ISO 27701 pour santé : prouver que les données de vos patients sont maîtrisées

Les données sur la santé comptent parmi les données personnelles sensibles, au sens de la nLPD comme du RGPD. Un hôpital, un réseau de cabinets ou une assurance qui confie une partie de son activité à un tiers doit pouvoir montrer qu'il a choisi un prestataire fiable. Le questionnaire fournisseur est l'outil habituel, et la question revient presque toujours : disposez-vous d'un système de management de la protection de la vie privée, et existe-t-il une preuve externe ?

Si vous êtes éditeur d'un logiciel de cabinet, laboratoire d'analyses, centre de télémédecine ou société de facturation médicale, ces questions arrivent avant même le premier devis. Sans réponse documentée, le service achat de votre client écarte votre offre ou la met en attente. Un certificat avec un numéro et une page de vérification publique raccourcit cet échange.

L'édition 2025 de la norme peut être certifiée seule. Il n'est plus nécessaire de disposer d'une certification ISO 27001 pour l'obtenir.

• Voir la norme ISO 27701

ISO 27701 ne se limite pas à l'informatique. Elle s'applique à chaque endroit où une donnée personnelle entre, circule ou sort de votre organisation. Dans le secteur de la santé, ces endroits sont nombreux et souvent répartis entre plusieurs prestataires.

Dossier patient

Anamnèse, diagnostics, traitements. Le risque principal est l'accès par des personnes qui n'en ont pas besoin pour leur travail.

Prise de rendez-vous en ligne

Nom, motif de consultation, coordonnées. Le motif seul peut déjà révéler une pathologie.

Résultats de laboratoire

Transmission au médecin prescripteur ou au patient. Une erreur d'adresse ou de destinataire constitue une violation de données.

Facturation et échanges avec les assureurs

Les factures contiennent des diagnostics et des prestations. Le prestataire de facturation traite ces données pour votre compte.

Visioconsultation

Choix de l'outil, enregistrement éventuel, lieu de stockage des données. Chaque point doit être décidé et documenté.

Hébergement du logiciel métier

Si un tiers héberge le dossier patient, il agit en sous-traitant. Le contrat et les mesures de sécurité doivent le refléter.

Les six exigences ci-dessous font partie du contenu de l'auto-évaluation. Voici à quoi elles ressemblent dans un cabinet, un laboratoire ou chez un prestataire du secteur.

1. 01

   Déterminer votre rôle

   Un cabinet qui décide des finalités du traitement est responsable du traitement. L'éditeur qui héberge son logiciel est sous-traitant. Notez le rôle pour chaque activité.

2. 02

   Évaluer les risques pour les personnes

   Le critère est le dommage pour le patient, pas pour votre entreprise. Une fuite de résultats d'analyses est évaluée selon ses conséquences pour la personne concernée.

3. 03

   Tenir un registre des traitements

   Une liste par activité : dossier patient, agenda, facturation, newsletter. Pour chacune, les données traitées, la base, la durée de conservation et les destinataires.

4. 04

   Respecter les droits des personnes

   Un patient demande une copie de son dossier. Qui reçoit la demande, qui vérifie l'identité, qui répond, et dans quel délai ? Une procédure d'une page suffit si elle est appliquée.

5. 05

   Protection dès la conception et par défaut

   Un nouveau formulaire en ligne ne demande que les champs nécessaires. Les accès au dossier sont limités par fonction dès la mise en service.

6. 06

   Détecter et annoncer les violations

   Un courriel avec un rapport médical part au mauvais destinataire. Votre équipe sait à qui le signaler le jour même et comment la décision d'annonce est prise.

Le rôle dépend de qui décide des finalités et des moyens du traitement. Le tableau donne des cas courants. Il doit être vérifié pour chaque contrat.

L'auto-évaluation compte 42 questions auxquelles on répond par oui ou par non. Quinze d'entre elles correspondent à des questions obligatoires de l'évaluation : toutes doivent recevoir un oui. Sur les 27 autres questions, il faut au moins 18 oui pour réussir. Vous pouvez la faire sans compte, à votre rythme, et la reprendre si un point doit d'abord être corrigé dans l'organisation.

SICE examine chaque évaluation avant l'émission. Zertify délivre ensuite le certificat sous licence de SICE, en général dans les 4 heures suivant la réussite et le paiement. Aucun audit sur site n'est prévu. Chaque certificat se vérifie publiquement par son numéro ou par le code QR du PDF, ce qui permet à votre client de contrôler la validité sans vous écrire.

Le prix est de 799 CHF la première année, puis de 529 CHF par an, re-audit annuel en ligne inclus. Le certificat est valable 3 ans. L'abonnement annuel est automatique et résiliable à tout moment dans votre compte client, avec effet à la fin de l'année en cours. Si vous résiliez, le certificat prend fin avec l'année payée. Une remise de 20 % s'applique pour 2 normes, de 30 % pour 3 normes ou plus, y compris sur la cotisation annuelle.

• Démarrer l'auto-évaluation gratuite
• Voir les prix
• Page de la norme ISO 27701

Réunissez la liste de vos logiciels et prestataires qui touchent à des données de patients : dossier, agenda, messagerie, facturation, hébergement. Vérifiez que vous disposez d'un contrat avec chacun d'eux. Ce sont les documents que les questions de l'auto-évaluation supposent.

Décidez qui, dans votre équipe, reçoit une demande d'accès d'un patient ou le signalement d'un envoi erroné. Si la réponse est « on verra », c'est le premier point à régler. Vous trouverez dans le guide sur les voies de certification une comparaison avec la voie classique, qui passe par un audit sur site d'un organisme de certification.

• Comparer les voies de certification
• Comment fonctionne Zertify