Le cadre européen de la cybersécurité n’en finit pas de s’en renforcer. Après le RGPD pour les données à caractère personnelles, la directive NIS pour les services dans le nuage, le règlement relatif aux dispositifs médicaux intégrant la sécurité dans les exigences essentielles, voici le règlement relatif à l’ENISA, l’Agence de l’Union européenne pour la cybersécurité, et à la certification de cybersécurité des technologies de …
En savoir plus
De plus en plus de sites Internet, et même certaines applications mobiles, commencent à afficher aux internautes des bandeaux d’information sur les cookies et autres traceurs qu’ils souhaitent installer sur leur terminal. La législation actuelle, comme l’a rappelé la CNIL dans ses lignes directrices n° 2019-093 du 4 juillet 2019 relatives notamment aux cookies et autres traceurs, impose en principe une information préalable de l’internaute …
En savoir plus
La certification « Hébergement de données de santé » vient de fêter sa première année et déjà, les pouvoirs publics annoncent vouloir la réformer. A l’occasion du 7èmeCongrès National de la Sécurité des Systèmes d’Information de Santé (CNSSIS), un représentant de l’Agence des systèmes d’information partagés de santé (ASIP Santé) aurait annoncé, selon Tic Santé, qu’était en cours de révision la liste des activités susceptibles de donner …
En savoir plus
Dans mon précédent billet, je pointais du doigt la tendance à l’alignement des nouvelles réglementations européennes relatives à l’encadrement des sous-traitants avec la norme ISO27001. L’examen des textes les plus récents montre que d’autres normes sont prises en considération. Le futur référentiel relatif à la certification Hébergeur de données de santé vise ainsi, en plus de la 27001, les normes : ISO27018 qui définit un Code …
En savoir plus
Recourir à un sous-traitant – par hypothèse, spécialisé dans le domaine d’activité sur lequel il opère – permet à la fois de réaliser des économies d’échelle et de partager un risque. En théorie, tout du moins. Dans la pratique, ce que l’on peut parfois constater, ce sont des entreprises qui cherchent autant à réduire leurs charges qu’à transférer une problématique à un tiers, ce sont …
En savoir plus
Les entreprises du secteur des dispositifs médicaux sont en pleine effervescence en raison de la publication de ces règlements européens : Règlement 2017/745 relatif aux dispositifs médicaux, modifiant la directive 2001/83/CE, le règlement (CE) n°178/2002 ; Règlement 2017/746 relatif aux dispositifs médicaux de diagnostic in vitro et abrogeant la directive 98/79/CE et la décision 2010/227/UE. Un vrai séisme juridique ! Ces deux textes modifient en profondeur …
En savoir plus
À la Une du numéro 429 de la revue Expertises, un article de Pierre Desmarais intitulé « Darknet, zone de non-droit ? ». La question mérite en effet d’être posée alors que la France occupe la 6ème place du classement des pays comptabilisant le nombre le plus important de connexion au réseau Tor, un « darknet » comptabilisant à ce jour plus de 50 000 services et …
En savoir plus
Engager une démarche opendata est une obligation A l’instar des directives Public Sector Information, la loi pour une République Numérique tend à favoriser l’apparition d’un véritable marché de la donnée, en imposant aux administrations comptant plus de 50 « équivalents temps plein » (ETP) et aux collectivités de plus de de 3 500 habitants, de s’engager dans une démarche d’ouverture des « données publiques ». Concilier Opendata et RGPD …
En savoir plus
La généralisation du consentement, innovation majeure du RGPD ? La place accordée au consentement est décrite comme l’une des innovations majeures du RGPD. Rien n’est moins vrai. Son recueil était déjà une règle cardinale dans la loi de 1978 et dans la directive de 1995. L’une des vraies nouveautés du RGPD, ce serait plutôt que ne pas le recueillir expose en principe le responsable de …
En savoir plus
Dans mon précédent post, était évoquée la question de la responsabilité pénale d’un directeur des systèmes d’information (DSI) d’un Centre Hospitalier, du fait de l’externalisation d’un traitement de données illicite. Il avait été acquitté, la preuve ayant été rapportée de ce qu’il n’avait pas connaissance de cette externalisation. Se pose alors la question suivante : quand la responsabilité pénale d’un DSI peut-elle être engagée ? Passons …
En savoir plus