Politique et procédure - Cycle de vie des renseignements personnels

1. Objet

La présente politique et procédure encadre les renseignements personnels traités par Pivot DME pendant tout leur cycle de vie :

• collecte;
• conservation;
• communication;
• destruction ou anonymisation.

Elle vise à démontrer que l'organisation identifie clairement :

• quels renseignements sont recueillis;
• pourquoi ils le sont;
• auprès de qui;
• sur quelle base légitime;
• où ils sont conservés;
• pendant combien de temps;
• à qui ils peuvent être communiqués;
• comment ils sont détruits ou anonymisés;
• comment les décisions correspondantes sont tracées.

2. Critères TGV principalement couverts

Cette politique soutient notamment les critères PRPS suivants :

• P02 et P03 : gouvernance, responsabilité et analyse des risques PRP;
• P06 : information, consentement, choix et communication;
• P08 : limitation de la collecte et minimisation;
• P09 : limitation de l'utilisation, contrôle des accès et journalisation;
• P10 et P11 : finalités, provenance, utilisation, exactitude et conservation;
• P14 et P15 : inventaire, conservation, destruction et archivage;
• P17 : sécurité des renseignements personnels.

3. Principes directeurs

Les principes suivants s'appliquent à toute activité touchant des renseignements personnels :

1. Nécessité : seuls les renseignements requis pour une finalité autorisée sont traités.
2. Finalité déterminée : chaque catégorie de renseignements est rattachée à un usage documenté.
3. Minimisation : les formulaires, exports, captures, journaux et communications limitent les renseignements au strict nécessaire.
4. Besoin de connaître : les accès sont limités selon les rôles, responsabilités et privilèges autorisés.
5. Traçabilité : les actions sensibles, communications, exports et destructions sont consignés lorsque le système ou le processus le prévoit.
6. Conservation limitée : les renseignements sont conservés pendant la durée justifiée par leur finalité et les obligations applicables.
7. Décision humaine de destruction : l'atteinte d'une durée de conservation permet d'identifier un dossier à réviser; elle ne constitue pas automatiquement une décision de destruction.
8. Destruction contrôlée : toute destruction ou anonymisation applicable est autorisée, documentée et exécutée selon le mécanisme prévu.
9. Préservation obligatoire : un legal hold ou une autre obligation de conservation prévaut sur le processus normal de destruction.

4. Rôles et responsabilités

Responsable de la protection des renseignements personnels

Le responsable PRP :

• approuve les catégories de renseignements collectés et leurs finalités;
• valide les règles de conservation, destruction et communication;
• supervise les demandes d'accès, de correction, de retrait, de désindexation ou de portabilité;
• approuve les communications non routinières ou sensibles;
• supervise les incidents de confidentialité;
• participe aux décisions de conservation ou de destruction lorsque requis;
• supervise les situations nécessitant un legal hold;
• maintient ou fait maintenir les registres de preuve requis.

Direction

La direction :

• approuve les politiques PRP;
• attribue les responsabilités;
• s'assure que les ressources nécessaires sont disponibles;
• autorise les exceptions documentées lorsque requises.

Administrateurs Pivot DME

Les administrateurs :

• configurent les accès selon les rôles approuvés;
• appliquent les restrictions et mesures de sécurité applicables;
• produisent les journaux, exports ou captures demandés uniquement avec minimisation;
• soutiennent les procédures de conservation, retrait, destruction et preuve;
• n'utilisent pas les mécanismes techniques de conservation comme substitut à une décision humaine lorsque celle-ci est requise.

Utilisateurs autorisés

Les utilisateurs :

• collectent uniquement les renseignements nécessaires à leur intervention;
• vérifient la finalité et la provenance lorsque requis;
• n'utilisent ni ne communiquent les renseignements hors du cadre autorisé;
• signalent toute erreur, collecte excessive, communication non autorisée ou incident;
• appliquent les décisions de conservation ou de destruction uniquement dans la portée de leurs autorisations.

Fournisseurs et tiers

Les fournisseurs et tiers :

• interviennent seulement dans la portée approuvée;
• respectent les ententes de confidentialité, de sécurité et de minimisation;
• ne conservent pas de copie au-delà de la finalité autorisée;
• collaborent à la destruction, au retrait, à l'audit ou à l'enquête lorsqu'exigé.

