--- id: cirkel-van-vertrouwen type: Rule type_label: Règle ou cadre title: Cercle de confiance (Circle of Trust, COT) aliases: - Circle of Trust - circle-of-trust - COT - CoT - cercle de confiance - cirkels van vertrouwen - verklaring op eer COT - Circle of Trust verklaring op eer - Circle-of-Trust-contract - Vitalink Circle-of-Trust-lijst names: nl: Cirkel van vertrouwen fr: Cercle de confiance en: Circle of Trust jurisdiction: - belgie - vlaanderen themes: - identiteit-en-toegang - regelgeving lifecycle: in-werking lifecycle_note: 'Le règlement fédéral comportant 13 critères est en vigueur; la délibération 19/166 du Comité de sécurité de l''information a été modifiée pour la dernière fois le 2 septembre 2025.' summary: 'Un cercle de confiance est un groupe d''utilisateurs pour lequel une organisation organise elle-même la sécurité de l''information et le contrôle. Les services centraux peuvent ainsi se fier à l''authentification, aux droits et à la journalisation locaux. Le règlement fédéral impose 13 critères et exige une notification écrite au gestionnaire de CoBRHA; en Flandre, une organisation introduit une déclaration sur l''honneur auprès de l''autorité d''agrément. Pour les hôpitaux, il s''agit d''une condition d''accès à Vitalink et d''une condition pour utiliser d''autres applications flamandes via leur propre logiciel.' links: - soort: documentatie url: https://www.ehealth.fgov.be/ehealthplatform/nl/reglementen label: Reglementen eHealth-platform taal: nl last_verified: '2026-10-05' relations: - type: appliesTo direction: uit target: belrai-vlaanderen target_url: https://ehealth-atlas.be/fr/belrai-vlaanderen/ status: established - type: appliesTo direction: uit target: alivia target_url: https://ehealth-atlas.be/fr/alivia/ status: established - type: appliesTo direction: uit target: vitalink target_url: https://ehealth-atlas.be/fr/vitalink/ status: established - type: appliesTo direction: uit target: vaccinnet target_url: https://ehealth-atlas.be/fr/vaccinnet/ status: established - type: appliesTo direction: uit target: vlaamse-sociale-bescherming target_url: https://ehealth-atlas.be/fr/protection-sociale-flamande/ status: established - type: ownedBy direction: uit target: informatieveiligheidscomite target_url: https://ehealth-atlas.be/fr/comite-de-securite-de-l-information/ status: established - type: ownedBy direction: uit target: ehealth-platform target_url: https://ehealth-atlas.be/fr/plate-forme-ehealth/ status: established - type: executes direction: in target: departement-zorg target_url: https://ehealth-atlas.be/fr/departement-zorg/ status: established - type: legalBasis direction: in target: hubs-metahub target_url: https://ehealth-atlas.be/fr/hubs-metahub-repertoire-des-references/ status: established - type: involves direction: in target: uc-medicatieschema-ziekenhuis target_url: https://ehealth-atlas.be/fr/schema-de-medication-a-l-admission-et-a-la-sortie/ status: established - type: about direction: in target: vlaams-ehealth-landschap target_url: https://ehealth-atlas.be/fr/paysage-e-sante-flamand/ status: established release: 2026.11.12-3 url: https://ehealth-atlas.be/fr/cercle-de-confiance/ license: CC BY 4.0 --- # Cercle de confiance (Circle of Trust, COT) Un cercle de confiance est un groupe d'utilisateurs pour lequel une organisation organise elle-même la sécurité de l'information et le contrôle. Les services centraux peuvent ainsi se fier à l'authentification, aux droits et à la journalisation locaux. Le règlement fédéral impose 13 critères et exige une notification écrite au gestionnaire de CoBRHA ; en Flandre, une organisation introduit une déclaration sur l'honneur auprès de l'autorité d'agrément. Pour les hôpitaux, il s'agit d'une condition d'accès à Vitalink et d'une condition pour utiliser d'autres applications flamandes via leur propre logiciel. ## De quoi s'agit-il ? Comment un service central