'objet de deux adaptations, afin d'y intégrer les éléments propres à la sécurité du dossier médical informatisé (DMI). D'autres risques avaient en effet été identifiés et notre souhait était de les intégrer dans notre politique. A titre d'exemple, nous ne parlions pas des données médicales, des accès aux données sensibles, des obligations légales qui en découlent, ni de l'engagement des collaborateurs à la confidentialité.

L'ensemble du personnel n'ayant pas pris connaissance de cette politiquedans sa totalité, nous avons réalisé à son attention une synthèse en dix points reprenantles attentes minimales en matière de sécurité de l'information.

2.3. Formation et Information du personnel

La tailleet la résistance de notre rempart aux attaques étant proportionnelles aux connaissances du personnel,un accent a été mis au niveau des formations en sécurité pour lescollaborateurs.

Afin de nous assurer que tous les nouveaux membres engagés aientreçu un minimum de connaissance en sécurité de l'information, nous avons inséré un chapitre « sécurité » dans le module d'accueil.Chacun doit également signer un engagement à la confidentialité. Dans le contrat d'emploi, nous leur demandons une signature attestant qu'ils ont pris connaissance de notre politique de sécurité.

Pour le groupe projet du DMI, une formation spécifique a été réalisée afin de sensibiliser les membres du groupe à la sécurité des données médicales.

Il est prévu lors des séances de formation au dossier médical informatisé,de consacrer un chapitre à la sécurité de l'information du DMI.

2.4. Les sécurités informatiques et stratégiques

Le Cesi possède son propre site de backup assurant la redondance des activités critiques. Le site central et le site backup sont reliés par une fibre optique. Les risques résiduelsdu site central et du site backup, acceptés par la direction, sont différents.

Les centres régionaux, le site central et backup sont interconnectés au Backbone de la société Win s.a. qui assure également la sécurité des connexions internet.Les interconnexions ont toutes été doublées : une ligne principale de type ligne louée et ligne backup de moindre capacité pouvant travailler en mode dégradé de type VDSL ou 3G.

Tous les serveurs physiques ont été doublés ainsi que la plupart de leurs composants. Une partie des serveurs a été virtualisée.

La prévention, la protection et la neutralisation des logiciels malveillants, ainsi que les mises à jour et correctifs de sécurité sont réalisés quotidiennement. Il existe une procédure de sauvegarde et de restauration des données. Cette procédure se trouve dans le manuel de qualité.

Les identifiants des comptes d'accès sont nominatifs. L'utilisation d'un même compte par plusieurs personnes n'est pas autorisée sauf si une contrainte le justifie. L'utilisation de mots de passe constructeurs ou par défaut est interdite.

Les mots de passe doivent être modifiés tous les 90 jours calendriers et doivent satisfaire aux contraintes de complexité suivantes :

De manière générale, tous les flux contenant des informations sensibles et circulant sur un réseau public sont chiffrés par des procédés fiables.Le trafic réseau en provenance et à destination du système fait l'objet d'un contrôle permanent afin de n'autoriser que les flux légitimes.

Les utilisateurs ne disposent pas des droits d'administrateur local sur leur machine et ne peuvent installer aucun logiciel. L'installation de celui-ci passe par le service informatique.

La salle du site central est protégée 24h/24 et 7j/7 par un contrôle d'accès par badge et par la mise en place de moyens de prévention et de détection d'incendie.Une solution de secours (UPS) est mise en oeuvre en cas de dysfonctionnement de l'alimentation électrique.

Le site backup bénéfice des services de sécurité au même titre que les autres serveurs du centre hospitalier dans lequel il est implanté.

Il existe bien un plan de continuité des activités (BCP) orienté informatique mais celui-ci n'a plus été mis à jour depuis quelques années et n'a été testé qu'une seule fois. Un comité vient d'être mis en place afin de réactualiser celui-ci. Son objectif étant la mise en place d'un management de la continuation des activités (BCM).

3. Les enjeux du dossier médical informatisé

Pour le service médical, il était temps de passer du dossier médical papier au dossier informatisé. Les locaux d'archives saturent. Le délai de conservation d'un dossier est de quinze ans au moins à dater du départ du travailleur voire plus dans certains cas (risque de cancer, exposition à l'asbeste, aux radiations ionisantes,...).

La sécurité des dossiers papier n'était pas optimale. Il arrivait, que ceux-ci disparaissent. La confidentialité n'était pas toujours optimale car ceux-ci ne se trouvaient pas systématiquement dans des endroits fermés ou avec des contrôles d'accès.

Le formalisme à respecter lors d'une consultation, tel que décrit dans notre manuel de qualité, n'existe plus et cela peut nous poser problème pour la certification ISO 9001. Un avantage du dossier médical informatisé est d'imposer une forme de normalisation de la consultation.

Les échanges d'informations connexes au dossier médical étant en constante augmentation, il semblait évident d'informatiser celui-ci (à titre d'exemple : les laboratoires avec transmission de résultats par mail). Beaucoup d'autres SEPP avaient déjà passé le cap et si nous voulions bénéficier des différents services inter-SEPP nous devions également disposer d'un système équivalent.

Certaines consultations sont effectuées dans les locaux de l'entreprise ou dans des cars dispensaires. Le souhait formulé par les médecins était de pouvoir accéder à distance au dossier médical afin de ne pas devoir utiliser le dossier papier ou un dossier informatisé en mode déconnecté qui devait être synchronisé avant et après consultation.

Le dossier médical informatisé permettra d'utiliser plus de codifications et ces données pourront être exploitées à des fins scientifiqueset épidémiologiques.

Nous devons également faire face à des demandes de statistiques de la part de nos clients et de nos autorités de tutelle qui souhaitentobtenir le plus rapidement possible des documents comme le formulaire d'évaluation de santé.Il s'agit du document par lequel le médecin communique sa décision concernant l'aptitude du travailleur.

3.1. Analyse SWOT

	Positif	Négatif
Interne	Forces	Faiblesse
	· Amélioration de la disponibilité, confidentialité, traçabilité, fiabilité et qualité des informations de santé des travailleurs · Accès au DMI dans tous nos centres · Obtenir des statistiques scientifiques et épidémiologiques · Ressources financières et humaines suffisantes · Archivage des données médicales	· Personnel médical réticent au dossier médical informatisé · Absence de formalisme des consultations médicales · Manque de codification des informations · Personnel médical à former aux outils informatiques · Stabilité du réseau informatique
Externe	Opportunités	Menaces
	· Meilleures communications de la décision d'aptitude des travailleurs et de statistiques aux clients + autorités de tutelle · Transferts des dossiers médicaux entre les SEPP · Intégration plus rapide des données médicales provenant de l'extérieur (labos)	· Image de la société : nous faisons partie des derniers à informatiser notre dossier médical · Difficulté d'échange d'informations avec l'extérieur (Fond des accidents du travail, fond des maladies professionnelles, permis de conduire, SEPP, labos,...)

3.2. Analyse de Risques

Cinq risques majeurs ont été pris en compte et pour lesquels une attention toute particulière a été donnée :

1. La réticence du personnel à utiliser l'outil par manque de connaissance et de motivations, notammentà cause des bugs répétitifs ou par manque de convivialité de l'application, aurait comme conséquence un abandon du projet par les médecins etdes problèmes organisationnels.

2. Les pertes d'informations encodées, suite entre autres à des synchronisations entre les systèmes ou des défauts d'enregistrement dans la base de données,pourraient avoir un impact juridique important et un coût financier allant jusqu'à la perte de gros clients.

