Un cercle de confiance est un groupe d'utilisateurs pour lequel une organisation organise elle-même la sécurité de\nl'information et le contrôle. Les services centraux peuvent ainsi se fier à l'authentification, aux droits et à la\njournalisation locaux. Le règlement fédéral impose 13 critères et exige une notification écrite au gestionnaire de\nCoBRHA ; en Flandre, une organisation introduit une déclaration sur l'honneur auprès de l'autorité d'agrément. Pour\nles hôpitaux, il s'agit d'une condition d'accès à Vitalink et d'une condition pour utiliser d'autres applications\nflamandes via leur propre logiciel.
", "last_verified": "2026-10-05", "verification_outdated": false, "sections": [ { "id": "de-quoi-s-agit-il", "title": "De quoi s'agit-il ?", "kind": "tekst", "html": "Comment un service central peut-il se fier au fait qu'un hôpital authentifie correctement ses propres collaborateurs, leur accorde des droits et journalise leurs actions, sans effectuer lui-même ces contrôles pour chaque utilisateur ? Le règlement fédéral définit un cercle de confiance comme un groupe d'utilisateurs d'une organisation pour lequel cette organisation organise elle-même les mesures de sécurité de l'information et en surveille le respect, afin que d'autres organisations puissent s'y fier[1]. Le Departement Zorg flamand le formule du point de vue de l'application : une organisation a besoin d'un COT lorsqu'elle traite ou échange numériquement des données de santé et que les autorités ne peuvent pas effectuer elles-mêmes, par l'intermédiaire de l'application utilisée, tous les contrôles de sécurité nécessaires[2].
\nDélimitation. Il existe un cadre normatif unique, visible à deux endroits :
\nLe règlement fédéral « cercle de confiance » de la Plate-forme eHealth et du Comité de sécurité de l'information. La délibération du Comité de sécurité de l'information qui l'accompagne porte le n° 19/166 du 1 octobre 2019 et a été modifiée en dernier lieu le 2 septembre 2025[3]. Le règlement comprend 13 critères ; le dernier est « Contrôle externe »[1]. Dans Hubs & Metahub (répertoire des références), il constitue la base de l'accès délégué par des collaborateurs[4].
\nLa notification dans CoBRHA. Le critère 11 de ce règlement fédéral oblige l'organisation à notifier par écrit au gestionnaire de ses données dans la source authentique CoBRHA qu'elle instaure un cercle de confiance, et à confirmer qu'elle satisfait à chacune des conditions[1]. Ce gestionnaire indique ensuite dans CoBRHA que l'organisation a instauré un cercle de confiance[1].
\nEn Flandre, une organisation introduit sa déclaration sur l'honneur COT auprès de l'autorité qui l'agrée ; pour les hôpitaux, il s'agit du Departement Zorg[2]. Une organisation agréée par un autre service public introduit la déclaration auprès de ce service[2]. Le résultat peut être vérifié dans le visualiseur CoBRHA[2]. Selon le Departement Zorg, les 13 critères COT sont fixés dans le règlement approuvé par le Comité de gestion et le Comité de sécurité de l'information[2].
\nInterprétation : la déclaration sur l'honneur flamande, avec le contrôle dans le visualiseur CoBRHA, met en œuvre le critère 11 par l'intermédiaire de l'autorité chargée de l'agrément. Il ne s'agit pas d'un instrument flamand distinct doté de ses propres critères. Aucune des deux sources n'établit littéralement ce lien, mais les éléments concordent : le règlement demande une notification écrite au gestionnaire de CoBRHA, tandis que le département reçoit la déclaration en sa qualité d'autorité chargée de l'agrément et en affiche le résultat dans CoBRHA.
" }, { "id": "que-faut-il-faire-pour-qui-et-a-quelles-conditions", "title": "Que faut-il faire, pour qui et à quelles conditions ?", "kind": "tekst", "html": "Le tableau compare le règlement fédéral avec l'exécution flamande de la notification.
