Voici un grief fréquemment retenu, en matière de protection des données : l’absence ou l’insuffisance des tests, aussi bien quant à la conformité que pour vérifier les mesures de sécurité. Et ces contrôles doivent être reconduits périodiquement, pour éviter la sanction, comme l’ont récemment rappelé les autorités de protection des données polonaise (UODO, 2 novembre 2022, Municipality of Dobrzyniewo Duże, n° DKN.5131.8.2022) et danoise (Datatilsynet, …
En savoir plussécurité
-
-
Sécuriser les dossiers papier, un challenge des plus délicats
Confidentialité, cybersécurité, Donnée de santé, Sécurité informatique par Da_pierre le 27/02/2023Sauf à vivre dans « Le Bureau des Légendes » ou dans la version BCRA annoncée début février (et encore!), sécuriser l’accès à des dossiers papier constitue un challenge peut-être plus délicat encore que pour leur pendant numérique. C’est ce qu’a rappelé la CNIL roumaine en début d’année, en sanctionnant le responsable de traitement victime du vol du dossier administratif d’un salarié, entreposé sur une étagère. Loin …
En savoir plus -
Lorsqu’un escroc vide un compte bancaire, pourquoi ne pas attaquer l’opérateur de téléphonie, sur la base d’un manquement à la sécurité?
cybersécurité, RGPD, Sécurité informatique par Da_pierre le 09/02/2023Le SIM swapping est à la mode, ces dernières années. A tel point que la Commission de Terminologie lui a fait les honneurs d’une traduction, le 19 mars 2022. Pour mémoire, cette attaque par usurpation de carte SIM consiste à détourner les SMS d’authentification double facteur (ou 2FA) pour pouvoir accéder au compte de la victime. Les victimes se retournent souvent contre leur établissement bancaire, …
En savoir plus -
La CNIL anglaise admettrait l’utilisation d’un OS n’étant plus supporté, si des mesures palliatives étaient prises
cybersécurité, RGPD, Sécurité informatique par Da_pierre le 30/01/2023C’est tout du moins ce qu’il semble résulter d’une lecture a contrario d’une décision Interserve Group Limited de l’Information Commissioner’s Office (ICO), du 24 octobre 2022. Il était reproché au responsable de traitement d’avoir recours au système d’exploitation Microsoft Server 2003 R2, dont le support avait définitivement pris fin en 2015. Dans ce genre de situation, le plus simple est de changer d’OS. Mais ce …
En savoir plus -
Déposer un colis à un voisin, sans le consentement du destinataire, constitue un manquement à la sécurité
RGPD, Sécurité informatique par Da_pierre le 23/01/2023L’autorité de protection des données espagnole a ainsi condamné UPS au paiement d’une amende de 50 000,00 euros, après avoir requalifié le transporteur en responsable de traitement. Ajoutons que dès lors que le consentement doit être libre, éclairé et spécifique, une clause contractuelle ne devrait pas permettre aux transporteurs de régler la question …
En savoir plus -
Contrôler l’accès au dossier médical reste un challenge constant, en UE
cybersécurité, Donnée de santé, Droit de la santé, e-santé, RGPD, Sécurité informatique par Da_pierre le 13/01/2023Certaines situations semblent en pratique assez faciles à gérer. Le Conseil d’Etat a ainsi considéré que faute de participer à la prise en charge du malade, un le médecin-conseil d’une assurance ne pouvait adresser son rapport à un expert judiciaire, et ce alors que le malade s’y était opposé (CE, 15 novembre 2022, n° 441387). Logique sur le plan juridique, la situation peut être traitée …
En savoir plus -
Utiliser des fichiers Excel pour stocker des données à caractère personnel est un manquement à la sécurité
RGPD, Sécurité informatique par Da_pierre le 12/01/2023C’est en ce sens qu’à trancher la « CNIL portugaise« , considérant que la présence d’un mot de passe à l’ouverture du fichier n’écartait pas le manquement. La commission lusitanienne, en expliquant les motifs de sa décision, ouvre toutefois une piste de réflexion pour permettre l’utilisation de cet outil bureautique. Elle reproche en effet au système de fichier de ne pas journaliser les accès, consultations et modifications …
En savoir plus -
L’humain est-il un moyen de traitement, au sens du RGPD?
RGPD par Da_pierre le 10/01/2023La liste à la Prévert des moyens de traitement figurant à l’article 4 et l’objectif d’une application la plus large possible du texte pourrait conduire à considérer que le fait pour un humain de visualiser, d’entendre ou dire quelque chose constituerait un moyen de traitement. De façon générale, les autorités de protection des données et juridictions de l’UE s’accordent pourtant à répondre par la négative. …
En savoir plus -
Pseudonymisation : un temps d’avance dans la santé ?
Non classé par Da_pierre le 05/02/2020Le 3 décembre 2019, l’Agence Européenne de Cybersécurité – l’ENISA – a mis en ligne un guide des bonnes pratiques en matière de pseudonymisation[1], venant ainsi approfondir le travail réalisé un an auparavant. Définie par le RGPD comme « le traitement de données (…) de telle façon que celles-ci ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires », …
En savoir plus -
Ce qui compte n’est ni la confidentialité, ni la disponibilité des données de santé
Donnée de santé, Droit de la santé, Droit des données, Droit des patients, e-santé, Hébergeur, Responsabilité, Sécurité informatique, SIH par Da_pierre le 20/11/2015J’imagine la mine décontenancée de certains lecteurs de ce billet. Je les entends presque se dire « La fin de l’année approche, il a besoin de vacances ». Mais non, je suis tout à fait lucide. Explications ! Aujourd’hui, le débat sur la confidentialité des données à caractère personnel relatives à la santé est en train de se cristalliser. Deux thèses s’affrontent. Les premiers exigent la confidentialité …
En savoir plus