Rappel de l’objet
Un établissement a mis en place un système pour prévenir les fuites de données sur son firewall. Est-il autorisé à surveiller les données sortantes ? Le cas échéant, quelles sont les données concernées ?
Eclairage juridique
Dans un premier temps, il convient de relever que les éléments sortants d’un système informatique peuvent être de natures diverses : il peut notamment s’agir de données (entendu au sens de contenu d’un fichier) ou de métadonnées (entendu au sens de données concernant les fichiers). Les métadonnées vont par exemple concerner la date, le lieu, l’identité de l’auteur ou du destinataire d’actions réalisées sur des données telles que celles-ci ont été précédemment définies.
Par ailleurs, il peut être relevé que toutes les données telles qu’elles ont été définies plus haut ne portent pas sur les mêmes éléments. Notamment, certaines concernent plus particulièrement des personnes physiques identifiées ou identifiables. On les qualifie alors de données à caractère personnel. Ces données sont particulièrement protégées par le législateur. Contrairement aux autres données, leur utilisation est très encadrée.
Depuis l’entrée en vigueur de la loi du 20 juin 2018 relative à la protection des données personnelles, de nouvelles règles sont applicables en matière de traitement de données à caractère personnel. Cette loi a également défini les différents éléments pouvant concerner ce traitement de données à caractère personnel. L’article 2 de cette loi énonce ainsi :
« Constitue une donnée à caractère personnel toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d’identification ou à un ou plusieurs éléments qui lui sont propres. Pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens en vue de permettre son identification dont dispose ou auxquels peut avoir accès le responsable du traitement ou toute autre personne.
Constitue un traitement de données à caractère personnel toute opération ou tout ensemble d’opérations portant sur de telles données, quel que soit le procédé utilisé, et notamment la collecte, l’enregistrement, l’organisation, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, ainsi que le verrouillage, l’effacement ou la destruction. Constitue un fichier de données à caractère personnel tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique.
La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l’objet du traitement. »
Ces traitements de données à caractère personnel doivent notamment être soumis à des règles strictes de confidentialité et de sécurité. C’est-à-dire que seules les personnes expressément autorisées par la personne concernée peuvent accéder au contenu du traitement. Elles ne peuvent pas être librement communiquées à des tiers.
Plus spécifiquement, l’établissement est un centre hospitalier. Certaines données faisant l’objet d’un traitement sont donc relatives à des patients et à leur état de santé. Les données de santé sont encore plus particulièrement protégées que les autres données à caractère personnel : seuls les professionnels intervenant directement dans la prise en charge de la personne concernée peuvent avoir accès à leur contenu.
