Préambule
Roche Diagnostics France (ci-après “ROCHE”) est amenée à fournir des produits physiques (Systèmes, réactifs…) et numériques (Solutions Logicielles, Logiciels Tiers…) ainsi que les services associés au profit du CLIENT dans le cadre de l’exécution d’un contrat signé, composé des documents contractuels suivants, lorsqu’ils existent :
- L’OFFRE ROCHE et/ou le Contrat de Fourniture signé avec le CLIENT, et leurs annexes
- Le Contrat Spécifique de Traitement de Données
- Les Conditions Générales de ROCHE et leurs annexes, relatives aux produits en question
- la Commande du CLIENT
Ci-après le “Contrat”.
Dans le cadre de l’exécution du Contrat signé entre ROCHE et le CLIENT (ci-après les “Parties”), ROCHE est amenée à traiter des Données à Caractère Personnel pour le compte et sur les instructions du CLIENT au cours des prestations d’installation, de maintenance et de mise au rebut de Systèmes et/ou des Solutions au plus près des patients et/ou la fourniture de Solutions Logicielles & Services associés (ci après les « Prestations »).
A ce titre dans le cadre de l’exécution de ces Prestations, ROCHE agit en tant que Sous-Traitant du CLIENT et le CLIENT agit en tant que Responsable de Traitement au sens du Règlement (UE) 2016-679 du Parlement et du Conseil du 27 avril 2016 applicable depuis le 25 mai 2018 – « RGPD » et de la loi Informatique et Libertés modifiée par la loi n°2018-493 du 20 juin 2018 - (ci-après la « Réglementation relative à la protection des données personnelles»).
Les Parties entendent s’assurer de la conformité de leurs interactions aux obligations qui leur incombent au titre de la Réglementation relative à la protection des données personnelles, elles ont convenu de rédiger la présente Annexe (ci après désigné l’« Annexe »).
Définitions
Dans le cadre de cette Annexe les termes listés ci-dessous ont la définition suivante :
« Système(s) » : désigne (i) les automates de diagnostics in vitro analytiques ou péri analytiques (ci-après « Matériel ») et/ou (ii) les éléments optionnels choisis pour le Matériel (ci-après « Option ») fournis par ROCHE permettant de produire un résultat d’examen de biologie médicale ou de gérer un échantillon biologique qu’il soit connecté ou non au Système d’information du laboratoire (« SIL »).
“Contrat de Fourniture” : désigne le contrat signé le cas échéant entre ROCHE et le CLIENT, pour la fourniture de produits physiques ou numériques commercialisés par ROCHE (Matériels, Réactifs, Solutions Logicielles…) et les services en lien avec cette fourniture de produits.
« Donnée à Caractère Personnel» : Toute information se rapportant à une personne physique identifiée ou identifiable (une “Personne Concernée”) ; est réputée être une « personne physique identifiable » une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.
« Données Patient » désigne toutes Données à Caractère Personnel relative à la santé d’un patient, notamment toutes données connexes provenant de diverses sources de données (par exemple : de systèmes de dossiers médicaux électroniques) qui constituent des Données à Caractère Personnel et qui sont téléchargées automatiquement ou manuellement dans les Solutions Logicielles(le cas échéant). Les Données Patient constituent une catégorie particulière de Données à Caractère Personnel sensibles en vertu de l’article 9 du RGPD.
« Filiale » désigne, eu égard à ROCHE, tout(e) personnes physiques ou morales contrôlant ROCHE, contrôlée par ROCHE ou se trouvant sous contrôle commun avec celle-ci, directement ou indirectement, l’ensemble des Filiales étant désignées comme le « Groupe Roche »
« Solution(s) au plus près des patients »: désigne les produits physiques commercialisés par ROCHE, utilisés à proximité des patients ou par les patients eux-mêmes. Ces Solutions prennent la forme d’EBMD (examens de biologie médicale délocalisée), de TROD (tests rapides d’orientation diagnostique), et de tout produit utilisé à domicile par le patient. :
« Services associés aux Solutions Logicielles» : désignent les services proposés par ROCHE et commandés par le CLIENT en vertu du Contrat, notamment les services de maintenance, d’assistance, d’installation, d’intégration, de formation, de conseil ainsi que les activités analogues concernant les Solutions Logicielles fournies par ROCHE, telles que décrites dans le Contrat, et/ou tous services fournis à distance eu égard aux autres produits de ROCHE (par exemple : instruments, dispositifs).
« Solutions Logicielles » désigne l’ensemble des produits et solutions informatiques actuels et futurs commercialisés par ROCHE, y compris, notamment, (i) les services fournis à distance eu égard aux produits commercialisés par ROCHE tel que l’hébergement et (ii) les produits logiciels fournis sous forme de service (Software as-a-Service), (iii) ainsi que les Solutions Hybrides et (iv) les Solutions Sur Site telles que décrites dans l’Offre ROCHE, y compris la Documentation applicable et toutes mises à jour, mises à niveau ou nouvelles versions de ces Solutions Logicielles qui sont expressément incluses dansle Contrat.
« Solutions Hybrides » désigne les Solutions Logicielles de ROCHE qui comprennent à la fois des éléments sur site et des éléments basés dans le cloud. Toutes les stipulations relatives aux Solutions sur site s’appliquent également aux parties des Solutions hybrides qui sont installées sur un serveur au sein de l’Infrastructure informatique du CLIENT.
« Solutions Sur Site » désigne les Solutions Logicielles de ROCHE qui sont installées sur un serveur au sein de l’Infrastructure Informatique du CLIENT.
« Responsable de Traitement » : Personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement. Dans le cadre de la présente Annexe, le Responsable de traitement est le CLIENT.
« Sous-Traitant » : Personne physique ou morale, l'autorité publique, le service ou un autre organisme qui traite des Données à Caractère Personnel pour le compte du Responsable de Traitement. Dans le cadre de la présente Annexe, le Sous Traitant est la société ROCHE.
« Traitement» : Toute opération ou tout ensemble d'opérations effectué à l'aide de procédés automatisés ou non et appliqué à des données ou des ensembles de données à caractère personnel, telles que la collecte, l'enregistrement, l'organisation, la structuration, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, la limitation, l'effacement ou la destruction.
« Télémaintenance » : activité qui consiste à assurer à distance des modifications de paramètres et de configuration de logiciels de tout ou partie d’un système d’information afin d’en maintenir le bon fonctionnement ou de faire évoluer son fonctionnement. Exemples : l’exploitation et l’administration technique, l’analyse d’incident technique, la mise à jour de logiciel.
