Loi sur la protection des données (nLPD)
En vigueur depuis le 1er septembre 2023. Les données de santé y sont des données sensibles : le cabinet doit les protéger par des mesures adaptées au risque, qu'elles soient au cabinet ou en ligne.
Stockage Cloud
Un stockage en ligne permet de retrouver vos fichiers sur chaque poste du cabinet, et même en dehors. Pour des données de santé, il doit réunir trois conditions : un chiffrement que le fournisseur lui-même ne peut pas lever, un accès réservé aux bonnes personnes, et un contrat clair. Voici ce que dit la loi, et ce que nous mettons en place.
Ce que dit la loi
Ordonnance sur la protection des données (OPDo)
Elle fixe des exigences minimales : chacun n'accède qu'aux données utiles à son travail, les données ne sont lisibles que par les personnes autorisées, y compris pendant leur transfert, et elles peuvent être rapidement restaurées après un incident.
Secret professionnel
Il lie le dentiste et ses auxiliaires (art. 321 du Code pénal). Confier des dossiers à un service en ligne n'est admis que si ce secret est préservé : un chiffrement que le fournisseur ne peut pas lever en est la meilleure garantie.
Contrat de sous-traitance
Le fournisseur traite vos données pour vous : un contrat doit fixer ce qu'il peut en faire, où il les garde, à qui il les confie, et comment vous les récupérez en fin de contrat (art. 9 nLPD). Le cabinet reste responsable.
Pays de stockage
Aucune loi n'oblige un cabinet à stocker ses données en Suisse : un pays dont la Suisse reconnaît la protection convient, comme ceux de l'Union européenne. Les États-Unis ne sont reconnus que pour les entreprises certifiées, et un fournisseur américain peut être contraint de remettre les fichiers qu'il est capable de lire.
Normes et labels
La norme ISO 27001 est un bon critère de choix, mais elle reste volontaire : aucune loi suisse ne l'impose. Il n'existe pas non plus, en Suisse, de registre obligatoire des hébergeurs de données de santé.
CONSERVATION
Combien de temps garder les dossiers ?
Ces durées viennent des lois cantonales sur la santé, pas de la nLPD. Depuis 2020, une action pour lésions corporelles se prescrit par 20 ans au plus : nous recommandons donc de garder les dossiers 20 ans.
| Canton | Durée minimale | Durée maximale |
|---|---|---|
| Vaud | Au moins 10 ans dès la dernière consultation | Aucun maximum fixé |
| Genève | Au moins 10 ans dès la dernière consultation | Destruction au plus tard après 20 ans, sauf intérêt prépondérant |
| Fribourg | Au moins 10 ans | Destruction au plus tard après 20 ans, sauf intérêt majeur |
| Valais | Au moins 20 ans | Aucun maximum fixé |
Pour Neuchâtel et le Jura, renseignez-vous auprès du service de la santé publique de votre canton. Le patient peut demander l'accès à ses données, leur rectification ou leur remise dans un format courant (art. 25, 28 et 32 nLPD) ; leur effacement reste limité par ces durées de conservation.
Fonctionnalités de notre solution Cloud
Le service que nous installons répond à ces exigences. Vous vous y abonnez directement : le contrat et les données restent à votre nom.
Chiffrement de bout en bout
Vos fichiers, et même leurs noms, sont chiffrés sur votre poste avant d'être envoyés : le fournisseur ne peut pas les lire. Les serveurs se trouvent en Suisse ou dans des pays dont la Suisse reconnaît la protection des données.
Conservation des versions des fichiers
Les versions précédentes de chaque fichier sont conservées pendant une durée réglable : un document écrasé ou supprimé par erreur se récupère. Ce n'est pas l'archivage légal, qui porte sur le dossier du patient lui-même.
Partage sécurisé des fichiers
Un lien protégé par un mot de passe, avec une date d'expiration, pour transmettre un document à un confrère ou à un laboratoire. Transmettre le dossier d'un patient suppose toutefois son accord ou une base légale.
Accès hors ligne
Les fichiers choisis restent disponibles sur l'ordinateur, même sans connexion. Ces copies locales doivent être protégées : le disque de l'ordinateur doit être chiffré.
Accès multiplateformes
Ordinateurs, tablettes et téléphones du cabinet : chaque compte est protégé par la double authentification, que nous activons avec vous. Évitez les appareils personnels que le cabinet ne gère pas.
Contrôle d'accès
Chaque collaborateur a son compte, et chaque dossier partagé ses droits : lecture ou modification. Seules les personnes qui en ont besoin accèdent aux données (art. 3 OPDo).
Le stockage en ligne n'est pas une sauvegarde Une synchronisation recopie aussi un fichier effacé, ou chiffré par un rançongiciel. Les versions limitent les dégâts, mais vos données ont besoin, en plus, de vraies sauvegardes avec une copie hors du cabinet. Et avec un chiffrement de bout en bout, un mot de passe perdu sans moyen de récupération fait perdre l'accès aux fichiers : gardez ces moyens en lieu sûr.
