1. Objet
Cette procédure décrit ce que fait Querco lorsqu'un événement entraîne, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation ou l'accès non autorisé à des données traitées par la solution Extraction : données des patients (ordonnances, identité, INS, examens) traitées pour le compte des laboratoires, ou données des comptes utilisateurs.
Exemples : identifiant ou clé d'accès compromis, accès à un dossier d'un autre laboratoire, terminal mobile perdu avec des dossiers non purgés, envoi d'un document au mauvais destinataire, incident chez un prestataire d'hébergement, défaut logiciel exposant des documents.
2. Rôles
Rôle | Qui |
|---|---|
Détection, qualification, notification, correction | Querco (gérant) |
Responsable du traitement pour les données des patients | Le laboratoire client (Querco est sous-traitant au sens de l'article 28 du RGPD) |
Responsable du traitement pour les comptes utilisateurs | Querco |
Point de contact permanent | [email protected] et le numéro de téléphone indiqué au contrat |
3. Sources de détection
Supervision applicative (erreurs, pics anormaux) et supervision de disponibilité.
Alertes de l'hébergeur de la base de données et du fournisseur d'infrastructure (accès, clés, journal des actions d'administration).
Signalement d'un laboratoire, d'un utilisateur ou d'un tiers à [email protected].
Déclaration de perte ou de vol d'un terminal (téléphone utilisé par un préleveur, poste de secrétariat).
4. Délais
Étape | Délai maximal à partir de la détection |
|---|---|
Qualification et premières mesures de confinement | 4 heures |
Information du ou des laboratoires concernés | 24 heures, pour leur permettre de notifier la CNIL dans les 72 heures |
Notification à la CNIL par Querco, lorsque Querco est responsable du traitement des données touchées | 72 heures |
Information des personnes concernées en cas de risque élevé | Sans délai injustifié, en accord avec le laboratoire |
Rapport de clôture au laboratoire | 15 jours |
5. Déroulé
Confiner : révoquer le secret ou le compte compromis, forcer la déconnexion du terminal perdu, bloquer l'accès ou la fonctionnalité en cause. Les journaux sont conservés intacts pour l'analyse.
Qualifier : quelles données, combien de personnes, quels laboratoires, sur quelle période, quelle cause. Chaque constat est horodaté.
Informer les laboratoires concernés par e-mail au contact désigné au contrat, puis par téléphone, avec le modèle ci-dessous. Un laboratoire reçoit uniquement les informations qui le concernent.
Notifier la CNIL pour les traitements dont Querco est responsable. Pour les données des patients, le laboratoire notifie ; Querco lui fournit tous les éléments techniques nécessaires dans les 24 heures.
Corriger : déployer le correctif, renouveler les secrets, vérifier qu'aucune voie similaire ne subsiste.
Consigner l'incident dans le registre des violations tenu par Querco, même lorsqu'aucune notification n'est finalement nécessaire.
Clore : rapport au laboratoire (cause, impact, mesures prises, mesures de prévention) et mise à jour de cette procédure si elle a montré une faiblesse.
6. Modèle d'e-mail adressé au laboratoire
Objet : [Querco] Incident de sécurité concernant vos données - information sous 24 h
Madame, Monsieur,
En qualité de sous-traitant au sens de l'article 28 du RGPD, nous vous informons d'un incident de sécurité détecté le JJ/MM/AAAA à HHhMM.
Nature de l'incident : …
Données concernées : … (catégories, nombre approximatif de personnes)
Période concernée : du … au …
Cause identifiée à ce stade : …
Mesures déjà prises : …
Mesures prévues : …
Vous disposez de 72 heures à compter de votre prise de connaissance pour apprécier la nécessité d'une notification à la CNIL. Nous tenons à votre disposition l'ensemble des éléments techniques nécessaires et nous vous transmettrons un rapport complet sous 15 jours.
Contact pour cet incident : [email protected] - numéro indiqué au contrat.
7. Registre des violations
Querco tient un registre des violations : date de détection, date de notification, laboratoires concernés, nature de l'incident, données et nombre de personnes concernées, cause, mesures prises, décision de notification à la CNIL et son motif, date de clôture. Il est communicable au laboratoire sur demande.
8. Terminaux
Téléphone d'un préleveur perdu ou volé : le laboratoire le signale, Querco révoque immédiatement les jetons de connexion du compte concerné.
Poste de secrétariat : révocation de la session utilisateur et de la clé d'API du laboratoire si elle est enregistrée sur le poste.