peut-il se fier au fait qu'un hôpital authentifie correctement ses propres collaborateurs, leur accorde des droits et journalise leurs actions, sans effectuer lui-même ces contrôles pour chaque utilisateur ? Le règlement fédéral définit un cercle de confiance comme un groupe d'utilisateurs d'une organisation pour lequel cette organisation organise elle-même les mesures de sécurité de l'information et en surveille le respect, afin que d'autres organisations puissent s'y fier[^1]. Le Departement Zorg flamand le formule du point de vue de l'application : une organisation a besoin d'un COT lorsqu'elle traite ou échange numériquement des données de santé et que les autorités ne peuvent pas effectuer elles-mêmes, par l'intermédiaire de l'application utilisée, tous les contrôles de sécurité nécessaires[^2]. **Délimitation.** Il existe un cadre normatif unique, visible à deux endroits : 1. **Le règlement fédéral « cercle de confiance »** de la [Plate-forme eHealth](https://ehealth-atlas.be/fr/plate-forme-ehealth/) et du [Comité de sécurité de l'information](https://ehealth-atlas.be/fr/comite-de-securite-de-l-information/). La délibération du Comité de sécurité de l'information qui l'accompagne porte le n° 19/166 du 1 octobre 2019 et a été modifiée en dernier lieu le 2 septembre 2025[^3]. Le règlement comprend 13 critères ; le dernier est « Contrôle externe »[^1]. Dans [Hubs & Metahub (répertoire des références)](https://ehealth-atlas.be/fr/hubs-metahub-repertoire-des-references/), il constitue la base de l'accès délégué par des collaborateurs[^4]. 2. **La notification dans CoBRHA.** Le critère 11 de ce règlement fédéral oblige l'organisation à notifier par écrit au gestionnaire de ses données dans la source authentique CoBRHA qu'elle instaure un cercle de confiance, et à confirmer qu'elle satisfait à chacune des conditions[^1]. Ce gestionnaire indique ensuite dans CoBRHA que l'organisation a instauré un cercle de confiance[^1]. En Flandre, une organisation introduit sa déclaration sur l'honneur COT auprès de l'autorité qui l'agrée ; pour les hôpitaux, il s'agit du [Departement Zorg](https://ehealth-atlas.be/fr/departement-zorg/)[^2]. Une organisation agréée par un autre service public introduit la déclaration auprès de ce service[^2]. Le résultat peut être vérifié dans le visualiseur CoBRHA[^2]. Selon le Departement Zorg, les 13 critères COT sont fixés dans le règlement approuvé par le Comité de gestion et le Comité de sécurité de l'information[^2]. *Interprétation* : la déclaration sur l'honneur flamande, avec le contrôle dans le visualiseur CoBRHA, met en œuvre le critère 11 par l'intermédiaire de l'autorité chargée de l'agrément. Il ne s'agit pas d'un instrument flamand distinct doté de ses propres critères. Aucune des deux sources n'établit littéralement ce lien, mais les éléments concordent : le règlement demande une notification écrite au gestionnaire de CoBRHA, tandis que le département reçoit la déclaration en sa qualité d'autorité chargée de l'agrément et en affiche le résultat dans CoBRHA. ## Que faut-il faire, pour qui et à quelles conditions ? Le tableau compare le règlement fédéral avec l'exécution flamande de la notification. | Dimension | Règlement fédéral cercle de confiance | Exécution flamande : déclaration sur l'honneur | |---|---|---| | Nature | Règlement comportant 13 critères[^1], délibération du CSI 19/166[^3] | Déclaration sur l'honneur par laquelle une organisation obtient un COT si elle offre des garanties suffisantes pour un partage sûr[^2] | | Contenu | Groupe d'utilisateurs pour lesquels l'organisation organise et surveille elle-même la sécurité de l'information[^1] | Déclaration selon laquelle l'organisation respecte les 13 critères du règlement[^2] | | Conséquence | Les prestataires de soins d'une organisation qui respecte le règlement peuvent laisser des collaborateurs (p. ex. secrétariat, infirmier) chercher