AUTO-DIAGNOSTIC
Faites le point sur votre cabinet
Cinq points tirés de notre guide, chacun expliqué selon votre réponse. Vos réponses restent dans votre navigateur et se retrouvent dans le bilan complet.
Le diagnostic demande JavaScript. Les explications de chaque point restent lisibles ci-dessous.
Point 1Essentiel
Une copie hors du cabinet
La règle 3-2-1 : trois copies de vos données, sur deux supports différents, dont une hors du cabinet. Un incendie, un dégât d'eau ou un cambriolage ne doit pas emporter toutes les copies à la fois.
En savoir plus
La copie hors du cabinet doit être chiffrée, automatique et récente, et se trouver dans un pays qui offre une protection adéquate, idéalement en Suisse.
Un disque emporté chaque soir à la maison fonctionne tant que personne n'oublie, ce qui finit toujours par arriver.
Une copie complète et récente de vos données se trouve-t-elle hors du cabinet ?
En ordre : un sinistre ne vous fera pas tout perdre.
- Pourquoi c'est important
- Même si le cabinet entier est touché, vos dossiers peuvent être reconstitués. C'est le cœur de la règle 3-2-1.
- Pour que cela le reste
- Vérifiez que cette copie est chiffrée et récente : une copie vieille de trois mois, c'est trois mois de dossiers perdus.
À corriger : tout peut disparaître en une fois.
- Le risque
- Si toutes les copies sont au cabinet, un incendie, un vol ou une attaque peut tout emporter : dossiers, radiographies, comptabilité.
- Ce qu'il faut viser
- Une copie automatique et chiffrée, envoyée chaque jour hors du cabinet, en Suisse.
- Avec nous
- Nos sauvegardes envoient chaque nuit une copie chiffrée hors du cabinet, conservée en Suisse sous notre garde.
À vérifier : c'est souvent là que se cachent les risques.
- Comment le savoir
- Demandez où se trouve la copie la plus récente de vos données en dehors du cabinet, et de quand elle date. Si personne ne sait, la réponse est non.
- Avec nous
- Lors d'un premier passage, sans frais, nous vérifions ce point avec vous et vous expliquons ce que nous avons trouvé.
Point 2Essentiel
Une copie qu'une attaque ne peut pas effacer
Les rançongiciels cherchent les sauvegardes pour les chiffrer en premier. Un disque branché en permanence sera chiffré avec tout le reste.
En savoir plus
La parade : une copie déconnectée, ou verrouillée de façon que personne ne puisse la modifier ni la supprimer pendant un certain temps, pas même un programme qui aurait pris le contrôle du réseau. On parle de copie immuable.
C'est le complément recommandé de la règle 3-2-1 ; on écrit parfois 3-2-1-1-0 : une copie immuable en plus, et zéro erreur aux tests de restauration.
Au moins une de vos sauvegardes est-elle déconnectée, ou protégée contre la modification et l'effacement ?
En ordre : votre dernière ligne de défense tient.
- Pourquoi c'est important
- Même si l'attaquant prend le contrôle du réseau, il ne peut pas détruire cette copie. C'est elle qui vous permet de refuser de payer une rançon.
- Pour que cela le reste
- Assurez-vous que l'historique remonte assez loin : une attaque reste souvent silencieuse plusieurs jours avant de se montrer.
À corriger : vos sauvegardes seraient chiffrées avec le reste.
- Le risque
- Les attaquants s'en prennent d'abord aux sauvegardes. Si elles sont accessibles depuis le réseau, elles sont chiffrées ou effacées avant même que l'attaque ne se voie, et il ne reste que la rançon.
- Ce qu'il faut viser
- Une copie isolée ou verrouillée, que personne ne peut effacer avant un certain délai.
- Avec nous
- Nos sauvegardes conservent un historique d'environ deux semaines, pour pouvoir remonter avant le début d'une attaque. Nous vous expliquons quelle copie resterait intacte, et pourquoi.
À vérifier : c'est souvent là que se cachent les risques.
- Comment le savoir
- Demandez à votre prestataire : si un rançongiciel prenait le contrôle du serveur ce soir, quelle copie resterait intacte, et pourquoi ? La réponse doit être précise.
- Avec nous
- Lors d'un premier passage, sans frais, nous vérifions ce point avec vous et vous expliquons ce que nous avons trouvé.
Point 3Essentiel
Une restauration réellement testée
Une sauvegarde qui n'a jamais été restaurée est une promesse, pas une garantie. La loi demande de pouvoir rétablir rapidement l'accès aux données après un incident (art. 3 OPDo).
En savoir plus
Un test consiste à restaurer quelques dossiers ou radiographies et à vérifier qu'ils s'ouvrent normalement.
Au moins une fois par an, idéalement plus souvent ; chaque test est noté avec sa date et son résultat. C'est aussi ce que l'on vous demandera après un incident.
Une restauration de vos données a-t-elle été testée, avec succès, au cours des douze derniers mois ?
En ordre : vous savez que vos sauvegardes fonctionnent.
- Pourquoi c'est important
- Vous savez que les fichiers sont utilisables et combien de temps prend une restauration. C'est exactement ce que la loi demande de pouvoir faire.
