Protección de datos
Alojamiento HDS: las preguntas que hay que hacer.
Checklist de preguntas que hacer antes de elegir un editor: HDS, localización, subencargados, DPA, registros, retención y AIPD.
Equipo Aude Contenido actualizado el
Antes de desplegar una herramienta que maneje datos de salud, haga estas preguntas (DPO/RSSI).
- ¿Dónde se alojan los datos (país/región)?
- HDS: ¿qué alcance, qué pruebas?
- ¿Lista de subencargados (finalidades, localización)?
- DPA: ¿se proporciona? ¿cláusulas clave?
- ¿Registros: accesos/exportaciones/modificaciones?
- ¿Retención: plazos + depuración?
- ¿Procedimiento de incidente: plazos + contacto?
Aude: ver Centro de confianza (pack).
La certificación debe estar vinculada al servicio realmente utilizado
La mención de un proveedor certificado no basta para describir el alcance completo de una solución. Pregunte qué servicios alojan los datos, quién los administra, dónde se encuentran las copias de seguridad y qué entidades intervienen. El contrato debe permitir vincular las actividades cubiertas con el certificado aplicable.
Preguntas sobre el alcance
- ¿Qué entidad es titular del certificado y qué actividades están cubiertas?
- ¿Qué regiones, copias de seguridad, registros y entornos están afectados?
- ¿Se realizan accesos remotos u operaciones de soporte desde otro país?
- ¿Qué subencargados pueden acceder a los datos o a la infraestructura?
Preguntas sobre la explotación
- ¿Cómo se gestionan las cuentas de administrador y las revisiones de acceso?
- ¿Qué plazos se aplican a los datos, las copias de seguridad y los registros?
- ¿Qué plazos y canales están previstos en caso de incidente o de solicitud de ejercicio de derechos?
- ¿Cómo recuperar los datos y verificar su supresión al final del contrato?
Documentos que solicitar antes de la decisión
- Certificado en vigor y alcance detallado.
- Lista de servicios y subencargados pertinentes.
- Cláusulas contractuales sobre localización, accesos y transferencias.
- Medidas de seguridad aplicables al despliegue.
- Procedimiento de reversibilidad, de incidente y de supresión.
El marco de referencia y la información actualizada son publicados por la Agence du Numérique en Santé. Utilice esta fuente para verificar el marco vigente y la lista de los elementos esperados.
Revisar el expediente durante la relación con el proveedor
La verificación no termina con la firma. Anote la fecha de validez de los certificados, los cambios de subencargados y las modificaciones importantes de arquitectura o de localización. El contrato debe prever la información al cliente, la gestión de incidentes, la restitución de los datos y el fin del servicio. Una revisión periódica que reúna al área de negocio, DPO, RSSI y compras permite confirmar que el alcance efectivamente utilizado sigue siendo coherente con los documentos examinados.
Pasar a la práctica
Descubra el recorrido en Aude.
Un intercambio de 15 minutos para ver cómo funciona y plantear sus preguntas.