5. Politique de collecte

5.1 Catégories de renseignements pouvant être collectés

Selon le contexte clinique, administratif ou technique, Pivot DME peut traiter :

• renseignements d'identification : nom, prénom, date de naissance, numéro de dossier, identifiants internes;
• coordonnées : téléphone, adresse, courriel ou autre moyen de communication requis;
• renseignements cliniques nécessaires : motifs de consultation, antécédents pertinents, notes, évaluations, diagnostics, traitements, suivis, documents et images cliniques;
• renseignements administratifs : rendez-vous, facturation, formulaires, consentements, correspondance et preuves de remise;
• renseignements des utilisateurs : identité professionnelle, rôle, privilèges, authentification, état de session et historique d'accès;
• renseignements techniques et de sécurité : adresse IP, agent utilisateur, horodatage, événements de connexion, journaux d'audit, traces d'erreur et traces de sécurité.

5.2 Finalités de collecte

Les renseignements sont recueillis pour les finalités suivantes :

• prestation, coordination et documentation des soins;
• création, tenue et mise à jour du dossier patient;
• gestion des rendez-vous, suivis, communications et rappels;
• facturation, administration et obligations professionnelles;
• gestion des consentements, attestations et demandes des personnes concernées;
• contrôle des accès, sécurité applicative, audit et prévention des accès non autorisés;
• sauvegarde, continuité des opérations, reprise après sinistre et preuve d'intégrité;
• obligations légales, contractuelles, professionnelles ou de certification;
• maintenance, validation, tests de sécurité et amélioration contrôlée, avec données de test ou minimisation lorsque possible.

5.3 Provenance des renseignements

Les renseignements peuvent provenir :

• de la personne concernée;
• d'un utilisateur autorisé agissant dans le cadre des soins ou des opérations;
• d'un document, formulaire, demande ou communication transmis par la personne concernée ou un représentant autorisé;
• d'un professionnel, fournisseur ou système autorisé;
• d'un journal technique ou de sécurité produit automatiquement par Pivot DME ou son infrastructure.

Lorsque la collecte ne provient pas directement de la personne concernée et que le contexte l'exige, la provenance, l'autorisation ou l'attestation de consentement doit être consignée.

5.4 Base légitime

La collecte repose sur une ou plusieurs bases légitimes :

• nécessité pour fournir les soins ou services demandés;
• obligations professionnelles, légales ou réglementaires;
• consentement ou autorisation de la personne concernée lorsque requis;
• exécution d'une entente avec l'acquéreur, la clinique, le professionnel ou le fournisseur autorisé;
• protection du système, prévention des accès non autorisés, audit et continuité des opérations;
• exigences de certification, d'assurance qualité, de sécurité ou de conformité, avec minimisation.

5.5 Procédure de collecte

1. L'utilisateur identifie la finalité de la collecte avant de saisir ou importer un renseignement.
2. Il vérifie que le renseignement est nécessaire à la finalité poursuivie.
3. Il évite de saisir des renseignements non requis dans les champs libres, notes, pièces jointes ou captures.
4. Lorsque requis, il informe la personne concernée de la finalité et consigne le consentement ou l'attestation.
5. Lorsque la provenance n'est pas directe, il consigne la source ou l'autorisation disponible.
6. En cas de doute, il demande l'avis du responsable PRP avant de collecter ou d'importer le renseignement.

6. Politique de conservation

6.1 Lieux de conservation

Les renseignements personnels peuvent être conservés dans :

• la base de données applicative Pivot DME;
• les fichiers applicatifs gérés par Pivot DME, incluant documents, formulaires, images ou exports autorisés;
• les journaux applicatifs, journaux de sécurité et journaux d'audit;
• les sauvegardes locales ou externalisées autorisées;
• les archives approuvées;
• les dossiers documentaires de conformité lorsque les preuves ont été minimisées ou anonymisées.

Les copies locales, captures, exports temporaires et dossiers de travail doivent être limités, protégés et supprimés lorsqu'ils ne sont plus requis.