3. Le manque de traçabilité des encodages qui provoquerait un manque de visibilité d'imputation des actes. Les intervenants sur le dossier sont nombreux et ceux-ci ne sont pas toujours les mêmes pour un même dossier.

4. La curiosité du personnel ou l'accès aux données à caractère médical par des personnes n'étant pas soumises au secret professionnelqui provoquerait une perte de confiance dans le système ainsi que des risques juridiques et/ou des sanctions internes.

5. L'existence temporaire d'un double système ; le dossier papier et le dossier informatisé,ce qui pourrait provoquer une indisponibilité de l'information. Le personnel accéderait à l'application par « vague successive ». Cela impliquerait que certains utilisateurs auraient temporairement accès aux dossiers informatisés et d'autres pas.

4. Le contexte législatif et les avis de l'Ordre des Médecins

Le point de départ était le relevé de toutes les principales lois, arrêtés royaux et recommandationsen vigueur de l'Ordre des Médecins à respecter pour le dossier médical.

Nous allons ici dans un premier temps les énumérer. Ensuite, nous proposons de découvrir comment le contexte législatif et les avis de l'Ordre des Médecins nous ont aidésà la mise en place de la sécurité de l'information malgré d'importantes contraintes organisationnelles et informatiques.

· L'arrêté royal du 28 mai 2003 relatif à la surveillance de la santé des travailleurs,Section 8 - Le dossier de santé. Dans les sous-sections, il est clairement indiqué quelles sont les finalités, le contenu, les modalités de conservation, le transfert et les mouvements, les accès et le traitement automatisé.

· La loi du 8 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel.

· L'avis du Conseil National de l'Ordre des Médecins du 24/10/2009 (Doc a127019), confirmant que la loi du 22 août 2002 Relative aux droits du patients'applique également pour l'examen médical effectué dans le cadre de la médecine d'assurances ou l'examen par le médecin contrôleur d'une mutualité ou par un médecin du travail.

· Recommandationsrelatives à la Sécurité des données transmises par Internet -Bulletin du Conseil national numéro 84, page 22 du20 février 1999.

· Laloi du 22 août 2002 relative aux droits du patientmise à jour au 22-12-2006.

· L'article 458 du code pénal qui sanctionne toute violation du secret professionnel.

5. Les droits des travailleurs en matière de dossier de santé

Dans la sous-section 5 de la section 8 del'arrêté royal du 28 mai 2003 relatif à la surveillance de santé des travailleurs nous notons déjà les premiers éléments repris ci-après.

Le travailleur a le droit de prendre connaissance de l'ensemble des données médicales à caractère personnel et des données d'exposition constituant son dossier de santé. La demande de prise de connaissance, ainsi que les demandes de correction ou de suppression de données objectives médicales à caractère personnel faisant partie du dossier de santé se font par l'intermédiaire du médecin choisi par le travailleur.

L'accès au dossier de santé est confirmé avec la loi relative aux droits du patient du 22/08/2002 mise à jour le 22/12/2006, article 9 paragraphe 2. Un autre élément important qui se trouve dans ce paragraphe stipule que les annotations personnelles d'un praticien professionnel et les données concernant des tiers n'entrent pas dans le cadre de ce droit de consultation. Si le médecin ne souhaitepas communiquer des informations celles-ci devront être encodées dans les notes personnelles.

L'article 9, paragraphe 1, de la loi relative aux droits du patient rappelle que le travailleur a droit, de la part du médecin, à un dossier de santé tenu à jour et conservé en lieu sûr. Cette loi renforce les exigences de la loi sur la vie privée concernant les données médicales.

Le travailleur pourra demander au Directeur Médical quelles sont les personnes qui ont accédé à son dossier. La consultation des notes personnelles du médecin par contre ne sont pas consultables par le travailleur (Art9 § 2 de la loi relative aux droits du patient).

Il ne faut pas perdre de vue le cas oùle dossier médical concernerait un mineur. Les droits fixés par la loi sont exercés dans ce cas par les parents ou le tuteur ayant autorité sur le mineur.

Les travailleurs doivent être informés du fait que leur dossier est informatisé,à défaut faire référence aux textes légaux autorisant la constitution de celui-ci. Au Cesi, l'information est intégrée sur nos convocations médicales.

Au moment où un employeur change de SEPP, les dossiers médicaux des travailleurs seront transférés via la CoPrev (association des SEPP) qui assurera et garantiraque les modalités définies par l'arrêté royal du 28 mai 2003 relatif à la surveillance de santé des travailleurs section 8 (la sous-section 4 plus spécialement Art. 90, se conformer aux principes et garanties que sont l'authenticité, la fiabilité et la confidentialité du dossier) seront respectées.

Le travailleur pourra avoir copie de son dossier de santé par l'intermédiaire de son médecin traitant (AR du 28 mai 2003 Art 91). La société a choisi de prendre le risque juridique de ne pas donner priorité à la loi sur le droit du patient qui permet au travailleur de recevoir après la consultation une copie de son dossier de santé.

6. Les contraintes organisationnelles et informatiques

Les contraintes de la sécurité de l'information ont été très importantes tout au long de la mise en place du projet du dossier médical informatisé. Nous avons progressé étape par étape. Au départ du projet, nous n'avons malheureusement pas été associés au groupe de travail. Au vu de l'importance du projet et du rôle important pris par la sécurité, nous avons de notre propre initiative offert nos servicesen démontrant la réelle plus-value que nous pouvions apporter.

La première contrainte rencontrée est organisationnelle. LeDirecteur Médical a une mission conceptuelle dans la sécurité de l'information. Il détecte et détermine les problèmes de sécurité etfixeles objectifs de celle-ci. Il indique au service sécurité les menaces relatives à la protection des données médicales à caractère personnel. Il est responsable du traitement des données si le dossier de santé fait l'objet d'un traitement automatisé (AR 28/05/2003relatif à la surveillance de la santé des travailleurs Section 8 - Art 93).

Le service de sécurité s'est donc mis à la disposition du Directeur Médical et lui a fait part de son enthousiasme à pouvoir l'aider dans ce projet.

Le service médical n'étant pas demandeur et ne voyant pas en quoi les aspects de sécurité apporteront une réelle plus-value dans le projet, le premier travail a consisté à décrire les risquesjuridiques principaux encourus et à démontrer ensuite l'importance de la mise en place d'une véritable politique de prévention.Nous en avons profité pour rappeler les différentes recommandations de l'Ordre des Médecins concernant la gestion des bases de données médicales (15/06/2002) et leur interprétation quant à l'application de la loi sur les droits du patient du 22/08/2002.

La deuxième contrainte que nous avons rencontrée était d'ordre opérationel : s'il fallait mettre une politique de sécurité en place, celle-ci ne pouvait pas ralentir le projet, ni alourdir la programmation ou augmenter le temps de travail des consultations et encore moins avoir un coût important.

Pour cette partie, nous avons négocié des mesures en adéquation avec les risques juridiques que nous pouvions encourir. Dans l'arrêté royal du 28/05/2003 relatif à la surveillance de la santé des travailleursArt. 92, il est clairement stipulé que nous devons nous conformer aux dispositions de la loi du 8 décembre 1992 relative à la protection de la vie privée.

Nous avons démontré facilement que nous étions bien en présence de données à caractère personnel, plus spécifiquement de données médicales (LVP art 7). Nous avions bien l'obligation légale de protéger nos données de manière adéquate sauf si le Directeur Médical assume cette partie du risque.

