Trasparenza nel trattamento dei dati sanitari

Cloud Temple fornisce servizi di hosting e di gestione delle strutture certificati HDS e specificamente adattati alle sfide del settore sanitario.

In applicazione del requisito 31 dello standard ANS HDS V2, questa sezione illustra le procedure per il trasferimento dei dati sanitari personali (PHCD) gestiti da Cloud Temple, sia all'interno che all'esterno dello Spazio Economico Europeo.

Accesso ai dati sanitari personali da Paesi al di fuori dello Spazio Economico Europeo

Tipo di accesso

• Natura dei dati : Dati personali ospitati sui sistemi informativi dei clienti in outsourcing.
• Categorie di dati: tutte le categorie di dati personali memorizzati dai clienti nei loro sistemi informatici.
• Soggetti interessati: Clienti, dipendenti, fornitori o altri contatti dei clienti dei servizi gestiti.
• Luogo di stoccaggio: Francia
• Scopo del trasferimento: Servizi gestiti
• Base giuridica per il trasferimento: Clausole contrattuali standard (SCC)
• Accesso ai dati: Diritti di amministrazione tecnica delle infrastrutture. Nessun accesso operativo ai dati sanitari, ad eccezione delle azioni di manutenzione critica debitamente documentate.
• Ambito di intervento: accesso limitato all'infrastruttura di archiviazione e tecnica che ospita i dati, senza elaborazione del contenuto.

Rischio di accesso imposto dalla legislazione di un Paese terzo in violazione del diritto dell'UE (requisito n. 30 dello standard HDS)

• La legge tunisina pone restrizioni all'accesso del governo ai dati personali.
• L'articolo 76 della Legge organica n. 2004-63 vieta il trasferimento di dati che possano compromettere la sicurezza pubblica o gli interessi vitali della Tunisia.
• Tuttavia, esistono eccezioni per motivi di sicurezza nazionale, difesa o relazioni internazionali. In questi casi l'ente pubblico può rifiutare l'accesso alle informazioni.
• L'Instance Nationale de Protection des Données à Caractère Personnel (INPDP) ha la facoltà di accedere ai dati personali in corso di trattamento per verificarli.
• Rischio residuo: accesso potenziale da parte delle autorità tunisine strettamente limitato ai casi di sicurezza nazionale o di difesa citati dalla legge.

Salvaguardie e garanzie adeguates

Misure contrattuali

• Clausole contrattuali standard (SCC) :
• Utilizzo dei CCT adottato dalla Commissione europea il 4 giugno 2021, sulla base del modello raccomandato dal CNIL
• Queste clausole forniscono un quadro giuridico per il trasferimento di dati personali al di fuori dell'UE.
• Essi incorporano i requisiti dell'RGPD e le raccomandazioni derivanti dalla sentenza Schrems II.

Misure tecniche

• Forte crittografia dei dati durante il trasferimento e l'elaborazione
• Implementazione di controlli di accesso rigorosi e di un'autenticazione forte.
• Segmentazione della rete e partizionamento dei dati
• Registrazione e monitoraggio dell'accesso ai dati
• Aggiornamento regolare dei sistemi e delle applicazioni di sicurezza
• Backup criptato e test di ripristino regolari

Misure organizzative

• Controlli sul background del personale
• Certificazione ISO 27001 per le attività di outsourcing
• Formazione continua per il personale del fornitore sulla protezione dei dati e sulla sicurezza delle informazioni.
• Procedura di notifica rapida per le richieste di accesso da parte delle autorità tunisine
• Implementazione di una politica di sicurezza delle informazioni documentata e regolarmente aggiornata.
• Procedure per la gestione degli incidenti di sicurezza e delle violazioni dei dati.
• Valutazioni periodiche dei rischi per la sicurezza delle informazioni
• Impostazione di un piano di continuità operativa e di disaster recovery

Responsabile della protezione dei dati

Contatto: dpd@cloud-temple.com