6.2 Durées de conservation

Les durées sont déterminées selon :

• les obligations légales et professionnelles applicables;
• la finalité clinique ou administrative;
• les exigences de preuve, audit, certification et sécurité;
• les obligations contractuelles;
• les règles de sauvegarde et de reprise après sinistre;
• les demandes valides d'accès, correction, retrait, désindexation ou portabilité.

Pour les dossiers cliniques tenus par les médecins, la règle organisationnelle applicable prévoit une conservation minimale de dix (10) ans suivant la dernière inscription au dossier, ou pendant toute durée supérieure requise par une obligation applicable.

Pivot DME permet d'identifier les dossiers susceptibles d'avoir atteint cette période au moyen du calcul consolidé :

derniere_inscription_humaine

Cette valeur est distincte de :

dernier_rendez_vous

Les activités purement techniques, notamment :

• événements d'audit;
• sessions;
• tâches automatisées;
• sauvegardes;
• réplications;
• opérations PITR;
• migrations;
• indexations techniques;
• générations dérivées;

ne constituent pas une nouvelle inscription humaine au dossier et ne repoussent pas artificiellement la date utilisée pour la révision de conservation.

Les dossiers identifiés sont qualifiés :

à réviser pour conservation

Cette qualification ne constitue pas :

• une décision de destruction;
• une ordonnance de purge;
• une autorisation de suppression;
• une date automatique de destruction.

Elle déclenche une révision humaine.

Le processus est :

1. Pivot DME consolide les inscriptions humaines pertinentes au dossier.
2. Pivot DME détermine la derniere_inscription_humaine.
3. Pivot DME permet d'identifier les dossiers à réviser selon la règle de conservation applicable.
4. Une personne autorisée examine le dossier et son contexte.
5. Elle vérifie les obligations ou exceptions pouvant imposer une conservation supplémentaire.
6. Elle vérifie notamment l'existence d'un legal hold ou d'une autre obligation empêchant la destruction.
7. Elle décide si le dossier doit continuer d'être conservé ou si le processus autorisé de destruction peut être entrepris.
8. Toute destruction demeure soumise à la procédure distincte de destruction ou d'anonymisation.

Lorsqu'un legal hold ou une autre obligation de conservation s'applique, la destruction est suspendue.

Pour les autres catégories de renseignements, lorsqu'aucune durée spécifique n'est définie, la conservation est limitée à la période nécessaire pour atteindre la finalité documentée. Toute prolongation doit être justifiée.

6.3 Détermination de la dernière inscription humaine

La fonction derniere_inscription_humaine consolide les inscriptions métier pertinentes provenant des sources applicatives autorisées.

Selon les structures disponibles, ces inscriptions peuvent notamment comprendre des activités humaines relatives :

• aux rendez-vous inscrits;
• aux visites;
• aux notes au dossier;
• aux antécédents;
• aux évaluations;
• aux échographies;
• aux diagnostics;
• aux documents importés ou numérisés;
• aux photographies cliniques;
• aux prescriptions;
• aux protocoles opératoires;
• aux lettres et rapports;
• aux questionnaires;
• aux formulaires cliniques;
• aux consentements;
• à la facturation et aux paiements inscrits au dossier.

Une source n'est utilisée que lorsque les structures nécessaires sont disponibles et que les conditions permettant d'établir une inscription humaine pertinente sont satisfaites.

Les dates nulles, futures ou rattachées à un identifiant patient vide sont exclues du calcul.

6.4 Activités exclues du calcul

Les activités purement techniques ou dérivées ne sont pas utilisées pour repousser la date de dernière inscription humaine.

Sont notamment exclues :

• security_audit_log;
• journaux techniques et de consultation;
• sessions;
• authentification et MFA;
• sauvegardes;
• réplication;
• PITR;
• ZFS;
• surveillance;
• scheduler;
• migrations;
• indexation;
• RAG;
• OCR;
• orchestration technique des fichiers;
• notifications;
• files de SMS ou courriels;
• rappels;
• caches;
• instantanés techniques;
• générations dérivées;
• états opérationnels internes.

Cette séparation évite qu'une activité de maintenance ou d'exploitation prolonge artificiellement l'apparence d'activité clinique d'un dossier.