La deuxième partie du travail a donc été de déterminer la manière la plus adéquatede protéger nos données sensibles. Par facilité, nous sommes partis du questionnaire de la commission de la vie privée pour pouvoir utiliser le numéro national dans les échanges. Celui-ci, jugé trop complexe, a provoqué une réaction de rejet. Nous avons alors retravaillé les questions pour permettre de faciliter l'élaboration du cahier de charge de la sécurité du dossier médical.

L'apport en sécurité de l'information dans le projet a servi également à l'adhésion des médecins pour lesquels le respect du secret médical est obligatoire (l'article 458 du code pénal et Code de déontologie médicale, articles 55-70 sur le Secret professionnel du médecin).

La troisième contrainte que nous avons rencontréeest le manque de prise en compte global de la sécurité par le service informatique. Depuis des années, l'informatique a développé ses propresprocédures et règles de sécurité.Celle-cin'est évaluée qu'en fonction des incidents qui se sont produits. La transparence n'est pas de mise, les demandes de contrôle sont perçues commesuperflues voire inconvenantes.

La fiabilité du réseau sur lequel le dossier médical informatisé allait être installé n'ayant pas été démontrée avec conviction, un audit global du service, du réseau et de la sécurité informatique a été réalisé. Cet audit nous a permis de mettre en évidence de nombreux points de non-conformité. Ceux-ci n'ont pas remis en cause l'installation du dossier médical informatisé mais la réorganisation complète du service et des procédures de travail.

Une troisième partie de notre travail a été d'apporter notre soutien au service médical en réalisant un inventaire des actions déjà mises en placeet une réflexion en profondeur afin que le projet puisse démarrer dans de bonnes conditions.

Nous avons demandé au service médical d'attirer l'attention du service informatique sur les points suivants :

La quatrième contrainte est la méconnaissance de la problématique par le personnel de la sécurité des informations ainsi que le manque de maîtrise des outils informatiques. Une première évaluation des connaissances des différents acteurs au niveau des outils informatiques a été réalisée. Pour la sécurité de l'information, nous avons établi un canevas ainsi qu'un planning de formation des utilisateurs avec le DirecteurMédical.

Cette formation sera ciblée sur le dossier médical informatisé et aura comme objectifs d'informer et de former les personnes aux différentes législations en la matière, de leur faire prendre conscience de l'importance de la sécurité de l'information del'engagement au niveau de la confidentialité et du respect des règles de sécurité de l'information.

Nous en avons profité pour rédiger unesynthèse à l'attention des utilisateurs reprenant quinze points importants.

Lors de l'utilisation d'un dossier informatisé, les utilisateurs auront l'impression qu'ils ont accès à moins d'informations et avec plus de contrôles qu'auparavant dans le dossier papier où il n'y a aucune restriction d'accès à l'information.

Chaque utilisateur sera sensé utiliser les données auxquelles il a accès à usage professionnel. Dans leur gestion quotidienne, les utilisateurs s'engageront à respecter et à faire respecter la protection de la vie privée de toute personne qui vient en consultation au CESI. Ils n'accèderont aux données de santé et administratives que pour les personnes prises en charge uniquement dans un contexte professionnel.

7. Lamise en oeuvre de la sécurisation du dossier médicalinformatisé

7.1. Cahier de charges de la sécurité

Nous avons établi un questionnaire de sécurité reprenant nos recommandations minimales pour le dossier médical informatisé. L'obligation de répondre par l'affirmative ou de pouvoir démontrer qu'il y a bien eu prise en charge de la problématique à chaque question était le prérequis à l'introduction de la demande à la commission de la vie privée.

1. Avez-vous désigné une personne référente au sein du département médical qui sera en lien avec le coordinateur de sécurité ?Avez-vous mis en place un comité de veille ?

2. Avez-vous défini les objectifs de sécurité souhaités pour le DMI, évalué les menaces de sécurité pesant sur le DMI et proposé des mesures afin de diminuer les risques de sécurité ?

3. Avez-vous formulé par écrit vos exigences minimales auxquelles doit répondre le DMI au niveau sécurité?

4. Des données à caractère privé et médical seront-elles également stockées ailleurs qu'en site central (serveurs du service informatique) et dans l'affirmative avez-vous fait un inventaire des différents types de support (PC, clé ou disque USB,...)?

5. Avez-vous informé et formé le personnel médical de ses obligations légales, déontologiques, éthiques ainsi que des attentes du département médical au niveau sécurité des données?

6. Avez-vous mis en oeuvre un processus donnant régulièrement au référent médical de la sécurité le nom des personnes ayant eu accès au dossier afin de vérifier que des personnes non autorisées n'ont pas eu la possibilité d'y accéder ?

Accès\Fonctions	Médecin	Assistante	Développeur	Helpdesk	Pers. Adm.	Autres
Accès au DMI
Lecture
Création
Modification
Impression
Notes Perso.
Accès à la DB

8. Avez-vous eu des garanties que tout a été mis en oeuvre lors de l'analyse et du développement du logiciel et que les données médicales du DMI seront accessibles uniquement par les personnes ou les fonctions désignées par le DirecteurMédical ?

9. Comment avez-vous mis en route la traçabilité des actions effectuées par les personnes qui ont accès au DMI ? Quelles sont les informations de traçabilité que vous sauvegardez ? Quelles sont les personnes du département médical qui vont analyser les informations de traçabilité et à quelle fréquence ?

10. Avez-vous prévu d'effectuer des vérifications afin de s'assurer du bon fonctionnement de la sécurité des informations?

12. Disposez-vous pour le DMI d'un dossier technique et fonctionnel intégrant la sécurité des données ?

7.2. Les accords de sécurité du dossier médical informatisé

Face au cahier de charges que nous avons déposé auprès du Directeur Médical, le groupe projet du dossier médical informatisé a collaboré afin de répondre de manière positive aux attentes et de mettre en oeuvre une sécurité avec les différents intervenants. Vous trouverez ci-dessous la réponse globale aux questions.

Il y a l'obligation au secret professionnel pour toute personne habilitée à accéder aux données médico-techniques : Médecins, Assistantes, Assistantes administratives, Infirmières, Techniciens-chauffeurs.

Il y a l'obligation au secret professionnel pour toute personne habilitée à accéder aux données sensibles : Informaticiens, Développeurs, HelpDesk, Consultants et Fournisseurs.

L'obligation se décline en obligation conventionnelle (Avenant) pour les indépendants et en obligation contractuelle pour les salariés.

L'accès des utilisateurs autorisés se fera via une identification supplémentaire basée sur la reconnaissance du profil d'utilisateur par fonction. Ceci assure une identification spécifique au DMI qui se superpose aux droits d'accès à d'autres applications (Windows, mail, etc.) utilisées au Cesi.

La création de profils de rôles (avec authentification sur base d'un nom d'utilisateur) sécurisent l'accès ainsi limité aux seules personnes autorisées.

Grille d'accès aux dossiers et aux documents pour les utilisateurs (par fonction)

Accès\Fonctions	Médecin	Assistante	Développeur	Helpdesk	Pers. Adm.	Autres
Accès au DMI	X	X	X*	X**	-	-
Lecture	X	X	X*	X**	-	-
Création	X	X	X*	-	-	-
Modification	X	X	X*	-	-	-
Impression	X	X	X*	-	-	-
Notes Perso.	X	-	-	-	-	-
Accès à la DB	-	-	X	-	-	-

X* Accès et travail sur Base de données -test et accès ponctuel (log transitoire et sur autorisation de l'équipe médicale) et limité dans le temps sur Base de données en cas de problème technique

X** Accès ponctuel et limité dans le temps (idem supra) en cas de problème technique

Dans un fichier XML crypté par l'algorithme AES-256 et stocké sur un disque local des ordinateurs portables ;

Le conseiller en prévention-médecin du travail est responsable de l'établissement et de la tenue à jour du dossier de santé pour chaque travailleur qu'il est appelé à examiner.