« Télémétrie »: Activité qui consiste à collecter et analyser de manière automatique et à distance des informations relatives au fonctionnement technique d’un Système ou de tout ou partie d’un système d’information en vue de suivre ce fonctionnement, d’en prédire les évolutions ou de détecter d’éventuelles anomalies. Exemples : le suivi d’indicateurs de charge d’un ensemble d’équipements, l’exécution cyclique de tests d’une application pour vérifier qu’elle est toujours disponible.
Objet :
La présente Annexe a pour objet de définir les conditions dans lesquelles les Parties s’engagent à effectuer les opérations de traitement de Données à Caractère Personnel dans le cadre des Prestations d’installation, de maintenance et de mise au rebut des Systèmes (Partie 1) et/ou dans le cadre de la fourniture des Solutions Logicielles et Services associés (Partie 2) et/ou dans le cadre de l’installation, la mise à jour et la désinstallation des Solutions au plus près des patients (Partie 3). L’ensemble des obligations des Parties au regard de la Réglementation relative à la protection des données personnelles est précisé en Partie 4.
Partie 1 : DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE DANS LE CADRE DES PRESTATIONS D’INSTALLATION, DE MAINTENANCE ET DE MISE AU REBUT DES SYSTÈMES
Dans le cas où ROCHE fournit au CLIENT un ou des Systèmes, ROCHE est autorisée à traiter des Données à Caractère Personnel pour le compte du CLIENT dans le cadre des traitements décrits ci-après.
1. Finalité des Traitements
Les Traitements réalisés par ROCHE pour le compte du CLIENT ont pour finalité :
- INSTALLATION : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de réaliser une prestation d’installation du ou des Systèmes, comprenant les opérations suivantes:
- Phase de pré-production :
- Réalisation de tests sur les échantillons de production afin de vérifier les traitements réalisés par le Système en cours d’installation ;
- Validation des méthodes avec des échantillons de production ;
- Validation des connexions entre le Système et le SIL et/ou le middleware, le cas échéant.
- Phase de bascule : mise en production amorçant la phase de maintenance.
- Phase de pré-production :
- CYCLE DE VIE :
- MAINTENANCE : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de réaliser des prestations de maintenance préventive, corrective et curative du Système. Il peut s’agir d’une Télémaintenance ou d’une extraction de données sur clé cryptée en vue d’une analyse effectuée par ROCHE
- SAUVEGARDE / RESTAURATION : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de restaurer le Système.
- ARCHIVAGE / STOCKAGE : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue d’archiver les données patients traitées par les Systèmes dans le cadre de leur utilisation en routine.
- FIN DE VIE : Le CLIENT a l’obligation de supprimer toutes les Données à Caractère Personnel présentes dans les Systèmes avant toute désinstallation effectuée par ROCHE en vue d’une reprise, d’une mise au rebut ou de la destruction du Système et de procéder aux sauvegardes nécessaires pour respecter ses obligations légales de conservation. C’est seulement dans les cas où le CLIENT ne serait pas en mesure de supprimer les Données à Caractère Personnel pour des raisons techniques qu’il peut alors en faire la demande à ROCHE. C’est donc dans cette unique situation que ROCHE pourrait être amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la fin de vie d’un Système.
2. Durée des Traitements
Les Traitements réalisés par ROCHE pour le compte du CLIENT sont réalisés pendant toute la durée du Contrat au profit du CLIENT.
3. Type de Données à caractère personnel traitées
Les Données à Caractère Personnel traitées sont celles figurant dans le ou les Système(s) objet(s) du Contrat signé entre ROCHE et le CLIENT et concernant notamment :
- Données relatives à l’examen de biologie médicale et au résultat de l’examen ;
- Donnéesrelatives au patient ;
- Données relatives au personnel du CLIENT ;
- Données relatives aux personnes intervenant sur le Système.
4. Catégories de personnes concernées
Les catégories de personnes concernées sont celles dont les données sont traitées par le Système, incluant le personnel du CLIENT, les patients pris en charge par le CLIENT et le personnel des prestataires (ROCHE inclus) intervenant sur le Système.
Partie 2 : DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE DANS LE CADRE DE LA FOURNITURE DE SOLUTIONS LOGICIELLES ET SERVICES ASSOCIÉS
Dans le cas où ROCHE fournit au CLIENT une ou des Solutions Logicielles, ROCHE est autorisée à traiter des Données à Caractère Personnel pour le compte du CLIENT dans le cadre des traitements décrits ci-après.
1. Finalité des Traitements
Les Traitements réalisés par ROCHE pour le compte du CLIENT ont pour finalité :
- INTEGRATION : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de réaliser une prestation d’intégration de la ou des Solutions Logicielles, comprenant les opérations suivantes:
- Phase de pré-production :
- Chargement des bases de données de la ou des Solutions Logicielles : récupération des bases de données existantes si nécessaire, saisie ou injection des données dans la Solutions Informatique (prescripteurs, destinataires des comptes rendus, etc.) ;
- Si demandé par le CLIENT, reprise des antériorités avec bascule dans un Logiciel Tiers;
- Réalisation de tests sur les échantillons de production afin de vérifier les traitements réalisés par la Solutions Informatique en cours d’installation ;
- Phase de bascule : mise en production amorçant la phase de maintenance.
- Phase de pré-production :
- FONCTIONNEMENT DE LA SOLUTION LOGICIELLE : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre du fonctionnement de la ou des Solutions Logicielles. Les traitements de Données à Caractère Personnel effectués par ROCHE dans ce cadre varient en fonction de la Solution Logicielle objet du Contrat. Ces traitements feront, le cas échéant, l’objet d’un Contrat spécifique de Traitement de Données, sur demande du CLIENT, qui détaillera notamment les données personnelles traitées, leurs modalités de traitement et les mesures techniques et organisationnelles appliquées par ROCHE (« Contrat Spécifique de Traitement de Données»).
- MAINTENANCE : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de réaliser des prestations de maintenance évolutive (dont règlementaire) et corrective de la Solution Logicielle.
- DÉSINSTALLATION : Le CLIENT a l’obligation de supprimer toutes les Données à Caractère Personnel présentes dans la ou les Solutions Logicielles avant toute désinstallation effectuée par ROCHE en vue d’une reprise ou de destruction de la ou des Solutions Logicielles et procéder aux sauvegardes nécessaires pour respecter ses obligations légales de conservation. C’est seulement dans les cas où le CLIENT ne peut supprimer les Données à Caractère Personnel pour des raisons techniques qu’il peut en faire la demande à ROCHE C’est dans ce dernier cas que ROCHE peut être amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la désinstallation de la Solution Logicielle. Dans ce cas, cette prestation devra faire l’objet d’un contrat spécifique.