6.5 Liste des dossiers à réviser

Pivot DME permet à une personne autorisée de consulter les dossiers à réviser pour conservation.

Les informations disponibles comprennent notamment :

• le dossier concerné;
• dernier_rendez_vous;
• derniere_inscription_humaine;
• nature_derniere_inscription;
• ancienneté calculée;
• qualification à réviser pour conservation.

La consultation ne modifie aucune donnée du dossier.

Elle ne déclenche :

• aucune purge;
• aucune suppression;
• aucune destruction;
• aucune politique de RetentionService;
• aucune modification de Legal Hold.

6.6 Export de la liste de révision

La liste peut être exportée afin de soutenir le processus organisationnel de révision humaine.

L'export constitue une activité administrative sensible et produit une trace append-only obligatoire.

Cette trace n'est pas utilisée comme source de derniere_inscription_humaine.

L'export ne modifie donc pas artificiellement l'ancienneté du dossier qu'il permet d'examiner.

6.7 Décision humaine

La décision finale de conservation ou de destruction demeure humaine.

La personne autorisée doit notamment considérer :

• la durée applicable;
• la nature du dossier;
• les obligations professionnelles;
• les obligations légales ou réglementaires;
• les besoins administratifs ou d'audit applicables;
• les demandes ou procédures en cours;
• les incidents ou enquêtes;
• les litiges;
• les legal holds;
• toute autre raison imposant une conservation supérieure.

L'ancienneté calculée constitue un outil de repérage et non une décision automatisée.

6.8 Mesures de sécurité pendant la conservation

Les renseignements conservés sont protégés par des mesures proportionnées à leur sensibilité, notamment :

• authentification et gestion des sessions;
• contrôle d'accès par rôles et privilèges;
• validation serveur des actions sensibles;
• journalisation des accès ou actions sensibles lorsque disponible;
• restrictions réseau ou environnementales lorsque applicables;
• sauvegardes contrôlées et mesures de reprise;
• limitation des exports et des fichiers temporaires;
• minimisation des preuves et captures utilisées pour la certification;
• séparation des documents patients et des documents de conformité.

6.9 Procédure de conservation

1. Le responsable du processus identifie la catégorie de renseignement et sa finalité.
2. Il détermine la durée applicable.
3. Pour les dossiers cliniques concernés par la règle de dix ans, Pivot DME fournit la dernière inscription humaine pertinente et la liste des dossiers à réviser.
4. Une personne autorisée examine les dossiers identifiés.
5. Elle vérifie les exceptions et obligations de conservation supplémentaires.
6. Elle décide de maintenir la conservation ou d'autoriser le passage au processus de destruction.
7. Les renseignements demeurent conservés uniquement dans les emplacements autorisés.
8. Les accès demeurent limités aux personnes ayant un besoin de connaître.
9. Les exports temporaires sont protégés et retirés lorsqu'ils ne sont plus requis.
10. Les sauvegardes et archives suivent leur calendrier approuvé.

7. Politique de communication

7.1 Destinataires autorisés

Les renseignements personnels peuvent être communiqués uniquement lorsque nécessaire et autorisé, notamment à :

• la personne concernée ou son représentant autorisé;
• les professionnels ou membres du personnel participant aux soins ou opérations autorisés;
• la clinique, l'acquéreur ou l'organisation responsable du service;
• les fournisseurs autorisés, dans la portée d'une entente ou d'un mandat;
• les autorités, ordres professionnels ou organismes lorsque la loi l'exige ou le permet;
• les auditeurs, évaluateurs TGV ou testeurs de sécurité lorsque la preuve est encadrée, minimisée et approuvée.

7.2 Circonstances autorisées

Une communication est permise seulement si elle est rattachée à l'une des circonstances suivantes :

• soins, suivi clinique ou coordination de services;
• demande valide de la personne concernée;
• obligation légale, professionnelle ou réglementaire;
• consentement ou autorisation applicable;
• exécution d'une entente de services ou de soutien;
• audit, certification, investigation ou sécurité, avec minimisation;
• incident de confidentialité ou mesure de mitigation approuvée.