- Pour que cela le reste
- Gardez une trace écrite de chaque test : date, ce qui a été restauré, résultat.
À corriger : rien ne prouve que vos sauvegardes fonctionnent.
- Le risque
- Une sauvegarde corrompue ou incomplète ne se découvre souvent que le jour où l'on en a besoin. Il est alors trop tard.
- Ce qu'il faut viser
- Des tests réguliers et notés, qui vérifient que les données restaurées s'ouvrent vraiment.
- Avec nous
- Nous testons régulièrement la restauration des sauvegardes que nous gérons, et surveillons chacune d'elles.
À vérifier : c'est souvent là que se cachent les risques.
- Comment le savoir
- Demandez la date du dernier test de restauration et ce qui a été restauré. Sans date précise, comptez non.
- Avec nous
- Lors d'un premier passage, sans frais, nous vérifions ce point avec vous et vous expliquons ce que nous avons trouvé.
Point 4Essentiel
Un contrat avec chaque prestataire
Votre informaticien, votre hébergeur, votre fiduciaire : tout prestataire qui traite des données de vos patients pour votre compte doit être lié par un contrat de sous-traitance (art. 9 LPD).
En savoir plus
Le contrat fixe ce que le prestataire peut faire des données, comment il les protège, à qui il peut les confier et ce qu'il en advient à la fin de la collaboration.
Avant de confier vos données, vous devez aussi vous assurer que le prestataire est capable de les protéger. Confier intentionnellement des données sans respecter ces règles est punissable, sur plainte.
Avez-vous un contrat de sous-traitance signé avec chaque prestataire qui accède aux données de vos patients ?
En ordre : vos prestataires sont encadrés.
- Pourquoi c'est important
- Vous savez ce que chacun peut faire de vos données, et vous avez un recours en cas de problème. C'est l'une des premières pièces que l'on vous demandera après un incident.
- Pour que cela le reste
- Demandez à chaque prestataire la liste des services qu'il utilise pour vous, et faites mettre le contrat à jour quand elle change.
À corriger : vos données sont confiées sans cadre.
- Le risque
- Sans contrat, vous ne maîtrisez pas ce que deviennent les données chez le prestataire, et vous n'avez pas de recours. Devant le PFPDT et vos patients, c'est vous qui répondez.
- Ce qu'il faut viser
- Un contrat écrit par prestataire, qui précise les données concernées, les mesures de sécurité, les services qu'il utilise lui-même et le délai pour vous prévenir d'un incident.
- Avec nous
- Le modèle DS7 du kit vous donne une base. Demandez ce contrat à chacun de vos prestataires, nous compris.
À vérifier : c'est souvent là que se cachent les risques.
- Comment le savoir
- Cherchez dans vos documents un contrat qui mentionne l'art. 9 LPD ou la sous-traitance. Une facture ou un contrat de maintenance ordinaire ne suffit pas.
- Avec nous
- Lors d'un premier passage, sans frais, nous vérifions ce point avec vous et vous expliquons ce que nous avons trouvé.
Point 5Essentiel
La double authentification
Après le mot de passe, un code sur le téléphone : même si le mot de passe est volé, l'attaquant reste dehors. C'est le principe de la carte bancaire et de son code.
En savoir plus
À activer en priorité sur la messagerie, l'accès à distance, les sauvegardes en ligne, le logiciel dentaire s'il le permet, et la banque.
Une messagerie piratée sert souvent à tromper vos correspondants, laboratoires et patients compris.
La double authentification est-elle activée sur la messagerie, l'accès à distance et les services en ligne du cabinet ?
En ordre : un mot de passe volé ne suffit plus.
- Pourquoi c'est important
- C'est l'une des mesures les plus efficaces contre le vol de comptes, pour un effort minime.
- Pour que cela le reste
- Gardez les codes de secours en lieu sûr, pour le jour où un téléphone est perdu ou changé.
À corriger : un seul mot de passe protège vos données.
- Le risque
- Un mot de passe se vole en quelques secondes par un faux e-mail. Sans second facteur, l'attaquant entre directement dans votre messagerie ou dans votre réseau.
- Ce qu'il faut viser
- Un second facteur sur chaque service qui le permet, en commençant par la messagerie et l'accès à distance.
- Avec nous
- Nous l'activons sur vos comptes et aidons chaque collaborateur à la configurer sur son téléphone.
À vérifier : c'est souvent là que se cachent les risques.
- Comment le savoir
- Quand vous vous connectez à votre messagerie depuis un nouvel appareil, un code vous est-il demandé ? Sinon, la double authentification n'est pas active.
- Avec nous
- Lors d'un premier passage, sans frais, nous vérifions ce point avec vous et vous expliquons ce que nous avons trouvé.
0sur 5 points
- 0 en ordre
- 0 à corriger
- 0 à vérifier
Vos réponses sont reprises dans le bilan complet : 22 points, avec un résumé que vous pouvez nous transmettre.
Faire le bilan completContactez-nous
Votre stockage actuel convient-il à des données de patients ? Nous regardons avec vous ce qui est stocké, où et comment, et ce qu'il faudrait changer. Premier passage gratuit, devis si vous le souhaitez.