2. Durée des Traitements
Les Traitements réalisés par ROCHE pour le compte du CLIENT sont réalisés pendant toute la durée du Contrat.
3. Type de données à caractère personnel traitées
Les Données à Caractère Personnel traitées sont celles figurant dans la ou les Solutions Logicielles utilisées en routine et objet(s) du Contrat. Ces données concernent notamment :
- Données relatives à l’examen de biologie médicale et au résultat de l’examen ;
- Données relatives au patient ;
- Données relatives au personnel du CLIENT (collaborateurs, prestataires et agents);
- Données relatives aux médecins ou toute autre Personne Concernée du secteur de la santé (professionnels de la santé) en lien avec le Contrat ;
- Données relatives aux personnes intervenant sur la Solution Logicielle ;
- Toute autre catégorie de données et de Personnes Concernées en fonction de la Solution Logicielle concernée.
4. Catégories de personnes concernées
Les catégories de personnes concernées sont celles dont les données sont traitées dans la Solution Logicielle, incluant le personnel du CLIENT, les patients pris en charge et le personnel des prestataires (ROCHE inclus) intervenant sur la Solution Logicielle.
Partie 3 : DESCRIPTION DES TRAITEMENTS FAISANT L’OBJET DE LA SOUS-TRAITANCE DANS LE CADRE DE L’INSTALLATION, LA MISE À JOUR ET LA DÉSINSTALLATION DES SOLUTIONS AU PLUS PRÈS DES PATIENTS
Dans le cas où ROCHE fournit au CLIENT une ou des Solutions au plus près des patients, ROCHE est autorisée à traiter des Données à Caractère Personnel pour le compte du CLIENT dans le cadre des traitements décrits ci-après.
1. Finalité des Traitements
Les Traitements réalisés par ROCHE pour le compte du CLIENT ont pour finalité :
- INSTALLATION) : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de réaliser une prestation d’installation des Solutions au plus près des Patients (EBMD et TROD exclusivement) comprenant les opérations suivantes :
- Réalisation de tests sur les échantillons de production afin de vérifier les traitements réalisés par la Solution au plus près des patients en cours d’installation ;
- Validation des connexions entre la Solution au plus près des patients et le SIL et/ou le middleware, le cas échéant.
- MISE À JOUR : ROCHE est amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT en vue de réaliser des mises à jour des Solutions au plus près des patients ou de l’IT de ces solutions. Il peut s’agir d’une Télémaintenance ou d’une Télémétrie (dans la cadre d’une maintenance ou d’une mise à jour prédictive).
- DÉSINSTALLATION : Le CLIENT a l’obligation de supprimer toutes les Données à Caractère Personnel présentes dans les Solution au plus près des patients avant toute reprise de la Solution par ROCHE en vue notamment d’une mise au rebut ou de la destruction de la Solution et de procéder aux sauvegardes nécessaires pour respecter ses obligations légales de conservation. C’est seulement dans les cas où le CLIENT ne serait pas en mesure de supprimer les Données à Caractère Personnel pour des raisons techniques qu’il peut alors en faire la demande à ROCHE. C’est donc dans cette unique situation que ROCHE pourrait être amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la fin de vie d’une Solution au plus près des patients. Dans ce dernier cas, un contrat spécifique de suppression des données sera conclu entre les Parties.
2. Durée des Traitements
Les Traitements réalisés par ROCHE pour le compte du CLIENT sont réalisés pendant toute la durée du Contrat.
3. Type de Données à caractère personnel traitées
Les Données à Caractère Personnel traitées sont celles figurant dans la ou les Solution(s) au plus près des patients objet(s) du Contrat signé entre ROCHE et le CLIENT et concernant notamment :
- Données relatives à l’examen de biologie médicale et au résultat de l’examen ;
- Données relatives au patient ;
- Données relatives au personnel du CLIENT ;
- Données relatives aux personnes intervenant sur la Solution au plus près des patients.
4. Catégories de personnes concernées
Les catégories de personnes concernées sont celles dont les données sont traitées par la Solution au plus près des patients, incluant le personnel du CLIENT, les patients pris en charge par le CLIENT et le personnel des prestataires (ROCHE inclus) intervenant sur la Solution au plus près des patients.
Partie 4 : OBLIGATIONSDES PARTIES
Les Parties s’engagent à respecter l’ensemble des obligations leur incombant au regard de la Réglementation relative à la protection des Données à Caractère Personnel dans le cadre des Traitements définis en Partie 1 et/ou en Partie 2 et/ou en Partie 3.
1. Obligations de ROCHE
1.1 Obligations générales en tant que Sous-Traitant
ROCHE garantit au CLIENT le respect des obligations légales et réglementaires lui incombant en qualité de Sous-Traitant de Données à Caractère Personnel au regard de la Réglementation relative à la protection des données personnelles et le respect de ses obligations au titre de la présente annexe.
ROCHE s’engage à prendre toutes les mesures nécessaires au respect par elle même et par son personnel de ses obligations et notamment à :
- Dans le cadre du Contrat s’interdire toute extraction de données, excepté si cela est nécessaire à l’exécution des Prestations ;
- Ne pas traiter, consulter les Données à Caractère Personnel à d’autres fins que l’exécution du Contrat excepté si un autre contrat spécifique existe entre le CLIENT et ROCHE prévoyant d’autres cas d’utilisation des données ;
- Ne pas traiter ou consulter les Données à Caractère Personnel en dehors du cadre des instructions documentées et des autorisations reçues du CLIENT ;
- Transférer les Données à Caractère Personnel vers un pays tiers ou à une organisation internationale situés en dehors de l’Union européenne ou ne possédant pas un niveau de protection adéquat uniquement après avoir mis en œuvre des garanties appropriées et en avoir informé le CLIENT à moins que cette information soit interdite pour des motifs importants d'intérêt public ;
- Ne pas insérer dans le ou les Systèmes des Données à Caractère Personnel étrangères;
- Ne pas insérer dans le Système d’Information du Laboratoire (« SIL ») des Données à Caractère Personnel étrangères excepté si cela est prévu dans le cadre des Prestations et des missions de ROCHE ;
- Prendre toute mesure permettant d’empêcher toute utilisation détournée, malveillante ou frauduleuse des Données à Caractère Personnel ;
- Notifier au CLIENT toute modification ou changement pouvant impacter le Traitement des Données à Caractère Personnel par tout moyen approprié ;
- Informer immédiatement le CLIENT si, selon elle, une instruction constitue une violation de la Réglementation relative à la protection des données personnelles ;
- Fournir au CLIENT tous les éléments nécessaires pour démontrer le respect de ses obligations.