7.3 Autorisations et ententes

Avant toute communication, l'utilisateur ou le responsable vérifie :

• l'identité et l'autorité du destinataire;
• la finalité de la communication;
• la nécessité des renseignements transmis;
• l'existence d'un consentement, d'une autorisation, d'une obligation ou d'une entente;
• les mesures de sécurité du canal utilisé;
• les restrictions de conservation ou de réutilisation par le destinataire.

Les communications non routinières, volumineuses, sensibles ou destinées à un tiers externe doivent être approuvées par le responsable PRP ou son délégué.

7.4 Procédure de communication

1. Identifier la demande, le destinataire, la finalité et la base d'autorisation.
2. Confirmer que la communication est nécessaire et proportionnée.
3. Réduire le contenu au minimum requis.
4. Utiliser un canal approuvé et sécurisé selon la sensibilité.
5. Consigner la communication lorsque requis : date, destinataire, finalité, catégorie de renseignements, autorisation et utilisateur responsable.
6. Conserver la preuve de communication dans le dossier ou registre applicable.
7. En cas de doute, suspendre la communication et consulter le responsable PRP.

8. Politique de destruction ou anonymisation

8.1 Déclencheurs

Une destruction, anonymisation, suppression logique, retrait ou archivage peut être envisagé lorsque :

• la finalité est terminée;
• la durée de conservation applicable est atteinte;
• la révision humaine conclut qu'aucune obligation ne nécessite une conservation supplémentaire;
• une demande valide de retrait, désindexation ou effacement est acceptée;
• un doublon, fichier temporaire ou export n'est plus requis;
• une erreur de collecte doit être corrigée;
• une migration, fermeture de service ou changement de fournisseur l'exige;
• une obligation légale ou contractuelle prévoit la destruction.

L'atteinte d'une durée de conservation ou la présence d'un dossier dans la liste à réviser pour conservation ne déclenche jamais automatiquement une destruction.

8.2 Analyse préalable

Avant de détruire ou anonymiser un renseignement, la personne autorisée vérifie :

• la dernière inscription humaine pertinente lorsqu'il s'agit d'un dossier clinique;
• la durée de conservation applicable;
• les obligations médico-légales et professionnelles;
• l'intégrité du dossier clinique;
• les obligations fiscales, administratives, d'audit ou de sécurité;
• l'existence de sauvegardes, archives, journaux et copies;
• l'impact sur les demandes en cours;
• l'existence d'un litige;
• l'existence d'un incident ou d'une enquête;
• l'existence d'un legal hold;
• toute autre obligation imposant la conservation;
• la possibilité d'une suppression logique, d'un masquage, d'une anonymisation ou d'un archivage lorsque la destruction physique n'est pas appropriée.

En présence d'un doute sur l'admissibilité à la destruction, le renseignement demeure conservé jusqu'à décision autorisée.

8.3 Legal Hold

Un legal hold applicable bloque la destruction indépendamment de l'ancienneté du renseignement.

Le mécanisme de Legal Hold permet de définir une portée persistante et traçable.

Lorsqu'un gel applicable est actif :

• la destruction doit être suspendue;
• le motif et la portée du gel demeurent identifiables;
• sa levée doit être autorisée et documentée;
• une nouvelle décision de destruction est nécessaire après la levée lorsque le renseignement a atteint son échéance.

Le mécanisme technique de Legal Hold est conçu pour fonctionner en mode fail-closed pour les actions destructives qui passent par le mécanisme de rétention contrôlée.

Une impossibilité de déterminer de façon fiable si un gel s'applique doit entraîner le refus de l'action destructive plutôt qu'une destruction incertaine.

8.4 Modes de retrait

Selon le contexte, l'organisation peut utiliser :

• destruction définitive d'un fichier ou d'une copie autorisée;
• suppression logique avec conservation d'une trace d'audit;
• masquage ou retrait de l'affichage;
• anonymisation irréversible;
• archivage protégé avec accès restreint;
• destruction des exports temporaires et fichiers de travail;
• expiration contrôlée des sauvegardes selon le calendrier approuvé.

La méthode retenue doit être proportionnée :

• au risque;
• à la finalité;
• à la nature du renseignement;
• aux obligations applicables.

