Déclaration de politique de sécurité

Ce document de type Déclaration s'applique au processus Fonctionnement SMSI

La déclaration de politique de sécurité est un document que l'Organisation partage avec ses usagers. Elle explicite les objectifs et l'organisation du Système de Management de la Sécurité de l'Information (SMSI) mis en place pour la protection des informations confiées à l'Organisation.

Elle est complétée par une politique de sécurité détaillée, interne à l'Organisation et consultable dans le cadre d'un audit.

L'Organisation opère un service de collecte et de partage permettant à des patients d'enregistrer des observations quotidiennes, hebdomadaires ou mensuelles sur leur état (mesures, appréciations) et de les partager avec les professionnels de santé de leur choix.

Les informations à protéger sont:

• des données personnelles concernant les patients:
  • données administratives: identité, date de naissance.
  • données de santé: observations soumises, analyses de tendance
  • paramétrages: questionnaires retenus, seuils d'alerte
  • données d'usage: historique des connexions et soumissions d'observations
• des données personnelles concernant les professionnels de santé:
  • identité, situation d'exercice
  • liste des patients suivis

Le service s'appuie sur une plateforme tierce pour le paiement par les professionnels de santé de la souscription au service. Il ne détient pas de données bancaires.

L'Organisation opère depuis son siège social situé dans un immeuble d'entreprises. Elle y dispose de sa propre salle serveurs.

Le SMSI ne concerne que le service de collecte et de partage. Le fonctionnement de l'Organisation en général n'est considéré que dans la mesure où il influe sur la sécurité des informations confiées par les usagers de ce service.

Le SMSI ne concerne que l'Organisation et ses prestataires.

Les services de l'Organisation sont intégralement réalisés en France. Ils n'entrainent aucun transfert de données de santé à caractère personnel vers un pays n'appartenant pas l'Espace Économique Européen.

L'Organisation est le seul acteur du traitement des données.

Les enjeux externes sont répertoriés ici selon la méthode PESTEL.

A défaut d'une offre spécifique, le suivi et le partage des observations personnelles de santé risquerait de recourir à des solutions généralistes extra-européennes, inappropriées au regard de l'attente de souveraineté numérique portée par les politiques nationale et européenne.

Les

Traitement des risques

Gestion des incidents de sécurité