Transparence sur le traitement des données de santé
Cloud Temple assure des services d’hébergement et d’infogérance certifiés HDS, spécifiquement adaptés aux enjeux du secteur de la santé.
En application de l’exigence 31 du référentiel HDS V2 de l’ANS, cette section détaille les modalités de transfert des données de santé à caractère personnel (DSCP) opérées par Cloud Temple, tant au sein qu’en dehors de l’Espace Économique Européen.
Cartographie des accès
| Raison sociale de l’acteur | Rôle dans le cadre de la prestation d’hébergement | Certifié HDS | Qualifié SecNumCloud 3.2 | Activités d’hébergement sur laquelle l’acteur intervient | Accès aux données de santé à caractère personnel depuis des pays tiers à l’Espace Economique Européen, par l’Hébergeur ou l’un de ses sous-traitants (exigence n°29 du référentiel HDS) | Hébergeur ou sous-traitant soumis à un risque d’accès aux données de santé à caractère personnel depuis des pays tiers à l’Espace Economique Européen, imposé par la législation d’un pays tiers en violation du droit de l’Union (exigence n° 30 du référentiel HDS) |
|---|---|---|---|---|---|---|
| Cloud Temple | Hébergeur | Oui (certification Cloud Temple) | Oui (qualification Cloud Temple) | Activités certifiées HDS : 2, 3, 4, 6 Hébergement et externalisation des sauvegardes | Non, aucun accès aux données depuis un pays tiers à l’Espace Economique Européen | Non, aucun risque d’accès non autorisé aux données visé par l’exigence n°30 du référentiel HDS |
| Cloud Temple | Hébergeur | Oui (certification Cloud Temple) | Non | Activités certifiées HDS : 5 Infogérance réalisée exclusivement depuis la France | Non, aucun accès aux données depuis un pays tiers à l’Espace Economique Européen | Non, aucun risque d’accès non autorisé aux données visé par l’exigence n°30 du référentiel HDS |
| Ingénieurs indépendants basés en Tunisie | Sous-traitant | Oui (certification Cloud Temple) | Non | Activités certifiées HDS : 5 Infogérance réalisée par des équipe mixtes, incluant des collaborateurs basés en France et des ingénieurs indépendants basés en Tunisie. | Oui, accès non couvert par une décision d’adéquation au sens de l’article 45 du RGPD : Tunisie (informations complémentaires ci-dessous) | Oui, risque d’accès non autorisé aux données visé par l’exigence n°30 du référentiel HDS : Tunisie (informations complémentaires ci-dessous) |
Accès aux données de santé à caractère personnel depuis des pays tiers à l’Espace Economique Européen
Nature des accès
- Nature des données : Données personnelles hébergées dans les systèmes d’information des clients infogérés
- Catégories de données : Toutes catégories de données personnelles stockées par les clients dans leurs systèmes d’information
- Personnes concernées : Clients, employés, fournisseurs ou autres contacts des clients infogérés
- Localisation du stockage : France
- Finalité du transfert : Services d’infogérance
- Base légale du transfert : Clauses contractuelles types (CCT)
- Accès aux données : Droits d’administration technique sur les infrastructures. Pas d’accès opérationnel aux données de santé, sauf action de maintenance critique dûment tracée.
- Périmètre d’intervention : Accès limité au stockage et à l’infrastructure technique hébergeant les données, sans traitement du contenu
Risque d’accès, imposé par la législation d’un pays tiers en violation du droit de l’Union (exigence n° 30 du référentiel HDS)
- La loi tunisienne prévoit des restrictions à l’accès gouvernemental aux données personnelles.
- L’article 76 de la loi organique n° 2004-63 interdit le transfert de données susceptible de porter atteinte à la sécurité publique ou aux intérêts vitaux de la Tunisie.
- Cependant, il existe des exceptions pour des raisons de sécurité nationale, de défense ou de relations internationales. L’organisme public peut refuser l’accès à l’information dans ces cas.
- L’Instance Nationale de Protection des Données à Caractère Personnel (INPDP) a le pouvoir d’accéder aux données personnelles faisant l’objet d’un traitement afin de procéder à leur vérification.
- Risque résiduel : Accès potentiel par les autorités tunisiennes limité strictement aux cas de sécurité nationale ou de défense cités par la loi.
Mesures de protection et garanties appropriées
Mesures contractuelles
- Clauses contractuelles types (CCT) :
- Utilisation des CCT adoptées par la Commission européenne le 4 juin 2021, basées sur le modèle recommandé par la CNIL
- Ces clauses fournissent un cadre juridique pour les transferts de données personnelles hors UE
- Elles intègrent les exigences du RGPD et les recommandations suite à l’arrêt Schrems II
Mesures techniques
- Chiffrement fort des données lors du transfert et du traitement
- Mise en place de contrôles d’accès stricts et d’une authentification forte
- Segmentation des réseaux et cloisonnement des données
- Journalisation et surveillance des accès aux données
- Mise à jour régulière des systèmes et applications de sécurité
- Sauvegarde chiffrée et tests de restauration réguliers
Mesures organisationnelles
- Vérification des antécédents du personnel
- Certification ISO 27001 couvrant les activités d’infogérance
- Formation continue du personnel du prestataire sur la protection des données et la sécurité de l’information
- Procédure de notification rapide en cas de demandes d’accès par les autorités tunisiennes
- Mise en place d’une politique de sécurité de l’information documentée et régulièrement mise à jour
- Procédures de gestion des incidents de sécurité et de violation de données
- Évaluations régulières des risques liés à la sécurité de l’information
- Mise en place d’un plan de continuité d’activité et de reprise après sinistre
Délégué à la Protection des Données
Contact : dpd@cloud-temple.com
Contactez nos équipes