8.5 Procédure de destruction ou anonymisation

1. Recevoir la demande ou identifier le renseignement à réviser.
2. Confirmer la catégorie de renseignement, son emplacement et sa finalité initiale.
3. Pour un dossier clinique, vérifier la dernière inscription humaine pertinente et la durée applicable.
4. Vérifier les obligations de conservation.
5. Vérifier l'existence d'un legal hold ou d'une autre situation imposant la préservation.
6. Obtenir la décision et l'approbation humaines requises.
7. Choisir la méthode applicable : destruction, anonymisation, suppression logique, masquage ou archivage.
8. Exécuter l'action avec les privilèges minimaux requis.
9. Vérifier que l'action a été appliquée aux copies accessibles connues selon le mécanisme prévu.
10. Consigner la preuve : date, acteur, catégorie de renseignement, méthode, justification, approbation et résultat.
11. Documenter les limites, notamment les copies de sauvegarde devant expirer selon leur calendrier approuvé.

9. Séparation entre dossier médical, journaux et sauvegardes

La durée applicable au dossier médical ne s'applique pas automatiquement à toutes les données techniques produites par Pivot DME.

Les catégories suivantes peuvent disposer de calendriers distincts :

• journaux d'audit;
• authentification et sessions;
• journaux Web;
• journaux système;
• journaux MariaDB;
• journaux réseau;
• journaux de sauvegarde;
• journaux de réplication;
• traces techniques de services internes.

Ces durées sont définies dans le calendrier organisationnel applicable aux journaux.

Inversement, une activité technique récente ne doit pas être interprétée comme une nouvelle inscription humaine au dossier médical.

Les sauvegardes suivent également leur propre stratégie de conservation et d'expiration.

La présence temporaire d'une copie dans une sauvegarde ne modifie pas la date de dernière inscription humaine du dossier source.

10. Traces SARIA

Les traces relatives aux services SARIA sont conservées selon leur finalité et leur rattachement éventuel à un dossier ou à une décision clinique.

Lorsqu'une trace SARIA est nécessaire pour reconstruire une intervention clinique ou une décision humaine associée à un dossier médical, sa conservation peut suivre la durée applicable au dossier auquel elle se rattache.

Les traces purement techniques ou non cliniques suivent plutôt le calendrier applicable à leur catégorie de journal.

La journalisation demeure minimisée et ne doit pas constituer une duplication inutile du dossier clinique.

Un legal hold applicable prévaut également sur la durée normale de ces traces.

11. Registres et preuves

Les preuves sont conservées dans les registres ou dossiers appropriés selon le cas :

• registre des catégories de renseignements personnels;
• registre des finalités et bases légitimes;
• registre des communications de renseignements personnels;
• registre des demandes des personnes concernées;
• registre des destructions, anonymisations, retraits et archives;
• journaux d'audit applicatifs et de sécurité;
• registre des incidents de confidentialité;
• registre des fournisseurs et ententes;
• calendrier de conservation des journaux;
• registre des legal holds;
• versions approuvées des politiques et procédures.

Les preuves remises au bureau de certification doivent être anonymisées ou produites avec des données de test, sauf autorisation expresse et documentée.

12. Traçabilité du processus de conservation

Le processus de conservation doit permettre de distinguer :

1. l'information servant au repérage;
2. la décision humaine;
3. l'éventuelle action de destruction;
4. la preuve de cette action.

La génération ou la consultation de la liste des dossiers à réviser ne constitue pas une destruction.

L'export de cette liste constitue une activité administrative traçable et fait l'objet de la journalisation applicable.

La décision humaine de conserver ou de permettre une destruction demeure distincte de l'identification automatisée des dossiers.

Les opérations de destruction ou d'anonymisation doivent être tracées selon les mécanismes applicables.

13. Validation du mécanisme d'identification

Le mécanisme de détermination de la dernière inscription humaine a été validé en environnement DEV au moyen de données synthétiques.

La validation démontre notamment :

• consolidation de plusieurs catégories d'inscriptions métier;
• séparation entre dernier_rendez_vous et derniere_inscription_humaine;
• exclusion des événements techniques;
• exclusion des dates futures;
• absence de mutation des tables du dossier;
• qualification unique à réviser pour conservation;
• absence de déclenchement d'une destruction ou d'une politique de rétention;
• audit append-only obligatoire de l'export.