Contrôle par le responsable de la sécurité, en particulier des informaticiens et fournisseurs.

En cas de faille de sécurité ou d'abus le Directeur médical est immédiatement averti et prend toutes les mesures correctives nécessaires.

Le Directeur Médical peut produire à tout moment la liste des personnes qui ont eu accès, imprimé ou modifié le dossier avec leur profil.

La traçabilité des actions effectuées par les personnes est assurée par ajout dans la base de données du nom la personne qui a créé les données, de la date de l'ajout ou de la dernière personne qui a modifié cette donnée.

Il existe une table indiquant tous les mouvements de dossiers (sortie/sauvegarde, date, nom de l'utilisateur).

Le listing des accès est imprimable pour le Directeur Médical et peut être remis sur demande à la commission de la vie privée.

Les comportements inadaptés ou indiscrets, lesabus (violation du secret médical, divulgation d'informations, piratage, sabotage) sont communiqués au Conseil médical qui est l'organe de veille déontologique médicale au sein du Cesi.

L'application comporte une traçabilité des accès (nom d'utilisateur) aux dossiers individuels des travailleurs.

Les patients sont informés que leur dossier est informatisé via un texte qui apparaît sur nos convocations médicales.

Le dossier médical informatisé peut être transféré (suivant les règles légales) sous forme d'une copie papier du dossier ou sous format électronique sécurisé.

Un audit interne concernant le respect des points ci-dessus est prévu au moins une fois l'an. Il est initié par le responsable de la Sécurité de concert avec le responsable Qualité.

Au sein du département médical unréférent, l'adjoint à la direction médicale, responsable des projets informatiques du département sera en lien avec le coordinateur de sécurité.

Le comité de veille médicale composé également du Directeur Médical ainsi que des directeurs régionaux est animé par l'adjoint à la direction médicale responsable des projets informatiques.

Sensibilisation lors d'un module de formation DMI et unrappel lors des recyclages.

Le niveau d'engagement du département médical étant optimal etla plupart des mesures d'application ou en cours, nous avons procédé à la déclaration de la base de données auprès de la commission de la vie privée.

7.3. Les adaptations organisationnelles

Pour pouvoir mettre en place le dossier médical informatisé, quelques adaptations ont été nécessaires.

La première adaptation réalisée est celle de la politique de sécurité. Nous souhaitions ajouter quelques paragraphes propres au dossier médical informatisé.

Nous avons ajouté la notion de données médicales et notre volonté d'instaurer des précautions supplémentairesainsi que l'application des obligations légales pour ce type de données.

Nous avons demandéau département des ressources humaines qu'il participe plus activement à la sécurité en prenant la responsabilité d'informer les nouveaux engagés,lors de la signature du contrat,de leurs obligations en matière de sécurité des données,et plus précisément des données médicales,en intégrant dans les différents profils de fonction les rôles qu'ils jouent chacun en matière de sécurité.

Nous rappelons que l'utilisateur doit être conscient de l'importance du respect de la confidentialité, des accès autorisés et qu'il ne doit accéder qu'aux données nécessaires pour effectuer sa mission. Il doit s'engager à ne jamais transmettre son code d'accès et son mot de passe à un tiers et à ne jamais utiliser les identifiants d'autrui. L'imputabilité des actions se font sur base de l'authentification.

L'arrivée du dossier médical informatisé était pour nous l'occasion de faire signer à l'ensemble du personnel un engagement à la confidentialité et de sensibiliser à nouveau à l'importance de celle-ci (en rappelant que cette obligation perdure au-delà de la rupture du contrat de travail pour toute personne ayant accédé aux données confidentielles).

De nouveaux rôles ont été créés, de nouvelles responsabilités de sécurité ont été déterminées et il était donc important de les reporter dans le profil de fonction.

Le département médical doit mettre un comité de veille en place afin de s'assurer du bon fonctionnement du dossier, de collecter toutes les plaintes, d'analyser les situations anormales, étudier d'éventuels cas d'abus,...

Cette arrivée du dossier médical informatisé offrait aussi l'opportunité d'ajouter dans le profil du Directeur Médical la responsabilitédu traitement des données.

Soucieux d'assurer une bonne gestion des incidents prévisibles, nous avons initié le processus par une réflexion demesures à prendre suivie de la mise en place des procédures à tester. Cette préparation diminuera le temps de résilience.

Nous avons identifié quelques cas d'incidents que nous avons soumis au département médical.

Le maillon faible au niveau de la sécurité est l'utilisateur. La meilleurefaçon de renforcer celui-ci est d'informer l'utilisateur et de le former en matière de législation sur les données à caractère personnel ainsi que sur le droit des patients.

Le document d'engagement à la confidentialité sera signé par l'ensemble du personnel et non plus uniquement par le personnel médical. L'importance d'un tel document et les attentes au niveau de la sécurité de l'information seront explicitées.

Sensibiliser l'ensemble du personnel à l'importance que nous accordons à la politique de sécurité et des chartes / recommandations qui ont été publiées à leur attention.

Recommandations destinées aux utilisateurs du dossier médical sur les points suivants :

· Ne jamais communiquer vos login et mot de passe. Ils vous identifient et permettent de remonter jusqu'à vous en cas de souci.

· Ne jamais laisser le PC ouvert sur une application sans surveillance. Lorsque vous vous absentez de votre bureau veillez au minimum à verrouiller votre session ou mieux, quittez l'application et verrouillez votre session.

· Veiller à l'exactitude des données privées et médicales collectées sur la personne.

· Sur votre portable ne laissez pas de documents contenant des données privées ou médicales.

· Veillez à n'utiliser ou traiter que les informations nécessaires à la réalisation de la consultation.

· Les informations non transmissibles, ni accessibles aux travailleurs seront reprises dans les notes personnelles du médecin.

· Imprimer que ce qui est nécessaire et supprimer de manière efficace toutes les informations

· Lorsque vous imprimez un document confidentiel, évitez qu'une autre personne en prenne connaissance.

· Eviter de faire circuler l'information sensible par mail car celui-ci n'est pas crypté et pourrait être intercepté.

· Faire remonter tout comportement suspect ou faille que vous auriez découverts.

· Ne pas perdre de vue qu'on est responsable contractuellement et légalement des données privées et médicales. Nul ne peut invoquer la méconnaissance des lois pour fonder sa défense.

· Informer les travailleurs du fait que leurs données se trouvent dans un dossier médical informatisé et de la procédure d'accès à ces informations.

· En cas de doute sur la qualité de l'interlocuteur, ne lui confier aucune information. Diriger le vers un responsable de département, le coordinateur de sécurité ou vers le comité de veille.

· Lors de l'utilisation, de l'application ou de la synchronisation des données avec un Wifi, veillez à être toujours connecté avec un Wifi sécurisé (Wifi qui utilise une clef WPA).

· Anonymiser les informations médicales lors d'évocation de cas, conversations ou échanges d'informations.