\n| Dimension | \nRèglement fédéral cercle de confiance | \nExécution flamande : déclaration sur l'honneur | \n
|---|---|---|
| Nature | \nRèglement comportant 13 critères[1], délibération du CSI 19/166[3] | \nDéclaration sur l'honneur par laquelle une organisation obtient un COT si elle offre des garanties suffisantes pour un partage sûr[2] | \n
| Contenu | \nGroupe d'utilisateurs pour lesquels l'organisation organise et surveille elle-même la sécurité de l'information[1] | \nDéclaration selon laquelle l'organisation respecte les 13 critères du règlement[2] | \n
| Conséquence | \nLes prestataires de soins d'une organisation qui respecte le règlement peuvent laisser des collaborateurs (p. ex. secrétariat, infirmier) chercher l'accès aux systèmes d'échange sous leur responsabilité. Le système local doit enregistrer dans ses logs quel collaborateur a effectué la consultation[4] | \nNécessaire pour utiliser des applications flamandes via son propre logiciel : Vaccinnet 2026, BelRAI, les applications de financement VSB, Vitalink et Alivia[2] | \n
| Enregistrement | \nNotification écrite au gestionnaire des données propres dans CoBRHA (critère 11)[1]. Le règlement hub-métahub parle d'organisations disposant d'un contrat Circle of Trust[5] | \nIntroduction auprès de l'autorité de reconnaissance[2] ; pour les hôpitaux généraux et psychiatriques, via un formulaire web, par un représentant légal du pouvoir organisateur, auprès du Departement Zorg[2] | \n
| Contrôle | \nSurveillance interne régulière, un contrôle interne formel au-delà de 15 personnes concernées (critère 9)[1] ; conserver les résultats 2 ans[1] ; registre, policies et résultats de contrôle à la disposition des organes de contrôle (critère 13)[1] | \nLe statut COT d'un établissement agréé est vérifiable dans le CoBRHA-viewer[2] | \n
| Version | \nDélibération 19/166 modifiée pour la dernière fois le 2 septembre 2025[3]. Le règlement hub-métahub renvoie au règlement depuis la modification du 5 novembre 2024 (notamment un hyperlien vers les 13 critères)[5] ; la modification du 2 septembre 2025 a affiné l'accès des collaborateurs[5] | \nAucun numéro de version propre n'a été trouvé | \n
Le COT déplace la responsabilité vers l'organisation : c'est elle qui organise et surveille elle-même la sécurité de l'information pour ses utilisateurs[1]. Cela ne fonctionne que si les systèmes locaux prennent en charge le logging requis par collaborateur[4], car les systèmes centraux n'enregistrent pas le collaborateur dans leurs logs[4]. Le règlement lie la déclaration à une surveillance interne et à la disponibilité pour un contrôle externe[1]. Déduction : une déclaration sur l'honneur ne dit en soi rien encore du respect effectif ; celui-ci ne ressort que de la surveillance interne et d'un éventuel contrôle externe.
" }, { "id": "incertitudes-et-informations-contradictoires", "title": "Incertitudes et informations contradictoires", "kind": "tekst", "html": "Terminologie. Le règlement fédéral relatif aux hubs et au métahub parle d'un « contract van de Circle of Trust »[5], le règlement fédéral d'une notification écrite dans CoBRHA[1], le Departement Zorg d'une « verklaring op eer »[2], et Vitalink d'« lid zijn van de circle-of-trust »[6]. La notification et la déclaration sur l'honneur coïncident (déduction, voir Délimitation). Les sources ne permettent pas de déterminer si le « contract » du règlement relatif aux hubs et au métahub est un document supplémentaire.
\nVersion du règlement. La page des règlements mentionne la délibération 19/166, modifiée en dernier lieu le 2 septembre 2025[3]. Sa phrase d'approbation (Comité de gestion le 11 février 2025, Comité de sécurité de l'information le 2 septembre 2025) figure littéralement tant sous la rubrique néerlandaise « Cirkel van vertrouwen » (Cercle de confiance) que sous « Hub- & metahubproject »[3] ; elle ne peut donc pas être rattachée sans ambiguïté à un seul règlement. Le PDF archivé du règlement n'est pas daté. Il n'est pas établi qu'il s'agisse de la version du 2 septembre 2025.
\nRelations dans d'autres pages. Certaines pages renvoient à l'identifiant circle-of-trust. Il s'agit d'un alias de cette page, et non d'un concept distinct.