Les scénarios synthétiques comprennent notamment :

• rendez-vous ancien avec note plus récente;
• document actif récent;
• évaluation récente;
• photographie clinique récente;
• activité technique récente ne repoussant pas une inscription humaine plus ancienne;
• dossier sans inscription pertinente.

Résultat :

P10.02 derniere inscription humaine synthetic test: OK

6 scenarios synthetiques

0 mutation des tables du dossier

0 source technique retenue

14. Validation du Legal Hold

Le mécanisme de Legal Hold a été validé en environnement de développement avec des données synthétiques.

Les validations démontrent notamment :

• création persistante d'un gel;
• portée structurée;
• séparation des permissions;
• justification obligatoire;
• historique de création et de levée;
• blocage d'une action destructive applicable;
• comportement fail-closed;
• gestion de plusieurs gels simultanés;
• conservation de la trace après levée;
• audit des événements pertinents.

Les événements testés comprennent notamment :

• LEGAL_HOLD_CREATED;
• LEGAL_HOLD_RELEASED;
• RETENTION_BLOCKED_BY_LEGAL_HOLD.

Aucune destruction réelle n'a été exécutée lors de cette validation.

La migration du mécanisme Legal Hold a été validée en sandbox, mais son application à une base métier demeure une opération distincte.

Cette validation démontre le mécanisme technique sans prétendre qu'une migration non appliquée est déjà active dans tous les environnements.

15. Calendrier des journaux

Les journaux disposent d'un calendrier organisationnel distinct documenté dans :

S11.01-REG-CALENDRIER-CONSERVATION-JOURNAUX.md

Ce calendrier distingue notamment :

• journal d'audit principal;
• authentification et sessions;
• journaux Web;
• journaux système;
• journaux MariaDB;
• journaux réseau;
• Cloudflare;
• sauvegarde, PITR et réplication;
• services IA internes;
• traces SARIA cliniquement pertinentes;
• dossiers d'incident.

Une durée inscrite dans ce calendrier constitue une règle organisationnelle.

Son application technique doit être démontrée séparément lorsque nécessaire.

16. Captures et preuves de certification

Pour soutenir les critères applicables, les preuves peuvent notamment comprendre :

• écran de création ou consultation d'un dossier avec données fictives;
• écran ou document expliquant la finalité et le consentement;
• écran de gestion des rôles ou privilèges;
• exemple de journal d'audit anonymisé;
• exemple de registre de communication anonymisé;
• liste synthétique de dossiers à réviser pour conservation;
• affichage de derniere_inscription_humaine;
• affichage distinct de dernier_rendez_vous;
• exemple de registre de destruction ou d'anonymisation;
• preuve du mécanisme de Legal Hold;
• preuve de version et d'approbation de la présente politique;
• preuve que la politique est accessible aux personnes autorisées.

Les captures destinées à la certification doivent utiliser des données synthétiques ou être adéquatement anonymisées.

17. Exceptions

Toute exception à la présente politique doit :

• être documentée;
• préciser la justification;
• préciser sa durée lorsqu'elle est temporaire;
• être approuvée par le responsable PRP ou la direction selon le risque;
• définir les mesures compensatoires;
• être révisée à l'expiration ou lors d'un changement de contexte.

Une exception ne doit pas être utilisée pour contourner un legal hold ou une obligation légale de conservation.

18. Révision

Cette politique et procédure est révisée :

• au moins une fois par année;
• lors d'un changement important au traitement des renseignements personnels;
• lors d'un changement légal, réglementaire ou contractuel;
• après un incident significatif;
• lors d'une modification importante des règles de conservation;
• lors d'une modification du mécanisme de dernière inscription humaine;
• lors d'une modification importante du mécanisme de Legal Hold;
• lors d'une remise majeure TGV ou MSSS lorsque requis.