7.4. Les défis du service informatique

La réussite d'un projet passe aussi par les utilisateurs. Ils ne sont pas toujours demandeurs de changement et sont souvent plus résistants que participants. Nous devrons faire face à un choc culturel. Les médecins ont privilégié le papier plutôt que les outils informatiques. Ils organisent leur consultation en fonction de leur mode de fonctionnement et d'organisation. La fiabilité du programme, la conservation des données et la confidentialité de celles-ci seront les facteurs de réussite dans notre cas de figure. Un accent doit être mis sur une interface agréable, un logiciel intuitif et une assistance à la demande.

Travaillant dans un cadre médical avec des médecins qui sont attachés à leur code déontologique, les utilisateurs attendent de notre part que les secrets médicaux soient bien gardés et que toutes les sécurités soient fournies voire garanties comme le recommande l'Ordre des Médecins.

L'important pour les médecins sera donc de sécuriser les accès, les stockages des données médicales, un programme sûr qui garantit l'intégrité des données, une validation automatique des données encodées, la paramétrisation des données codifiables, le choix decodifications standards disponibles par défaut (ICD 10, codification belge des pathologies professionnelles) et la sécurité des échanges sur les différents réseaux (interne et externe).

Dans une première phase, le dossier sera accessible uniquement depuis les centres fixes. Les connexions intersites sont redondantes et sécurisées. La seconde phase permettra d'y accéder là où il est possible de réaliser des consultations. Différentes pistes sont déjà à l'étude comme la connexion via un réseau data 3G ou des antennes paraboliques ou WIFI d'entreprise ou des dossiers stockés en local sur des portables.

Pour chaque piste, une série de problèmes de sécurité se pose. Si nous utilisons une connexion réseau data 3G ou des antennes paraboliques ou WIFI d'entreprise, nous devons sécuriser fortement ces connexions avec des moyens de cryptographie à clé publique (Bull .Conseil Nat.,84 pg. 22, 20/02/1999).

L'utilisation des données sur une machine en local nous pose pas mal de problèmes. Il s'est avéré dans le présent que lors de synchronisationsun certain nombre de données étaient perdues. Les données étant stockées en local, il faut également veiller à sécuriser la machine et les données par des moyens de cryptographie symétrique (Bull .Conseil Nat.,84 pg. 22, 20/02/1999) .

Une gestion d'accès avec traçage sera de mise pour déterminer l'imputabilité des actions dans la base de données et à travers les différents programmes. Le Directeur Médical étant responsable du traitement sauf s'il peut prouver, par une traçabilité, à qui la faute peut être imputable. Il sera donc important que toute personne qui effectue la moindre opération,utilise un login qui permette d'identifier sans équivoque la personne qui a effectué l'action. Par exemple, il faudra veiller à avoir un accès pour l'administration des données organisationnelles et l'administration de la DB au niveau technique.

Emmagasiner des informations sur la traçabilité, sur les différents accès aux données, sur les anomalies que le système détectera ne suffit pas. Il faudra exploiter celles-ci. Un outil devra également être donné au comité de veille afin que celui-ci puisse exploiter toutes ces informations et prendre des actions si nécessaire. Sur les fichiers de traçabilité, il sera également utile d'enlever l'accès en écriture à toutes les personnes qui font partie de l'opérationnel.

Le dossier médical informatisé utilisant notre réseau interne et nos serveurs, nous devons nous assurer que cela puisse se faire dans de bonnes conditions et de manière sécurisée. En internenous avons constaté des lenteurs dans certains processus mais sans qu'une quantification objective ne soit mise en oeuvre.

Un audit a été réalisé afin de vérifier la cohérence du plan et de suggérer de corrections éventuelles. Une attention particulière est portée aux aspects performance et sécurité du plan.

· La gestion des serveurs qui fournissent les applications logicielles à disposition de l'ensemble des utilisateurs du CESI

Les conclusions de cet audit ont été rassurantes : l'analyse du plan informatique révèle qu'il ne comporte pas de handicaps en termes de performance et de sécurité : la structure du réseau et l'organisation des serveurs répond à ces attentes. Ce plan intègre également les préoccupations de fiabilité et de disponibilité en prévoyant une infrastructure flexible et redondante.

8. Audits du système

Etant déjà certifié ISO 9001, nous sommes convaincus qu'un audit est une opportunité et un outil d'amélioration pour notre entreprise. Des audits internes et externes sont déjà réalisés et font partie de la culture de l'entreprise.

Nous avons mis en place un certain nombre de normes, de procédures et d'exigences tant au niveau de la qualité que de la sécurité de l'information. Il est donc nécessaire de s'assurer de la conformité de ce qui a été mis en place et de vérifier que les utilisateurs ont bien intégré celle-ci.

La qualité, comme la sécurité, est un processus d'amélioration qu'il faut faire vivre.

Fin septembre Débutera la première phase avec les utilisateurs qui ont participé à la mise en place du projet et aux différents tests du dossier médical informatisé.

Un second déploiement sera prévu mi-novembre avec les utilisateurs les plus familiarisés avec les outils informatiques.

Il nous a semblé opportun de faire un état des lieux après chacune des différentes phases de déploiement et de laisser le temps aux utilisateurs de s'approprier l'outil avant un audit plus formel.

Il est prévu d'effectuer un audit de qualité et de sécurité de l'information début du deuxième trimestre 2013.

9. Conclusions

Le point de départ de cette volonté de mettre en oeuvre la sécurité de l'information a été le contexte législatif ainsi que le réel besoin des médecins d'avoir la garantie du respect du secret médical qui doit entourer le déploiement d'un dossier médical informatisé.

La législation en la matière etla synthèse des différents avis du Conseil National de l'Ordre des Médecins ont été établies afin de créer notre première base juridique relative à ce dossier de santé et d'évaluer les différentes possibilités d'intégration de l'ensemble des informations au projet du dossier médical informatisé.

Il a fallu produire un travail important qui a consisté à convaincre et à faire évoluer les mentalités en matière de sécurité.La sécurité c'est l'affaire de tout le personnel et l'ensemble des forces de l'entreprise.

Le dossier ne concernant pas uniquement le département médical, il était indispensable pour les aspects législatifs, de lister les impacts organisationnels du développement de ce projet :mise à jour de notre politique de sécurité, création d'un nouveau formulaire d'engagement de confidentialité,intégration dans les profils des nouvelles tâches en matière de sécurité de l'information.

Des procédures et lignes de conduite en cas d'incidents ont été rédigées. Une révision du contenu des formations a été entreprise. De nouveaux modules de sensibilisation, d'information voir de formation propres au dossier médical informatisé ont été mis en place.

· S'assurer que le réseau interne peut sans aucun problème recevoir l'application.

· Fournir des garanties de sécurité de l'information à la mesure de nos prétentions.

· Pouvoir dans un futur proche véhiculer le dossier médical informatisé de manière sure et conforme aux différentes réglementations.

Le projet sera testé par un groupe d'utilisateurs. Leur investissement sera déterminant et facteur du succès.

La sécurité devra évoluer avec l'application et toujours renforcer l'application.Les audits programmés, nous permettront de faire un bilan,d'adapter, et de modifier les points de non-conformité afin d'améliorer nos processus.