D’autre part, ROCHE s'interdit :
- De divulguer à des tiers non autorisés, sous quelque forme que ce soit, tout ou partie des Données à Caractère Personnel exploitées ;
- De prendre copie ou de stocker, quelles qu'en soient la forme et la finalité, tout ou partie des informations ou données contenues sur les supports ou documents qui lui ont été confiés ou recueillies par elle au cours de l'exécution des Prestations, excepté si cela est nécessaire à l’exécution desdites Prestations ou requis par une disposition légale ou réglementaire.
ROCHE s’engage à prendre en compte, s’agissant de ses outils, produits, applications ou services en lien avec les Solutions Logicielles et Systèmes, les principes de protection des Données à Caractère Personnel dès la conception et de protection de ces données par défaut.
ROCHE veille à ce que les personnes autorisées à traiter les Données à Caractère Personnel s'engagent à respecter la confidentialité des Données à Caractère Personnel et reçoivent la formation nécessaire en matière de protection des Données à Caractère Personnel. ROCHE et les personnes agissant sous son autorité et ayant accès aux Données à Caractère Personnel ne traiteront ces Données à Caractère Personnel que sur les instructions du CLIENT.
ROCHE communique au CLIENT le nom et les coordonnées de son délégué à la protection des données que le CLIENT peut contacter en écrivant à [email protected] ou par courrier à :
Roche Diagnostics France
Data Protection Officer
2 avenue du Vercors
38240 Meylan
1.2 Obligations en matière de sécurité des données
1.2.1 Principes généraux
ROCHE s’engage, conformément à la Réglementation relative à la protection des données personnelles, à prendre toutes mesures utiles au regard de la nature des Données à Caractère Personnel et des risques présentés par le traitement, pour préserver la sécurité des Données à Caractère Personnel et notamment empêcher toute déformation, altération, endommagement, destruction de manière fortuite ou illicite, perte, divulgation et/ou tout accès par des tiers non autorisés préalablement.
Elle met en œuvre toutes les mesures techniques et organisationnelles appropriées pour protéger les Données à Caractère Personnel, en prenant en compte l'état des connaissances, les coûts de mise en œuvre et la nature, portée, contexte et les finalités du traitement ainsi que les risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, afin de garantir un niveau de sécurité adapté au risque.
ROCHE contrôlera périodiquement les processus internes ainsi que les Mesures Techniques et Organisationnelles afin de s’assurer que le traitement relevant de son domaine de responsabilité est conforme aux exigences du droit applicable en matière de protection des Données à Caractère Personnel et de protection des droits de la Personne Concernée.
1.2.2 Mesures de sécurité spécifiques
Les moyens mis en œuvre par ROCHE destinés à assurer la sécurité et la confidentialité des Données à Caractère Personnel sont conformes à l’état de l’art.
ROCHE s’engage à maintenir ces moyens tout au long de l’exécution des Prestations et à défaut, à en informer immédiatement le CLIENT.
En tout état de cause, ROCHE s’engage en cas de changement des moyens visant à assurer la sécurité et la confidentialité des données, à les remplacer par des moyens d’une performance supérieure. Aucune évolution ne pourra conduire à une régression du niveau de sécurité.
A ce titre, ROCHE s’engage à mettre en œuvre les mesures de sécurité suivantes :
- Garantir que l’accès aux Données à Caractère Personnel est limité aux personnes agissant pour son compte dont l’accès est strictement nécessaire à l’exécution des Prestations ;
- Garantir le respect de la confidentialité des Données à Caractère Personnel auxquelles son personnel peut avoir accès en s’assurant que chaque personne agissant pour son compte ait signé un engagement individuel de confidentialité ;
- Garantir que le personnel agissant pour le compte de ROCHE qui peut avoir accès aux Données à Caractère Personnel n’intervient que dans le cadre du Contrat et des missions qui lui sont confiées par ROCHE ou le CLIENT.
ROCHE devra informer le CLIENT si elle estime qu’une instruction de celui-ci enfreint une loi applicable sur la confidentialité des Données à Caractère Personnel, étant entendu que cette exigence ne saurait faire naître aucune obligation à l’égard de ROCHE de mener une enquête indépendante ou de fournir des conseils juridiques ou réglementaires.
Si le CLIENT exige que ROCHE suive une instruction de traitement en dépit de l’avis de ROCHE selon lequel cette instruction enfreint une loi applicable sur la confidentialité des données, le CLIENT assumera toute responsabilité eu égard à toutes prétentions et tous dommages découlant de la poursuite d’un traitement selon ces instructions, et garantira et défendra ROCHE, qu’il indemnisera en conséquence, contre toutes prétentions et tous dommages de cette nature.
Les Mesures Techniques et Organisationnelles mises en œuvre par ROCHE sont soumises aux progrès techniques et développements ultérieurs. À cet égard, il est permis à ROCHE de mettre en œuvre des mesures alternatives adéquates. Ce faisant, le niveau de sécurité des mesures définies ne devra pas être réduit. Les modifications substantielles devront être convenues entre les parties et documentées le cas échéant.
1.2.3 Mesures spécifiques de sécurité dans le cadre d’intervention à distance (télémaintenance ou télémétrie)
Lorsque ROCHE procède au Traitement à distance de Données à Caractère Personnel, elle doit se conformer aux règles obligatoires définies dans le cadre de la politique générale de sécurité des systèmes d’information de santé (« PGSSI-S ») publiée par l’Agence des Systèmes d'Information Partagé de Santé et, en particulier, celles issues des règles pour les interventions à distance sur les systèmes d’information de santé.
