Conseil en gouvernance des données, PSSI (politique de sécurité des systèmes d'information) et choix d'hébergement (DPIA / PIA)
Des décisions de gouvernance et d'hébergement argumentées, portées par la direction et lisibles par le DPO (Data Protection Officer, délégué à la protection des données) et le RSSI (responsable de la sécurité des systèmes d'information).
En bref
- Résultat
- Des décisions de gouvernance et d'hébergement argumentées, portées par la direction et lisibles par le DPO et le RSSI.
- Idéal pour
- Directeur général d'association gestionnaire, directeur des systèmes d'information ou DPO qui structure ou renouvelle son dispositif.
- Ce que vous obtenez
- Note de recommandations avec scénarios de gouvernance comparés, critères de choix d'un hébergeur et feuille de route sur douze mois.
- Prérequis de votre côté
- Description des traitements et des outils en place, contrats existants avec les éditeurs et hébergeurs, organigramme des fonctions concernées, entretiens avec la direction.
- Durée et charge
- 4 à 10 jours
- Format
- Forfait
Exemple de situation
Choisir un hébergeur pour le dossier usager. Une association change d'éditeur de dossier usager informatisé et doit choisir l'hébergement. Sur le thème DPIA (Data Protection Impact Assessment, analyse d'impact relative à la protection des données) / PIA, la mission établit les critères, rédige le questionnaire à l'hébergeur et compare trois offres. La direction retient celle qui répond à ses exigences, après avis du DPO.
Le conseil porte sur des décisions concrètes : qui pilote la protection des données et la sécurité (direction, DPO, RSSI, référents), quelle politique de sécurité du système d'information adopter, comment choisir un hébergeur de données de santé et quelles questions lui poser, comment encadrer ses sous-traitants, comment organiser le partage d'informations entre professionnels dans le respect du secret. Nous instruisons ces questions sur le thème DPIA / PIA à partir de vos contraintes réelles : taille, financements, outils déjà déployés.
La note compare des scénarios, chiffre les efforts et propose une trajectoire. Elle s'appuie sur les textes, les référentiels de la CNIL (Commission nationale de l'informatique et des libertés) et de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) et les travaux de l'Agence du numérique en santé, sans promettre qu'un choix vaudra certification. L'hébergeur retenu doit détenir lui-même la certification applicable, et nous ne la délivrons pas. La note est rédigée pour que les cadres et équipes de direction puissent l'utiliser, avec pour objectif de structurer vos pratiques sur ce thème.
Déroulé de la prestation
Cadrage
Nous reformulons la question à instruire, identifions les décideurs et les contraintes réglementaires et contractuelles, et fixons le calendrier.
Diagnostic
Entretiens, lecture documentaire et analyse des données disponibles sur le thème DPIA / PIA pour établir une base factuelle partagée.
Scénarios
Nous construisons deux à quatre scénarios comparés sur les coûts, les risques, les délais et l'acceptabilité par votre gouvernance et par vos financeurs.
Recommandation
La note argumente une trajectoire, avec ses étapes, ses responsables et ses points de contrôle, prête pour un comité de direction.
Appui à la décision
Nous présentons la note en instance et pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Livrables, format et conditions
Au terme de la prestation, vous disposez des éléments suivants, rédigés pour être présentés à votre direction, à votre gouvernance, à votre financeur ou à l'autorité de contrôle.
- Note de recommandations avec scénarios de gouvernance et d'hébergement comparés
- Critères de choix et questionnaire à adresser aux hébergeurs et aux éditeurs
- Feuille de route sur douze mois avec responsables et jalons
Format et charge : forfait, 4 à 10 jours. Idéal pour : directeur général d'association gestionnaire, directeur des systèmes d'information ou DPO qui structure ou renouvelle son dispositif. Prérequis de votre côté : description des traitements et des outils en place, contrats existants avec les éditeurs et hébergeurs, organigramme des fonctions concernées, entretiens avec la direction.
Exemples d'usage
Deux situations d'exemple dans lesquelles cette prestation a du sens. Ce sont des exemples construits à partir de situations courantes du secteur, pas des références clients ; les chiffres sont indicatifs et dépendent du site et du périmètre.
Choisir un hébergeur pour le dossier usager
Une association change d'éditeur de dossier usager informatisé et doit choisir l'hébergement. Sur le thème DPIA / PIA, la mission établit les critères, rédige le questionnaire à l'hébergeur et compare trois offres. La direction retient celle qui répond à ses exigences, après avis du DPO.
Clarifier les rôles du DPO et du RSSI
Dans un conseil départemental, la direction des solidarités et la direction du numérique se renvoient la sécurité des échanges sur le thème DPIA / PIA. La note propose une répartition écrite des rôles, un comité de pilotage et un calendrier de revue, adoptés par la direction générale.
Questions fréquentes sur cette prestation
Comment se déroule une mission de conseil et que livrez-vous ?
La mission commence par un cadrage d'une à deux semaines, puis un diagnostic, la construction de scénarios comparés et une note de recommandations présentée en instance. La charge indicative est de 4 à 10 jours, format forfait. Le livrable sur le thème DPIA / PIA est rédigé pour être lu par votre direction, votre gouvernance et vos financeurs sans réinterprétation : chaque recommandation cite les exigences applicables, estime les coûts et les délais et désigne un responsable. Nous pouvons revenir à intervalles réguliers pendant la mise en œuvre, avec un livrable convenu à chaque échéance.
Quelle différence avec une formation sur ce thème ?
La formation donne à vos équipes les connaissances pour agir ; le conseil instruit une décision que vous devez prendre. Sur le thème DPIA / PIA, la mission de conseil part de votre situation réelle, compare des options et recommande une trajectoire, là où la formation apporte des méthodes générales appliquées à vos cas. Le conseil éclaire la décision, sans la prendre à votre place ni engager votre responsabilité réglementaire. Lorsque la décision prise entraîne une évolution des pratiques, nous associons les deux dans un même plan, avec le même interlocuteur.
Intervenez-vous sur les données réelles des personnes accompagnées ?
Seulement lorsque la prestation l'exige, et jamais sans cadre. Toute intervention touchant des données réelles de personnes accompagnées est précédée d'un contrat de sous-traitance au titre de l'article 28 du RGPD (règlement général sur la protection des données), d'un cadrage des accès (comptes nominatifs, périmètre minimal, journalisation) et d'une vérification que l'hébergeur de ces données est certifié lorsque son activité entre dans le champ de l'article L. 1111-8 du code de la santé publique. Sur le thème DPIA / PIA, une grande partie du travail se fait sur documents, schémas et environnements de test avec des données fictives. Le devis précise ce qui se déroule sur vos données réelles, le cas échéant.
Demander un devis
Indiquez l'établissement, les équipes concernées et l'échéance : nous revenons vers vous sous 48 h ouvrées avec un cadrage et un devis.
Les autres déclinaisons de conseil sur le thème DPIA / PIA
- Cadrage de méthode et de périmètre (DPIA / PIA)
- Assistance à la rédaction d'un cahier des charges (DPIA / PIA)
Les autres types de prestation sur le thème DPIA / PIA
- Audit RGPD et de sécurité du système d'information (DPIA / PIA)
- Rédaction de registres, analyses d'impact, PSSI et plans de continuité (DPIA / PIA)
- Déploiement de solutions d'identité, de sauvegarde et de sensibilisation (DPIA / PIA)
- Audit blanc ISO 27001 et évaluation de maturité cyber (DPIA / PIA)
- Formation DPIA / PIA