10. Lexique des abréviations

AR	Arrêté Royal
BCSS	Banque Carrefour de la Sécurité Sociale
BCM	Business Continuity Management
BCP	Business Continuity Plan
CESI	Centre de Services Inter-entreprises
CPPT	Comité pour la Prévention et la Protection au travail
Dimona	Déclaration Immédiate - Onmiddelijke Aangifte
DMI	Dossier Médical Informatisé
FAT	Fond des accidents du travail
ICT	Information and Communications Technology
KSZ	Kruispuntbank van de Sociale Zekerheid
LVP	Loi sur la Vie Privée
ISO	Organisation internationale de normalisation
RH	Ressources Humaines
SEPP	Service Externe de Prévention et Protection
SIPP	Service Interne de Prévention et Protection
SWOT	Strengths - Weaknesses - Opportunities - Threats (Forces - Faiblesses - Opportunités - Menaces)
USB	Universal Serial Bus

11. Bibliographies

12. Annexes

3. Charte informatique : Charte d'utilisation des technologies
de communication interne et externe

Depuis plus de quarante années, le Cesi collecte et stocke des données sur différents supports. Ces informations ont acquis une valeur importante et stratégique, difficilement chiffrable. C'est un patrimoine essentiel de notre entreprise qu'il faut protéger.

Le bon fonctionnement de notre Service dépend d'un ensemble d'éléments, d'une part, le personnel, son savoir-faire, les informations détenues, d'autre part, l'organisation mise en place et enfin la législation.

Le présent document a pour objet de définir les orientations directrices de la politique que le Cesi entend mettre en oeuvre en matière de sécurité de l'information.

La sécurité de l'information est instaurée pour préserver la confidentialité, la disponibilité et l'intégrité des informations.

Il est donc primordial que le Cesi accorde une importance particulière à ces éléments et veille à garantir la continuité du service en se protégeant contre tout événement susceptible de l'empêcher de mener à bien sa mission. De limiter les dommages et permettre la poursuite des activités.

Assurer aux affiliés et au personnel du Cesi un niveau adéquat de sécurité pour les informations traitées ce qui implique la disponibilité des systèmes et réseaux, le respect de la confidentialité et de l'intégrité des données traitées.

Prévenir les dommages qui peuvent altérer le bon fonctionnement et la confidentialité des systèmes d'information.

Contribuer à la qualité et assurer la protection du patrimoine informationnel de l'entreprise contre les menaces externes et internes.

La sécurité de l'information veillera à l'application aux obligations légales et aux normes minimales de sécurité qui doivent être satisfaites pour la Banque Carrefour de la Sécurité Sociale et pour la protection des données à caractère personnel (Loi sur le respect de la Vie Privée).

· S'applique à tous les membres du personnel du Cesi et pour l'ensemble des sites.

· S'applique également aux travailleurs indépendants liés contractuellement avec le Cesi ou occupés à durée déterminée, intérimaires ou en stage et aux collaborateurs externes (consultants, fournisseurs,...).

· La responsabilité de l'organisation et de la bonne application de la politique de sécurité relève de la direction générale.

· Le Comité de sécurité est composé du directeur général, d'un membre du service informatique, du responsable logistique bâtiments, de trois membres du Département Médical, d'un membre de la Gestion des Risques et du coordinateur de sécurité.

· Le coordinateur de sécurité assure le secrétariat du comité. Ce dernier assure une gestion efficace et centralisée de la sécurité de l'information au sein du CESI. Il met en oeuvre la politique de sécurité de l'information. Suit les différentes actions et initiatives liées à la sécurité de l'information. Il évalue les risques et leur suivi. Il met en oeuvre le respect des exigences légales et contractuelles liées à la sécurité de l'information et en assure la promotion la sensibilisation au sein du CESI. Il agit comme point de contact unique pour toutes questions et/ou conseils en la matière.

· Le gestionnaire de réseau garantit que les ressources informatiques et les droits d'accès à celles-ci sont en cohérence avec la politique de sécurité définie.

· Cette politique a pour but de prendre les mesures nécessaires au maintien de la sécurité. Le personnel est informé des risques liés à l'utilisation des données à caractère social, à l'utilisation du mail, de l'accès à internet et des systèmes existants via la charte qui est publiée sur l'intranet.

· Une information relative aux aspects de sécurité dans les descriptions de fonction, règlement de travail et les déclarations de respect de la confidentialité est indispensable.

· Toute personne est tenue de signaler les incidents de sécurité au coordinateur de sécurité de l'information.

· L'utilisation de ressources ICT (Internet, mails, ...) à des fins privées sera limitée à un strict minimum.

· Seules les personnes du service informatique sont habilitées à l'installation de logiciels sur les PC ainsi que leur configuration.

· En cas de départ d'une personne, les droits d'accès et les autorisations sont supprimées le plus rapidement possible et tout le matériel qui lui a été confié est récupéré.

· Les utilisateurs ne peuvent pas utiliser ou tenter d'utiliser le compte d'un tiers.

· Le non-respect de la politique de sécurité et des procédures de sécurité sera traité suivant un processus formel (à préciser).

· Cette politique vise à empêcher l'accès non autorisé aux informations confidentielles et personnelles contenues soit dans les dossiers, soit dans les fichiers informatiques. D'empêcher la modification, la perte ou le vol d'informations, l'arrêt du travail ou tout événement ayant des conséquences dommageables pour le Cesi.

· L'accès aux salles informatiques (salles serveurs et atelier de réparation et de stockage) sera sécurisé par code électronique ou badge et sera réservé uniquement aux personnes autorisées au sein du service informatique. En cas d'anomalie, un historique des entrées sera conservé et mis à disposition pour consultation par le responsable du service informatique.

· Une politique de protection, détection, l'extinction et l'intervention concernant l'incendie, l'intrusion et les dégâts des eaux sont appliquées.

· La salle informatique doit être munie d'un dispositif protecteur des équipements contre une élévation anormale de la température.

· Une procédure d'évacuation en cas d'incendie, procédure d'intervention, et intrusion sont définies et diffusées à l'ensemble du personnel.

· Un dispositif d'accueil de filtrage et d'accompagnement des visiteurs extérieurs doit permettre d'éviter la présence d'intrus dans les bâtiments et locaux sensibles.

· Un inventaire du matériel informatique et des logiciels (avec numéro de licence) doit être tenu par le Service Informatique et mis à jour de façon régulière. Cette tâche est reprise dans le descriptif du gestionnaire de réseau.

· Des mesures doivent être prises pour prévenir, relever des logiciels nuisibles et en limiter aux mieux les conséquences éventuelles.

· La mise à jour des logiciels de protection des systèmes doit être réalisée régulièrement. Une vérification manuelle est également effectuée afin de vérifier le bon fonctionnement. Une documentation sur les procédures, mise à jour régulièrement sera fournie. Les anomalies seront consignées dans un journal.

· Une attention particulière à l'usage des ordinateurs portables est recommandée aux utilisateurs. Les collaborateurs sont régulièrement sensibilisés sur ce point. Une note à ce sujet a été diffusée et publiée sur l'Intranet.

· Dans la mesure des disponibilités du service informatique et de la faisabilité, celui-ci veillera à effectuer un contrôle annuel sur les ordinateurs portables afin de vérifier les modifications éventuelles.

· Les collaborateurs sont régulièrement invités à ne copier des informations sensibles (dossiers médicaux, rapports d'intervention) sur les portables que dans la mesure où cela est strictement nécessaire pour l'activité à court terme. Celles-ci sont effacées dès que possible.

· Les collaborateurs veilleront également à ne pas connecter sur leur poste de travail ou sur leur portable du matériel, comme des clefs USB, disques externes, PDA, Smartphone, lecteur MP3, qui n'a pas été remis et autorisé par le service informatique.

· Avant l'utilisation, un contrôle sera apporté afin de s'assurer que les procédures de sécurité ont bien été mises en place.

· Des backups d'informations essentielles et de logiciels doivent être effectués régulièrement pour garantir l'intégrité. La fréquence des backups sera déterminée par la criticité des données. Au minimum, une restauration annuelle des données sera également entreprise afin de s'assurer du bon fonctionnement du backup et des supports.