A ce titre, ROCHE s’engage à mettre en œuvre les mesures de sécurité suivantes:
- Procédés d’identification et d’authentification de l’intervenant sur la plateforme d’intervention à distance de ROCHE, dans le respect des règles de l’art et notamment des recommandations de la CNIL et de la PGSSI-S ;
- Mesures de restriction des accès physiques et logiques des postes d’intervention aux seules personnes autorisées. Par exemple, sensibilisation du personnel à la sécurisation des accès (physiques et logiques) des postes d’intervention et fourniture des postes d’intervention et des moyens de sécurité associés ;
- Mesures permettant de déterminer, en toute circonstance, l’identité de la personne qui se connecte ou s’est connectée sur la plateforme d’intervention et d’assurer la traçabilité de chaque connexion et de chaque action aux fins d’imputabilité ;
- Moyens et procédures conformes aux règles de l’art permettant de lutter contre les incidents pouvant affecter la sécurité du Système et du SIL ou les données du Système ou la sécurité de l’intervention (incidents de sécurité dans l’environnement humain, organisationnel, technique ou physique) ;
- Moyens et procédures conformes aux règles de l’art permettant de lutter contre les codes malveillants et contre l’exploitation de vulnérabilités connues des moyens informatiques ou de télécommunication mis en place dans le cadre du Contrat par ROCHE ;
- Moyens et procédures conformes aux règles de l’art permettant de lutter contre la propagation de codes malveillants ou d’incidents de sécurité à partir de la plateforme de ROCHE, au travers des échanges électroniques effectués dans le cadre des Prestations de ROCHE ;
- Moyens et procédures conformes aux règles de l’art permettant de lutter contre les codes malveillants dans les Solutions Logicielles transmis au titre des Prestations ou dans leur mise à jour, et contre l’exploitation de vulnérabilités connues dans ces éléments ;
- Pour les Prestations liées aux Systèmes, mise en œuvre d’un dispositif de gestion de configuration permettant de contrôler les accès aux composants produits ou fournis au titre de la télémaintenance des Solutions Logicielles (code source, code exécutable, documentation, données de tests etc.) ;
- Destruction de toutes données résiduelles en provenance de la Solution Informatique et/ou du SIL de la plateforme de ROCHE (fichiers temporaires ou zones de mémoire vive), étant précisé que l’intervention n’est considérée comme terminée que lorsque l’objectif de l’intervention est atteint (résolution d’un incident, mise à jour d’un composant, etc.) ou que le CLIENT et ROCHE déclarent d’un commun accord que l’objectif n’est pas atteignable ;
- Etablissement de documents conformes aux règles de l’art et comportant la description des dispositions de sécurité que ROCHE met en œuvre pour ses Prestations et, a minima, les thèmes suivants :
- Identification de l’interlocuteur en charge de la sécurité des interventions chez ROCHE ;
- Critères de sécurité utilisés dans la désignation des personnes chargées de l’intervention à distance, engagement de sécurité, information de ces personnes sur la sécurité de la prestation et sensibilisation ;
- Règles de protection des informations relatives au SIL ou à l’intervention et détenues par ROCHE ;
- Désignation des sites d’exécution des traitements, protection et accès physiques des locaux utilisés ;
- Architecture générale de la plateforme utilisée pour l’intervention à distance, cloisonnement technique vis-à vis d’autres prestations ;
- Accès logique des intervenants à la plateforme d’intervention à distance de ROCHE, identification et authentification, gestion des droits, traçabilité des actions ;
- Dispositions prises pour continuer à assurer les activités de traitement à la suite d’un sinistre majeur ;
- Assurance et contrôle de la sécurité des services d’intervention fournis ;
- Pour les Prestations liées aux Systèmes modalités pratiques pour la bonne réalisation de l’intervention à distance :
- Procédés d’authentification sur la base d’une habilitation par profils avec des droits limités ;
- Pour la télémaintenance établissement d’un rapport par ROCHE
ROCHE doit s’assurer de la mise en œuvre des dispositions techniques de sécurité suivantes:
- Absence de connexion directe du télé-mainteneur sur le Système, le SIL ou des équipements contenant des applications ou des Données à Caractère Personnel. Une connexion directe du télé-mainteneur sur les Solutions Logicielles ou des équipements contenant des applications ou des données à caractère personnel est à éviter.
- Dans la mesure du possible, un point (ou passerelle ou VPN sécurisé et dédié) d’accès distant est mis en place pour accéder aux équipements objets de l’intervention à distance :
- Connexion des équipements à ce point d’accès par un réseau d’administration mis en œuvre soit via un réseau sécurisé dédié physiquement à la télémaintenance du Système ou physiquement distinct du reste de la Solution Informatique, soit via une DMZ ou tout autre mécanisme permettant une isolation logique de ce flux d’administration. Cette isolation logique est réalisée au moyen d’un réseau dédié derrière un firewall ;
- Protection du point d’accès distant contre les attaques logiques en provenance des réseaux, de sorte que son contournement en vue d’accéder au réseau du SIL ou de la Solution Informatique ne doit pas être possible dans la pratique ;
- Protection des échanges entre la plateforme d’intervention et le point d’accès distant par des fonctions de chiffrement et d’authentification mutuelle. Ces fonctions sont conformes à l’état de l’art.
- Si le point d’accès distant n’est pas la solution adoptée :
- Protection des échanges de bout en bout par des fonctions de chiffrements et d’authentification mutuelle, ces fonctions étant de préférence conformes à l’état de l’art ;
- Mise en place d’un dispositif de filtrage autorisant uniquement les flux nécessaires à l’intervention à distance.
- Dans la mesure du possible, un point (ou passerelle ou VPN sécurisé et dédié) d’accès distant est mis en place pour accéder aux équipements objets de l’intervention à distance :
- Mise en place d’un espace de stockage dans lequel les traces des accès et des opérations effectuées à distance sont centralisées et conservées sous contrôle, en vue d’être exploitées en cas de litige ou d’incident, étant précisé que les fichiers de traces ne doivent pas être modifiables.
1.2.4 Mesures spécifiques de sécurité dans le cadre d’intervention sur le site du CLIENT
Dans le cadre de l’intervention sur le site du CLIENT, ROCHE s’engage à respecter les mesures de sécurité raisonnablement demandées par le CLIENT telles que :
- Planification des interventions sur rendez-vous confirmé par le CLIENT, permettant de déterminer les autorisations d’accès dans les périodes convenues;
- Identification de la personne intervenant sur le site du CLIENT ; ● Procédé d’émargement ;
- Respect des dispositions sur la sécurité des Données à Caractère Personnel et des Traitements à définir au préalable (exemple : sauvegarde préalable à toute intervention, arrêt de la production, isolement du Système, possibilité de retour arrière en cas d’échec de l’intervention, possibilité de contrôler les opérations effectuées, etc.) ;
- Traçabilité des opérations réalisées sur le Système ou sur la Solution au plus près des patients ;
- Etablissement d’un rapport transmis au CLIENT par ROCHE, dans les meilleurs délais, à la personne désignée comme point de contact, par tout moyen approprié ;
- Intervention sous la responsabilité d’un membre du personnel du CLIENT.
