Politique de confidentialité
Mise à jour le 14/11/2022
Cette politique de confidentialité a pour finalité d’informer tout visiteur du site internet dénommé « Portail du CERT Santé » (ci-après « Utilisateur »), accessible à l’adresse https://cyberveille-sante.gouv.fr/ (ci-après « Portail »), sur les traitements de données à caractère personnel et sur l’utilisation de cookies réalisés dans le cadre de la mise en œuvre du Portail, ainsi que sur les traitements réalisés par l’ANS dans le cadre de la gestion des signalements d’incidents de sécurité des systèmes d’information
Le Portail constitue un espace dédié à la veille, la sensibilisation ainsi qu’à la publication et au partage d’informations concernant la sécurité des systèmes d’information (SSI) dans le secteur de la santé, édité dans le cadre du service d’information et d’accompagnement prévu par l’arrêté relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d'information.
La mise en œuvre et l’utilisation du Portail implique un traitement de données à caractère personnel, au sens de de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après « loi Informatique et Libertés modifiée ») et du Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après « RGPD »).
1- Responsabilité de traitement et base légale
Les données personnelles de l’Utilisateur sont traitées par l’ANS en qualité de responsable de traitement dans le cadre de l’exécution d’une mission d’intérêt public dont elle est investie (article 6, 1, (e) du RGPD).
Par ailleurs, l’ANS est destinataire des déclarations d’incidents graves de sécurité des systèmes d’information réalisées conformément à l’article L. 1111-8-2 du code de la santé publique. Dans ce cadre, elle est amenée à traiter les données à caractère personnel des contacts au sein des structures déclarantes, ainsi que les données pouvant être ultérieurement transmises par les structures dans le cadre de la gestion de l’incident grave de sécurité.
2- Finalités du traitement
2.1 La mise en œuvre du Portail
Le traitement réalisé par l’ANS a pour finalité la mise en œuvre du Portail permettant l'information et l'accompagnement des établissements de santé et médico-sociaux, des organismes et services exerçant des activités de prévention, de diagnostic ou de soins, des agences régionales de santé et des autorités compétentes de l'Etat, concernant la prévention et la gestion des incidents de sécurité, ainsi que la sécurité des systèmes d'information (cf. Arrêté du 30 octobre 2017 relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d'information).
Les données recueillies dans le cadre de la mise en œuvre du Portail font l’objet d’un traitement dans le but de répondre à plusieurs sous-finalités, et notamment :
- La gestion du Portail (gestion des comptes Utilisateurs, gestion des notifications, etc.) ;
- L’animation de la communauté cyberveille-santé (partage des bonnes pratiques sur la sécurité du numérique en santé) ;
- La réalisation de statistiques d’usage ;
2.2 Le traitement des signalements des incidents de sécurité sur les systèmes d’information
L’ANS collecte des données à caractère personnel pour le recueil, l’analyse et, le cas échéant, la qualification et la transmission des signalements des incidents de sécurité aux agences ou aux autorités compétentes de l’Etat.
3- Catégories de données
Les catégories de données traitées par l’ANS sont les suivantes :
• données d’identification et coordonnées fournies par l’Utilisateur ;
• données professionnelles fournies par l’Utilisateur ;
• données liées à la navigation et à l’utilisation du Portail collectées de façon automatique.
4- Durées de conservation des données
Les données à caractère personnel sont conservées pour la durée nécessaire à la réalisation de ces finalités, et notamment :
• Les données d’identification, les coordonnées et les données professionnelles collectées dans le cadre de l’accès et de l’utilisation du compte personnalisé sont conservées pendant la durée de vie du compte et peuvent être supprimées à tout moment sur demande de l’Utilisateur.
• Les traces techniques collectées de manière automatique lors de l’utilisation du Portail pour en assurer la sécurité et effectuer des statistiques sont supprimées à l’issue d’un délai d’un an à compter de leur émission.
• Les données traitées dans le cadre de la gestion des signalements d’incidents de sécurité des systèmes d’information sont conservées pour la durée nécessaire à la gestion de l’incident. Ces données sont uniquement accessibles, au sein de l’ANS et du ministère de la santé et de la prévention, au personnel individuellement désigné et spécialement habilité par ces organismes.
5- Droits des personnes
Conformément au règlement général (UE) sur la protection des données n°2016/679 du 27 avril 2016 et à la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, les personnes concernées sont informées qu'elles disposent d’un droit d'accès, de rectification, d’opposition, de limitation du traitement et le droit de porter une réclamation devant la Commission nationale de l'informatique et des libertés pour les données les concernant.
Par exception et en application de l’arrêté du 30 octobre 2017 relatif aux modalités de signalement et de traitement des incidents graves de sécurité des systèmes d'information, le droit d'opposition prévu par la loi du 6 janvier 1978 suscitée ne s'applique pas au traitement ayant pour finalité le recueil, l'analyse, la qualification, la transmission et la gestion des signalements des incidents de sécurité.
Ces droits peuvent être exercés auprès de l’ANS :
• par courrier postal, à l’adresse suivante : GIP ANS (Délégué à la protection des données) 9, rue Georges Pitard - 75015 PARIS ;
• par messagerie électronique, à l'adresse suivante : dpo@esante.gouv.fr.
Si l’Utilisateur estime que ses droits n’ont pas été respectés, il a la possibilité de saisir la Commission Nationale de l’Informatique et des Libertés (CNIL) d’une réclamation.