· Les supports de backup doivent être conservés dans un endroit sécurisé et à l'épreuve du feu.

· Une sécurisation des données transitant sur le réseau principal et secondaire doit être mise en place.

· Les utilisateurs sont invités à bloquer l'accès aux équipements qu'il quitte temporairement. Après un certain temps, en cas d'inactivité des équipements non bloqués, un blocage de la session Windows est exécuté par le système.

· Un cadastre des accès autorisés ou non aux applications, aux réseaux est établi et régulièrement tenu à jour.

· Les responsabilités des utilisateurs sont définies dans un document écrit, communiqué lors de l'engagement et rappelées régulièrement.

· Le service doit disposer d'un système de protection des réseaux via des firewalls, anti-spam, antivirus.

· Les procédures de protection des applications sont établies, tenues à jour et communiquées régulièrement aux utilisateurs.

· Les ordinateurs portables doivent être équipés de protections spéciales qui empêchent l'accès aux données par des tiers (y compris les membres de la famille).

· Seul l'administrateur du réseau peut donner, modifier et supprimer les autorisations d'accès.

· Les tentatives d'accès aux réseaux seront conservées et analysées afin d'y repérer des anomalies ou incidents.

· Lors de la conception de développements informatiques ou de leurs mises à jour, une attention toute particulière sera apportée en matière de sécurité et à l'élaboration de la documentation afin de garantir aux systèmes utilisés la sécurité requise durant le cycle de vie.

· Les mesures à prendre en cas de crash informatique doivent être décrites dans un plan de secours (DRP : Disaster Recovery Plan).

· Les applications critiques ainsi que les données des utilisateurs sont localisées sur un ensemble de plusieurs machines vues comme une seule permettant d'obtenir de grandes puissances de traitement et une sécurité accrue dans la continuité dont la partie redondante des machines a été installée dans un Data Center. Les serveurs qui sont en charge notamment des contrôles d'accès ont été doublés dont un se trouve également dans le Data Center.

· L'ensemble des serveurs et machines stratégiques sont couplés avec une alimentation de secours.

· Une cellule de crise avec détermination des rôles doit pouvoir se réunir rapidement pour coordonner les mesures à prendre en cas de panne prolongée du système informatique.

· L'ensemble des procédures et processus de continuité sont documentés et testés périodiquement.

· Un audit externe doit être organisé au moins tous les 4 ans. Les `non-conformités' doivent être signalées au comité de sécurité. Un `résumé' de l'audit doit être transmis au comité de surveillance de la BCSS avec un rapport d'évaluation et un aperçu des mesures prises.

· La politique de sécurité intègre les exigences légales et contractuelles en matière de sécurité.

· L'amélioration du plan de sécurité sera mise en oeuvre sur base de l'analyse des risques, des contrôles effectués périodiquement, des tests de sécurité et des incidents survenus.

ISO/CEI 27001 et 27002 : Technologies de l'information - Techniques de sécurité - Systèmes de gestion de la sécurité de l'information - Exigences

BCSS (Banque Carrefour de la sécurité Sociale) - Sécurité - Information Security Management System.

Vie Privée : Loi du 08 décembre 1992 relative à la protection de la vie privée à l'égard des traitements de données à caractère personnel. Arrêté royal du 4 février 1997 organisant la communication des données entre institutions de sécurité sociale.

Droit social : CTT N°81 relative à la protection de la vie privée des travailleurs à l'égard du contrôle des données de communication électronique en réseau.

Protection des programmes informatiques : Loi du 30 juin 1994 sur le droit d'auteurs et les droits voisins. Loi du 30 juin 1994 transposant la directive européenne du 14 mai 1991 sur la protection juridique des programmes d'ordinateur.

Nom ...........................................Prénom .........................................

· Document des recommandations relatives à l'usage des ordinateurs et de la messagerie électronique

· Règles d'accès au dossier médical et administratif informatique du travailleur

Conscient(e) de l'importance du respect de la confidentialité de l'ensemble des données auxquelles j'ai désormais accès et en particulier du respect de la confidentialité des données à caractère médical ou privé des travailleurs examinés dans le cadre de notre mission de la surveillance de santé, je m'engage sur l'honneur à respecter les règles édictées dans ces deux documents et ce tant que j'accède directement ou indirectement à des données du système d'information du CESI.

Je suis conscient(e) que les accès se font sous ma responsabilité en tant qu'utilisateur authentifié. La présence de mon code, dans les enregistrements, équivaut à une signature électronique personnelle des actions et actes que j'ai pris. Dès lors, je m'engage

· à assurer une utilisation rationnelle, correcte et respectueuse des ressources mises à ma disposition

De fait, je m'engage à respecter la loi, les droits et les libertés de tous dans l'usage que je fais des données et des ressources informatiques autant internes qu'externes (p.ex. mailing, internet) auxquelles j'ai accès.

· à respecter et à faire respecter la protection de la vie privée de toute personne qui se fait examiner ou qui travaille au CESI.

· à n'accéder aux données de santé et administratives que des personnes que je prends en charge dans un contexte professionnel

· à ne pas accéder aux données personnelles, médicales, financières des personnes que je côtoie dans mon travail ("mes collaborateurs" et/ou « mes collègues ») - en dehors des besoins de continuité de gestion.

· à employer les données et les ressources conformément aux dispositions légales et contractuelles applicables, notamment en ce qui concerne le secret médical, la vie privée et la propriété intellectuelle.

· à anonymiser les informations à caractère personnel dans les documents ou présentations que je suis appelé(e) à produire

· à ne jamais divulguer des informations, à ne pas transmettre à des tiers, à ne pas copier ou transférer des informations sur des supports externes aux CESI (supports personnels (clé USB,...) ou sites externes (hébergement internet,...), sous quelque format que ce soit, en dehors des traitements de gestion autorisés.

Je reconnais également le principe selon lequel le CESI disposent d'un droit de contrôle sur l'outil de travail et sur l'utilisation de cet outil par tout membre du personnel dans le cadre de l'exécution de ses obligations contractuelles, y compris lorsque cette utilisation relève de la sphère privée, compte tenu des modalités d'application prévues par la loi. En outre, je suis informé(e) que le CESI opère un monitoring sur le trafic internet par un suivi des volumes de téléchargement - obligation légale de surveillance. Je sais que l'ensemble des URL des sites web visités sont stockés centralement et que, le cas échéant, il est possible de remonter vers l'utilisateur final et ce dans le respect de la protection de la vie privée.

Je reconnais avoir pris connaissance de l'ensemble des dispositions et en particulier des dispositions en cas d'abus et de non-respect des règles dans les documents précités.

L'employeur permet toutefois l'usage exceptionnel à des fins privées à condition que cet usage soit occasionnel et n'entrave pas la performance du réseau informatique et de sa sécurité.

S'il fait usage de cette faculté, l'utilisateur indiquera dans le sujet du message que celui-ci a un caractère privé. En outre, il supprimera, dans le corps du message, toute mention relative à l'entreprise (telle que la signature automatique) et toute indication qui pourrait laisser croire à son destinataire que le message est rédigé par l'utilisateur dans le cadre ou à l'occasion de l'exercice de ses fonctions.

En aucun cas, le courrier électronique ne pourra être utilisé à l'une des fins prohibées décrites dans le point 4 ci-dessous.

L'entreprise fournit à l'utilisateur, selon les modalités qu'elle détermine, l'accès à Internet à des fins professionnelles.

