ISO 27018 · Santé
ISO 27018 pour santé : prouvez la protection des données de vos patients dans le cloud
Vous fournissez un logiciel, une plateforme ou un hébergement à des cabinets, des cliniques ou des laboratoires ? Vos clients vous demandent comment vous traitez les données personnelles dont vous êtes le sous-traitant. Le certificat ISO 27018 y répond, et vous l'obtenez en ligne après une auto-évaluation.
01: Demande
Pourquoi les clients du secteur de la santé demandent ISO 27018
Un cabinet médical, une clinique ou un laboratoire qui confie ses données à un prestataire cloud reste responsable de ces données. Avant de signer, son service achats ou son informatique envoie un questionnaire fournisseur. Où sont hébergées les données ? Qui d'autre y accède ? Que devient le dossier à la fin du contrat ?
ISO 27018 donne un cadre reconnu à ces réponses. La norme s'adresse aux fournisseurs cloud qui agissent comme sous-traitants et traitent des données personnelles dans un cloud public. Les données de santé comptent parmi les plus sensibles : un client qui les confie veut une preuve, pas une déclaration d'intention.
Le certificat figure de plus en plus dans les appels d'offres et les annexes de contrat. Il raccourcit l'échange de questionnaires, puisque vous renvoyez un numéro de certificat et un code QR que le client vérifie lui-même.
02: Risques
Quels processus de santé la norme encadre-t-elle ?
ISO 27018 ne décrit pas la médecine. Elle encadre ce que votre service fait des données personnelles qu'un client vous confie. Dans la santé, quelques cas reviennent sans cesse.
- Prise de rendez-vous en ligne
- Le portail enregistre nom, motif de consultation et coordonnées. Les données ne doivent servir qu'à la gestion des rendez-vous, pas à de la prospection.
- Dossier patient hébergé
- Le cabinet stocke ses dossiers chez vous. Vous devez pouvoir supprimer ou restituer un dossier sur instruction du cabinet.
- Visioconsultation
- Votre service transmet image et son, et parfois conserve des journaux de connexion. La durée de conservation de ces journaux doit être définie et documentée.
- Résultats de laboratoire
- Les résultats transitent entre le laboratoire, le médecin et le patient. Chaque sous-traitant ultérieur impliqué dans le transfert doit être connu du client.
- Facturation et décompte
- Un module de facturation traite des données de santé liées à des prestations. Une violation de données y exige une notification rapide au client.
03: Exigences
Comment une entreprise de santé remplit les exigences clés d'ISO 27018
Le tableau relie chaque exigence clé à une situation concrète d'un fournisseur actif dans la santé.
| Exigence | Exemple dans la santé |
|---|---|
| Transparence du traitement | Vous remettez au cabinet la liste des traitements effectués sur ses données de patients et des lieux d'hébergement. |
| Limitation des finalités | Les données de rendez-vous ne servent jamais à des campagnes d'information sans instruction écrite du client. |
| Suppression et restitution | Quand une clinique résilie, vous lui rendez les dossiers dans un format exploitable, puis vous les effacez. |
| Sous-traitants ultérieurs | Votre hébergeur et votre service de messagerie sont recensés et communiqués au client avant tout changement. |
| Analyses d'impact | Avant de lancer une fonction de téléconsultation, vous évaluez les risques pour les données des patients. |
| Notification des violations | Un accès non autorisé à une base de résultats déclenche un message au client dans un délai défini par contrat. |
Ces mesures reposent sur un système de management déjà en place, avec ses responsabilités, ses procédures et ses preuves écrites.
04: Préparation
Que préparer avant l'auto-évaluation ?
Quatre documents suffisent pour répondre sereinement aux questions. Vous les avez probablement déjà en partie.
Un inventaire des données traitées
Notez quelles données personnelles vos clients de la santé vous confient, où elles sont stockées et qui y a accès.
La liste de vos sous-traitants ultérieurs
Hébergeur, outil de support, sauvegarde externe : chaque prestataire qui touche aux données doit y figurer.
Une procédure de suppression et de restitution
Décrivez les étapes, le format de restitution et le délai à la fin d'un contrat.
Un processus de notification des violations
Définissez qui constate l'incident, qui prévient le client et dans quel délai.
Si un point manque, l'auto-évaluation le fait apparaître avant que votre client ne pose la question.
05: Zertify
Obtenir le certificat ISO 27018 avec Zertify
L'auto-évaluation compte 32 questions à répondre par oui ou non. Onze d'entre elles reprennent des exigences obligatoires de la norme et doivent toutes recevoir un oui. Sur les 21 autres questions, il faut au moins 14 réponses positives pour réussir. Il n'est pas nécessaire de créer un compte pour acheter.
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education), et SICE examine chaque évaluation avant l'émission. Vous le recevez dans les 4 heures après la réussite du test et le paiement. Aucun audit sur site n'a lieu. Chaque certificat est vérifiable publiquement par son numéro et son code QR, ce que votre client peut contrôler sans vous écrire.
Le prix est de 799 CHF la première année, puis de 529 CHF par an, re-audit en ligne compris. Le certificat est valable 3 ans et chaque année une courte réévaluation en ligne le confirme. L'abonnement annuel se résilie à tout moment dans votre compte client, pour la fin de l'année en cours. Pour les clients en Suisse et au Liechtenstein, la TVA de 8,1 % est incluse. Si vous visez plusieurs normes, une remise de 20 % s'applique pour deux normes et de 30 % dès trois, y compris sur la cotisation annuelle.
06: Choix
ISO 27018, ISO 27001 ou ISO 27017 : que demande votre client ?
ISO 27018 complète ISO 27001 par des mesures dédiées à la protection des données personnelles dans le cloud. Si votre client vous interroge surtout sur le traitement des données de patients, ISO 27018 répond le plus directement. S'il parle de sécurité de l'information en général, ISO 27001 est la référence. ISO 27017 vise les mesures de sécurité propres aux services cloud.
Lisez le questionnaire ou l'appel d'offres de près : il nomme souvent la norme attendue. Certaines entreprises choisissent la voie classique, avec un audit sur site par un organisme de certification. Le guide de comparaison présente les deux voies côte à côte.
07: FAQ
Questions fréquentes sur ISO 27018 pour la santé
08: Guide
Pages liées
Testez votre conformité ISO 27018
Répondez aux 32 questions et sachez en quelques minutes si votre service cloud est prêt pour le certificat.
Gratuit et sans inscription.