1.2.5 Mesures spécifiques de sécurité dans le cadre d’intervention sur le site de ROCHE pour les Prestations liées aux Systèmes
Dans le cadre d’une intervention sur un Système ayant été rapatrié sur le site de ROCHE, ROCHE s’engage à respecter les mesures de sécurité qui seraient raisonnablement demandées par le CLIENT telles que :
- Planification du retrait du Système chez le CLIENT et, le cas échéant, de son retour, sur rendez-vous confirmé par le CLIENT, permettant de déterminer les autorisations d’accès dans les périodes convenues ;
- Identification de la personne intervenant sur le site du CLIENT pour le transport du Système;
- Procédé d’émargement ;
- Vérification qu’une sauvegarde préalable de la base de données du Système a été effectuée par le CLIENT avant l’intervention ;
- Vérification que le CLIENT a pseudonymisé et chiffré les Données à Caractère Personnel présentes dans les bases de données du Système avant le transport du Système hors de son site ;
- Traçabilité du Système pendant le transport jusqu’au site de ROCHE ;
- Établissement d’un rapport transmis au CLIENT par ROCHE, dans les meilleurs délais, à la personne désignée comme point de contact, par tout moyen approprié.
Dans le cadre d’un transfert du Système pour un problème mécanique :
- Vérification de la suppression de la base de données du Système par le CLIENT ;
- Si le CLIENT n’a pas pu supprimer la base de données, vérification que le CLIENT a pseudonymisé et chiffré les Données à Caractère Personnel présentes dans les bases de données du Système.
1.2.6. Mesures spécifiques de sécurité dans le cadre de la fourniture de Solutions Logicielles
Les Mesures Techniques et Organisationnelles nécessaires applicables à une Solution Logicielle varient en fonction de la Solution Logicielle objet du Contrat. Elles feront l’objet d’une documentation spécifique. Dans l’hypothèse où le CLIENT exige des modifications aux Mesures Techniques et Organisationnelles d’une Solution Logicielle spécifique, celles-ci seront mises en œuvre d’un commun accord.
1.3 Obligations en cas de violation de données
ROCHE s'engage à notifier au CLIENT, dans les meilleurs délais et, au plus tard, dans un délai maximum de 48 heures après en avoir pris connaissance, toute violation de Donnée à Caractère Personnel.
Cette notification doit être adressée au délégué à la protection de données ou à la personne du CLIENT désignée comme point de contact. Elle doit préciser la nature et les conséquences de la violation des Données à Caractère Personnel, les mesures déjà prises ou celles qui sont proposées pour y remédier et les personnes auprès desquelles des informations supplémentaires peuvent être obtenues, les coordonnées du délégué à la protection des Données à Caractère Personnel ou d’un autre point de contact de ROCHE auprès duquel des informations supplémentaires peuvent être obtenues et lorsque cela est possible, une estimation du nombre de personnes susceptibles d’être impactées par la violation en cause ainsi que les catégories et le nombre approximatif d’enregistrement de données concernés.
Lors d’une violation de Donnée à Caractère Personnel, ROCHE s’engage à procéder à toutes investigations utiles sur les manquements aux règles de protection afin d’y remédier dès que possible et de diminuer l’impact de tels manquements sur les personnes concernées. ROCHE s’engage à informer le CLIENT de ses investigations et ce de manière régulière.
ROCHE s’engage à collaborer activement avec le CLIENT pour qu’ils soient en mesure de répondre à leurs obligations réglementaires et contractuelles. Il revient uniquement au CLIENT, de notifier cette violation de Données à Caractère Personnel à la CNIL ainsi que, le cas échéant, à la personne concernée et/ou à l’Agence Régionale de Santé par le biais du portail concernant le signalement des évènements sanitaires indésirables figurant à l’adresse : http://signalement.social-sante.gouv.fr.
1.4 Obligations en cas sous-traitance du traitement de données
Le CLIENT autorise ROCHE à sous-traiter, au sens de la Réglementation relative à la protection des données personnelles, tout ou partie des Prestations sous réserve de respecter les conditions suivantes :
- Informer le CLIENT de tout ajout ou remplacement de sous traitant ultérieur dans un délai d’un mois permettant au CLIENT, le cas échéant, de s’y opposer ;
- Fournir, à première demande du CLIENT, une liste exhaustive des sous-traitants ultérieurs prenant part aux Traitements de Données à Caractère Personnel envisagés dans le cadre des Prestations ;
- Informer et signer avec des sous-traitants ultérieurs un contrat écrit leur imposant les mêmes obligations en matière de protection des Données à Caractère Personnel que celles fixées dans la présente Annexe ;
- Mettre à la charge des sous-traitants ultérieurs toutes obligations nécessaires pour que soient respectées la confidentialité, la sécurité et l’intégrité des Données à Caractère Personnel, et pour que lesdites Données ne puissent être ni cédées ou louées à un tiers à titre gratuit ou non, ni utilisées à d’autres fins que celles définies dans la présente Annexe et au Contrat ;
- Communiquer au CLIENT qui en ferait la demande une description des éléments essentiels du contrat de sous-traitance, incluant la mise en œuvre des obligations relatives à la protection des Données à Caractère Personnel ;
Les Données à Caractère Personnel traitées en exécution des Prestations ne pourront faire l’objet d’aucune divulgation à des tiers, en dehors des cas prévus dans la présente Annexe ou de ceux prévus par une disposition légale ou réglementaire.
Il appartient à ROCHE de s’assurer que les sous-traitants ultérieurs présentent les mêmes garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du RGPD.
Lorsqu’un sous-traitant ultérieur ne remplit pas ses obligations en matière de protection des données, ROCHE demeure pleinement responsable devant le CLIENT de l'exécution par le sous-traitant de ses obligations.
Toute sous-traitance supplémentaire par le sous-traitant ultérieur de ROCHE requiert l’accord exprès de cette dernière (au minimum sous forme écrite). Toutes les stipulations contractuelles de la chaîne contractuelle devront être communiquées et convenues avec chacun des sous-traitants ultérieurs supplémentaires.