Une consultation exceptionnelle des sites Internet pour un motif personnel est tolérée mais ne peut en rien porter atteinte au bon fonctionnement du réseau et à sa sécurité.

L'accès à Internet ne peut être utilisé à des fins prohibées décrites à l'article 4 ci-dessous.

La protection et la performance du réseau dépendent du respect des règles suivantes :

- L'utilisateur s'interdit de modifier le matériel informatique, la configuration Hardware et Software et d'installer des logiciels.

- En partant du réseau auquel l'utilisateur serait connecté, il s'engage à prendre toutes les précautions utiles pour ne pas introduire dans son matériel informatique des virus ou des programmes de destructions des données, des logiciels ou des fichiers.

- L'employeur fournissant les logiciels utiles à la bonne exécution de la mission du collaborateur, celui-ci s'interdit de charger des exécutables.

Il est strictement interdit d'utiliser le système de courrier électronique, l'accès à Internet et, plus généralement, l'infrastructure informatique de l'entreprise en vue de

- La diffusion d'informations confidentielles ou préjudiciables au CESI, à ses partenaires ou à ses collaborateurs.

- La diffusion ou téléchargement de données protégées par le droit ou la propriété intellectuelle en violation aux lois applicables.

- La participation à une activité professionnelle annexe et à la recherche du gain ou la poursuite d'un but de lucre.

- Le transfert ou la retransmission de messages électroniques à un grand groupe de destinataires (le forwarding) en l'absence de but professionnel légitime, dans des circonstances de nature à porter .préjudice au CESI ou à l'auteur du message originel

- L'envoi de messages ou la consultation de sites Internet dont le contenu est susceptible de porter préjudice à la dignité d'autrui : l'envoi de messages ou consultation de sites à caractère érotique ou pornographique, révisionniste, prônant la discrimination sur base du sexe, de l'orientation sexuelle, du handicap, de la religion, de la race ou de l'origine ethnique ou nationale, ou des convictions politiques ou religieuses d'une personne ou d'un groupe de personnes.

- La participation à des chaînes de lettres et le spamming (envoi massif de messages non sollicités par leurs destinataires)

- L'accès à une boîte aux lettres personnelle par Internet du type « Webmail »

- La participation au départ de l'infrastructure informatique du CESI à un forum de discussion ou `newsgroup' relatif à un sujet non professionnel.

- L'achat de biens et services aux frais du CESI sans son autorisation préalable et écrite.

Le CESI est attaché au principe du respect de la vie privée des utilisateurs sur le lieu de travail. Il exerce toutefois un contrôle de l'usage des techniques de communication électroniques en réseau, dans le respect des dispositions légales applicables, notamment la loi du 8 décembre 1992 et la convention collective de travail n°81 du 26 avril 2002.

Le contrôle effectué s'inscrit dans le respect des principes communément retenus

Les données réunies en vue d'assurer le respect de la charte d'utilisation des technologies de communication interne et externe le sont dans le cadre d'une information des personnes concernées. Toute modification de cette charte fera l'objet d'une communication préalable aux utilisateurs.

L'employeur s'engage à ne traiter que les données nécessaires au contrôle. Au regard de la finalité légitime poursuivie par le contrôle, l'ingérence est la plus réduite dans la sphère privée du travailleur.

L'entreprise maintient automatiquement une liste générale des sites Internet consultés via le réseau de l'entreprise, indiquant la durée et le moment des visites. Elle est régulièrement évaluée par l'entreprise.

Lorsque, à l'occasion de ce contrôle général ou au départ d'autres sources d'information, l'entreprise constate une anomalie, elle se réserve le droit, dans le cadre de la poursuite des finalités décrites à l'article 5 ci-dessus, de procéder à l'identification d'un travailleur, conformément à la procédure d'individualisation décrite ci-dessous.

Les messages électroniques sont stockés sur le serveur de l'entreprise. L'archivage des messages est assuré par l'utilisateur.

Sur base d'indices généraux tels la fréquence, le nombre, la taille, les annexes, ... des messages électroniques, certaines mesures de contrôle pourront être prises par l'entreprise vis-à-vis de ces messages, dans le cadre de la poursuite des finalités décrites à l'article 5 ci-dessus.

Si l'entreprise présume un usage anormal ou interdit du système de courrier électronique, il procédera, dans le cadre de la poursuite des finalités décrites à l'article 5 ci-dessus, à l'identification du travailleur concerné, dans le respect de la procédure d'individualisation décrite à l'article ci-dessous.

Par "individualisation", on entend le traitement des données collectées lors d'un contrôle en vue de les attribuer à un travailleur identifié ou identifiable.

L'entreprise procédera à une individualisation directe du travailleur si elle suspecte ou a constaté :

1. la commission de faits illicites ou diffamatoires, de faits contraires aux bonnes moeurs ou susceptibles de porter atteinte à la dignité d'autrui

2. la violation des intérêts économiques, commerciaux et financiers de l'entreprise, auxquels est attaché un caractère de confidentialité

3. une menace à la sécurité et/ou au bon fonctionnement technique des systèmes informatiques et du réseau de l'entreprise, en ce compris le contrôle des coûts y afférents, ainsi que la protection physique des installations de l'entreprise.

Le cas échéant, les sanctions appropriées seront prises à l'encontre de ce travailleur. Ces sanctions peuvent aller de l'avertissement au licenciement. Elles peuvent porter sur une limitation ou une interdiction de l'usage d'Internet et/ou du courrier électronique.

Si elle suspecte ou constate un manquement aux présentes directives, l'entreprise en avertira l'ensemble des utilisateurs par le biais du courrier électronique.

Le travailleur a le droit de prendre connaissance de toute information le concernant ayant fait l'objet d'un enregistrement par l'entreprise.

Le travailleur a le droit de recevoir une copie des données enregistrées le concernant dans un délai d'un mois après qu'il en a formulé la demande écrite auprès de l'entreprise.

Le travailleur a le droit d'obtenir la rectification de toute donnée enregistrée inexacte le concernant.

Dans le mois qui suit l'introduction de la demande écrite, l'entreprise communiquera sa position ou, le cas échéant, les rectifications apportées aux données relatives au travailleur.

Le travailleur a le droit d'obtenir la suppression de toute donnée enregistrée le concernant qui, compte tenu des finalités du traitement est inexacte, ou dont l'enregistrement, la communication ou la conservation sont légalement interdits, ou qui a été conservée au-delà d'une période raisonnable, prenant fin un an après la fin des relations de travail entre les parties.

Dans le mois qui suit l'introduction de la demande par écrit, l'entreprise communiquera au travailleur la suite qui a été donnée à sa demande.

Le responsable du traitement des données de télécommunication en réseau visées par les présentes directives est le responsable du service informatique. Il rapporte directement à la direction générale et exerce sa mission en toute confidentialité.

Chaque utilisateur peut s'adresser au responsable du service informatique pour toute question concernant l'application de ces instructions et/ou pour prendre connaissance des informations enregistrées le concernant.

La personne de contact traite également les plaintes concernant l'usage d'Internet et du courrier électronique au sein de l'entreprise. Les utilisateurs qui s'estiment victimes d'actes prohibés par les présentes directives peuvent s'adresser à cette personne.

Chaque utilisateur peut contacter le gestionnaire du parc informatique pour des questions techniques concernant l'utilisation d'Internet et du courrier électronique.

L'employeur s'engage à ne pas opérer de contrôle sur le contenu des boîtes mails du Conseil d'entreprise et Comité PPT.