19. Documents liés

• P10.02-PREUVE-JUSTIFICATIF.md;
• P10.02-RAP-DERNIERE-INSCRIPTION-HUMAINE-20260828.md;
• P05.02-POL-CONDITIONS-UTILISATION.md;
• S11.01-REG-CALENDRIER-CONSERVATION-JOURNAUX.md;
• S11.01-TEST-LEGAL-HOLD-20260825.md;
• P15.01-POL-CONSERVATION-DESTRUCTION-RP.md;
• P15.04-PROC-REVISION-CONSERVATION.md;
• tgv/criteres/references/P01.03-POL-PRP-001.md;
• tgv/criteres/references/P01.01-POL-PRP-000.md;
• tgv/criteres/references/P01.02-POL-PRP-002.md.

20. État d'implantation

Le processus organisationnel applicable aux dossiers cliniques est défini comme suit :

derniere_inscription_humaine → dossier à réviser pour conservation → révision humaine → conserver ou autoriser le processus de destruction

Le mécanisme d'identification et de production de la liste a été validé en DEV avec des données synthétiques.

Cette fonction ne modifie aucune donnée du dossier et ne déclenche aucune destruction automatique.

Les mécanismes de destruction, de rétention automatisée et de Legal Hold demeurent des fonctions distinctes et doivent être utilisés selon leur état d'implantation et les autorisations applicables.

Une fonction validée uniquement en DEV ou en sandbox ne doit pas être présentée comme déployée dans un environnement où son activation n'a pas été démontrée.

21. Preuves pertinentes

Les principales preuves permettant de démontrer le processus décrit dans la présente procédure sont :

• P10.02-PREUVE-JUSTIFICATIF.md — description consolidée du mécanisme de conservation et de révision humaine;
• P10.02-RAP-DERNIERE-INSCRIPTION-HUMAINE-20260828.md — validation DEV du calcul, inventaire des sources retenues et exclues, absence de mutation et six scénarios synthétiques;
• P05.02-POL-CONDITIONS-UTILISATION.md — règle organisationnelle de conservation minimale de dix ans suivant la dernière inscription au dossier;
• S11.01-REG-CALENDRIER-CONSERVATION-JOURNAUX.md — séparation entre la durée du dossier médical et les calendriers propres aux journaux;
• S11.01-TEST-LEGAL-HOLD-20260825.md — validation synthétique du mécanisme empêchant une action destructive lorsqu'un gel applicable est actif;
• tests/security/p10_02_derniere_inscription_humaine_test.php — test synthétique du calcul de la dernière inscription humaine;
• app/models/mysql_query.php — logique applicative de consolidation;
• app/controllers/mysql_queries.php — consultation et export de la liste.

Ces preuves démontrent conjointement :

• la règle de conservation;
• le calcul de la dernière inscription humaine;
• l'exclusion des activités techniques;
• l'identification des dossiers à réviser;
• l'absence de destruction automatique;
• la décision humaine;
• la séparation des calendriers techniques;
• le mécanisme de blocage par Legal Hold dans son environnement validé.

22. Conclusion

L'organisation dispose d'un processus documenté couvrant le cycle de vie des renseignements personnels, depuis leur collecte jusqu'à leur éventuelle destruction ou anonymisation.

Pour les dossiers cliniques, Pivot DME fournit un mécanisme permettant de déterminer la dernière inscription humaine pertinente et d'identifier les dossiers devant être révisés selon la règle de conservation applicable.

La règle organisationnelle prévoit une conservation minimale de dix ans suivant la dernière inscription au dossier, sous réserve de toute obligation imposant une conservation supérieure.

Les activités techniques ne repoussent pas artificiellement cette date.

Le système qualifie les dossiers concernés :

à réviser pour conservation

La décision demeure humaine.

La personne autorisée examine les obligations applicables et décide soit de maintenir la conservation, soit d'autoriser le passage au processus distinct de destruction.

Aucune destruction automatique n'est déclenchée par le calcul ou par la consultation de la liste.

Un legal hold ou une autre obligation applicable prévaut sur le processus normal de destruction.

Le processus démontré est donc :

Pivot DME identifie → une personne autorisée révise → une décision humaine est prise → la conservation se poursuit ou le processus contrôlé de destruction peut être entrepris.

23. Historique

rendez-vous, exclusion des activités techniques, identification des dossiers à réviser, décision humaine avant destruction et articulation avec le mécanisme de Legal Hold |