1.5 Obligations en cas de flux transfrontières de données
L’accès aux Données à Caractère Personnel est strictement limité au personnel dûment habilité de ROCHE ou du Groupe Roche lorsque cela s’avère nécessaire. Ces personnes sont celles qui, de par leurs fonctions, sont légitimes à accéder à ces Données à Caractère Personnel.
Ces destinataires peuvent le cas échéant être situés en dehors de l’Union Européenne. Il peut s’agir :
- D’une filiale du Groupe Roche ayant signé un contrat de transfert de Données à Caractère Personnel au sein du Groupe Roche garantissant à ROCHE, que cette filiale respecte la Réglementation relative à la protection des données personnelles et les obligations de ROCHE prises en la matière ;
- De la maison mère du Groupe Roche, F. Hoffmann-La Roche, située en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat à celui de l’Union Européenne. Ce transfert est également encadré par un contrat de transfert de Données à Caractère Personnel.
1.6 Obligations en matière de tenue du registre
ROCHE s’engage à tenir un registre de toutes les catégories d’activités de Traitement effectuées pour le compte du CLIENT, conformément aux dispositions du RGPD.
1.7 Obligations s’agissant de la conservation des données
ROCHE s’engage à ne copier ou ne conserver aucune Donnée à Caractère Personnel dans le cadre de l’exécution de ses Prestations excepté si cela est nécessaire à l’exécution desdites Prestations ou requis par une disposition légale ou réglementaire.
S’agissant des Solutions Logicielles, dans l’hypothèse où le fonctionnement d’une Solution Informatique donne lieu à un chiffrement de Données à Caractère Personnel, le CLIENT reconnaît qu’en raison du chiffrement utilisé et de l’absence de divulgation des Données à Caractère Personnel à ROCHE en découlant, cette dernière ne sera pas en mesure de sauvegarder ou de restaurer des ensembles de données individuelles mais uniquement la base de données dans son intégralité (par exemple, sous forme d’instantané). Il incombe alors au CLIENT de d’assurer ces opérations de sauvegardes / restauration de manière individualisée.
1.8 Obligations en matière de vérification
A la demande du CLIENT, ROCHE devra établir une attestation et/ou la preuve par tous moyens du respect des règles prévues par la présente Annexe.
Le CLIENT se réserve le droit de procéder à toutes vérifications qui lui paraissent utiles pour constater le respect des obligations précitées, et notamment en procédant à un audit de sécurité auprès de ROCHE ou directement auprès d’un éventuel sous-traitant ultérieur.
ROCHE s’engage à répondre aux demandes d’audit du CLIENT effectuées par lui même ou par un tiers de confiance que le CLIENT aura sélectionné, reconnu en tant qu’auditeur indépendant, c'est-à-dire indépendant de ROCHE, ayant une qualification adéquate, et libre de fournir les détails de ses remarques et conclusions d’audit au CLIENT.
Les audits doivent permettre une analyse du respect par ROCHE de ses obligations au titre de la présente Annexe, ainsi qu’au titre de la Réglementation relative à la protection des données. Ils doivent permettre notamment de s’assurer que les mesures de sécurité et de confidentialité mises en place ne peuvent être contournées sans que cela ne soit détecté et notifié.
1.9 Obligation de Coopération
ROCHE s’engage à coopérer avec le CLIENT afin de permettre :
1.9.1 La gestion des demandes des Personnes Concernées
- ROCHE s’engage à coopérer avec le CLIENT dans la gestion des demandes des personnes concernées par les Traitements tendant à l’exercice de leurs droits et notamment de leur droit d’accès, de rectification, d’effacement des données qui les concernent ou d’opposition au traitement, droit à la limitation du traitement ou droit à la portabilité, le cas échéant. A ce titre, ROCHE ne pourra, de son propre chef, rectifier, effacer ni limiter le traitement des Données à Caractère Personnel qui sont traitées pour le compte du CLIENT, mais uniquement sur instructions documentées de ce dernier. Dans la mesure où une Personne Concernée contacte directement ROCHE au sujet d’une rectification, d’un effacement ou d’une limitation du traitement, ROCHE transmettra la demande de la Personne Concernée au CLIENT sans retard indu.
- Dans le cadre de la fourniture d’une Solution Logicielle et de Services associés et, dans la mesure où cela relève du champ d’application desdits Services, la politique d’effacement, le « droit à l’oubli », la rectification, la portabilité des Données à Caractère Personnel et l’accès auxdites Données seront assurés par ROCHE selon les instructions du CLIENT documentées au préalable.
- Dans l’hypothèse où la fourniture d’une Solution Logicielle et/ou de Services associés implique un chiffrement des Données à Caractère Personnel, le CLIENT prend note du fait que ROCHE ne sera pas en mesure de rendre portables, de rectifier, d’effacer ou de limiter le Traitement de quelconques Données à Caractère Personnel en raison de leur chiffrement complet et du contrôle exclusif du CLIENT sur les clés de déchiffrement. Par conséquent, le CLIENT devra dûment et rapidement soutenir ROCHE dans la mise en œuvre de toute demande de cette nature, et devra soit indemniser ROCHE au titre de ses efforts, soit satisfaire directement les demandes d’accès aux droits des personnes par le biais de l’interface locale non chiffrée auquel il a accès dans le cadre de l’utilisation de la Solution Informatique et/ou des Services associés.
1.9.2. La réalisation des analyses d’impact
ROCHE s’engage à coopérer avec le CLIENT dans la réalisation de toute analyse d’impact que le CLIENT déciderait d’effectuer, afin d’évaluer les risques qu’un Traitement fait peser sur les droits et libertés des personnes et d’identifier les mesures à mettre en œuvre pour faire face à ces risques, et la consultation de la CNIL ;
1.9.3. La réalisation de contrôles des autorités compétentes
En cas de contrôle d’une autorité compétente, les Parties s’engagent à coopérer entre elles et avec l’autorité de contrôle.
Dans le cas où le contrôle mené chez ROCHE concernerait les Traitements mis en œuvre au nom et pour le compte du CLIENT, ROCHE s’engage à en informer immédiatement le CLIENT.
En cas de contrôle d’une autorité compétente chez le CLIENT portant notamment sur les Prestations délivrées par ROCHE, cette dernière s’engage à coopérer avec le CLIENT et à lui fournir toute information dont cette dernière pourrait avoir besoin ou qui s’avèrerait nécessaire.
Plus généralement, ROCHE s’engage à coopérer avec le CLIENT afin assurer le respect des obligations pesant sur le CLIENT au regard de la Réglementation sur la protection des données, telles que notamment ses obligations de notification à la CNIL et de communication d’une violation de Données à Caractère Personnel aux Personnes Concernées.
2. Obligations du Client
2.1 Obligations générales
Le CLIENT garantit à ROCHE le respect des obligations légales et réglementaires lui incombant en qualité de Responsable de Traitement au regard notamment de la Réglementation relative à la protection des Données à Caractère Personnel ainsi que le respect de ses obligations au titre de la présente Annexe.
A toutes fins utiles, il est rappelé que, pour tout traitement effectué pour le compte du Responsable de Traitement, le Responsable de Traitement s’engage à documenter ses instructions relatives aux Données à Caractère Personnel et à confirmer ses instructions verbales (au minimum sous forme écrite).
ROCHE devra immédiatement informer le CLIENT si elle considère qu’une instruction enfreint les règles relatives à la protection des Données à Caractère Personnel. ROCHE sera alors en droit de suspendre l’exécution des instructions concernées jusqu’à ce que le CLIENT les confirme ou les modifie.
Le Responsable de Traitement garantit à ROCHE qu’il a le droit de communiquer les Données à Caractère Personnel à ROCHE et aux autres sous-traitants ultérieurs, notamment en ayant procédé à l’information préalable et/ou au recueil du consentement des Personnes Concernées et de toute autre permission pouvant s’avérer nécessaire ou être exigée par la Réglementation relative à la protection des données personnelles eu égard aux Données à Caractère Personnel traitées par ROCHE et ses sous-traitants ultérieurs dans le cadre des Prestations..
Par ailleurs le Responsable de Traitement s’engage à ne transmettre des Données à Caractère Personnel à ROCHE que si cela est strictement nécessaire à l’exécution des Prestations de ROCHE.
Également, dans les cas où il y a un transfert de Données à Caractère Personnel vers un pays tiers ne possédant pas un niveau de protection adéquat, le Responsable de Traitements’engage à ce que les personnes concernées aient été informées de ce transfert.
Enfin, le CLIENT s’engage à informer ROCHE dans les plus brefs délais en cas de survenance d’un incident de sécurité sur son réseau pouvant impacter les Solutions Logicielles, Systèmes et/ou Solutions au plus des patients de ROCHE.
2.2 Obligations s’agissant des mesures spécifiques de sécurité dans le cadre d’intervention à distance
Le CLIENT doit indiquer à ROCHE les modalités pratiques pour la bonne réalisation des interventions à distance telles que :
- Procédés d’authentification sur la base d’une habilitation par profils avec des droits limités ;
- Respect de la liste actualisée et le numéro de téléphone des personnes agissant pour le compte du CLIENT pouvant solliciter une intervention à distance et vérification de la validité des demandes d’intervention ;
- Pour la Télémaintenance, établissement d’un rapport par ROCHE.
2.3 Obligations de sécurité en vue d’une intervention sur un Système sur le site de ROCHE
Dans le cadre d’une intervention sur un Système ayant été rapatrié sur le site de ROCHE, le CLIENT doit indiquer à ROCHE les mesures de sécurité préalables nécessaires.
2.4 Obligations dans le cadre de la fin de vie du Système
En vue d’une reprise, de mise au rebut ou de destruction du Système, le CLIENT doit supprimer toutes les Données à Caractère Personnel présentes dans les Systèmes avant toute désinstallation effectuée par ROCHE et procéder aux sauvegardes nécessaires pour respecter ses obligations légales de conservation. C’est seulement dans les cas où le CLIENT n’est pas en mesure de supprimer les Données à Caractère Personnel pour des raisons techniques qu’il doit en faire la demande à ROCHE. C’est donc dans cette unique situation que ROCHE pourrait être amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la fin de vie d’un Système et cette prestation fera l’objet d’un contrat spécifique.
En cas de destruction d’appareils ou d’équipements contenant des Données à Caractère Personnel, le CLIENT s’engage à respecter les règles de l’art et la Politique Générale de Sécurité des Systèmes d’information de Santé, en particulier, le guide pratique spécifique à la destruction de données lors du transfert de matériels informatiques des systèmes d’information de santé.
A ce titre, le CLIENT s’engage à respecter les règles procédure de destruction suivantes:
- Distinguer les interventions en fonction du type de matériel considéré, à savoir :
- Pour les disques durs et supports flash :
- Réaliser un formatage complet sur la totalité de la ou les partitions du support considéré. L’utilisation d’une fonction d’effacement fournie par le constructeur, lorsqu’elle est disponible, est recommandée ; ou
- Procéder à la démagnétisation des disques durs magnétiques, ou à leur destruction physique (broyage, incinération, etc.) ou à la destruction physique des supports flash par broyage ou incinération.
- Pour les bandes magnétiques, procéder à l’effacement par démagnétisation ou à la destruction par déchiquetage ou incinération ;
- Pour les autres matériels, procéder à la destruction de l’appareil conformément aux règles de l’art et aux règles de la Politique Générale de Sécurité des Systèmes d’Information de Santé.
- Pour les disques durs et supports flash :
- Formaliser des procédures de destruction de données lors du transfert de matériel comprenant notamment :
- Dans le cas de stockage de matériel en attente de traitement, la procédure de protection du lieu de stockage ;
- La procédure de gestion du cycle de vie des supports de Données à Caractère Personnel pour y intégrer leur destruction et la possibilité de désosser un matériel ;
- La gestion des supports de données qui peuvent être contenus dans les matériels.
- Avant tout effacement ou destruction, contrôler que les supports ne contiennent aucune donnée utile ou non sauvegardée et, à défaut, procéder à la sauvegarde ;
- Vérifier que le support ne contient plus de Données à Caractère Personnel.
2.5 Obligations dans le cadre d’une désinstallation d’une Solution Logicielle
Le CLIENT doit supprimer toutes les Données à Caractère Personnel présentes dans la ou les Solutions Logicielles avant toute désinstallation effectuée par ROCHE en vue d’une reprise ou d’une destruction de la ou des Solutions Logicielles et procéder aux sauvegardes nécessaires pour respecter ses obligations légales de conservation. C’est seulement dans les cas où le CLIENT ne peut supprimer les Données à Caractère Personnel pour des raisons techniques qu’il peut en faire la demande à ROCHE. C’est dans ce dernier cas que ROCHE peut être amenée à traiter les Données à Caractère Personnel pour le compte du CLIENT dans le cadre de la fin de vie de la Solution Logicielle. Dans ce cas, un contrat spécifique de prestation de service sera conclu entre les Parties.