l'accès aux systèmes d'échange sous leur responsabilité. Le système local doit enregistrer dans ses logs quel collaborateur a effectué la consultation[^4] | Nécessaire pour utiliser des applications flamandes via son propre logiciel : Vaccinnet 2026, BelRAI, les applications de financement VSB, Vitalink et Alivia[^2] | | Enregistrement | Notification écrite au gestionnaire des données propres dans CoBRHA (critère 11)[^1]. Le règlement hub-métahub parle d'organisations disposant d'un contrat Circle of Trust[^5] | Introduction auprès de l'autorité de reconnaissance[^2] ; pour les hôpitaux généraux et psychiatriques, via un formulaire web, par un représentant légal du pouvoir organisateur, auprès du Departement Zorg[^2] | | Contrôle | Surveillance interne régulière, un contrôle interne formel au-delà de 15 personnes concernées (critère 9)[^1] ; conserver les résultats 2 ans[^1] ; registre, policies et résultats de contrôle à la disposition des organes de contrôle (critère 13)[^1] | Le statut COT d'un établissement agréé est vérifiable dans le CoBRHA-viewer[^2] | | Version | Délibération 19/166 modifiée pour la dernière fois le 2 septembre 2025[^3]. Le règlement hub-métahub renvoie au règlement depuis la modification du 5 novembre 2024 (notamment un hyperlien vers les 13 critères)[^5] ; la modification du 2 septembre 2025 a affiné l'accès des collaborateurs[^5] | Aucun numéro de version propre n'a été trouvé | ## En vigueur depuis et ce qui suit - Il existe un seul ensemble de 13 critères, fixé dans le règlement fédéral[^1][^2]. Le règlement décrit ce qu'est un cercle de confiance et ce qu'il permet dans le système hub-métahub[^1][^4]. Il demande aussi une notification dans CoBRHA[^1]. Un établissement agréé par la Flandre déclare le respect auprès de son autorité de reconnaissance[^2] (*déduction* : c'est la manière dont la notification du critère 11 se déroule en Flandre). - Pour Vitalink, le COT est une condition stricte. Les hôpitaux et les autres organisations ne peuvent se raccorder que s'ils sont membres de la circle-of-trust[^6]. Une organisation de soins n'obtient l'accès que si elle est agréée, enregistrée dans CoBRHA, dispose d'un certificat eHealth et est en ordre quant à la Circle of Trust[^7]. La gateway Vitalink limite l'accès des organisations de soins et des hubs aux entités figurant sur la liste Vitalink Circle-of-Trust[^8]. ## Qu'est-ce que cela signifie pour un hôpital ? - **Condition d'accès (flamande)** : sans COT, pas de raccordement à Vitalink[^6], ni d'utilisation de [Vaccinnet 2026](https://ehealth-atlas.be/fr/vaccinnet/), BelRAI, Alivia et d'autres applications flamandes via son propre logiciel[^2]. - **Procédure** : la déclaration est signée et introduite par un représentant légal du pouvoir organisateur, via un formulaire web auprès du Departement Zorg[^2]. Le département recommande (recommandation, pas obligation) de confirmer la déclaration par une décision juridiquement valable de l'organe d'administration[^2]. Selon la liste figurant sur la page du département, le COT est déjà en ordre pour les établissements existants de différents secteurs, dont les hôpitaux généraux, ou les demandes sont en cours[^2]. La même liste mentionne aussi, pour les hôpitaux, le canal d'introduction ; la confirmation proprement dite est donc la mention dans le CoBRHA-viewer[^2]. - **Réglementation (fédérale), mandat des collaborateurs** : le fait que le secrétariat ou le personnel soignant consulte des documents hub au nom d'un prestataire de soins n'est possible qu'au sein d'une organisation qui respecte le règlement, et le DPI doit enregistrer dans ses logs quel collaborateur a effectué la consultation[^4]. Le prestataire de soins qui donne le mandat doit lui-même avoir une relation thérapeutique avec le patient[^4]. Il ne peut pas confier la tâche à un dispensateur de soins qui est exclu pour ce patient[^4]. Le mandat peut par exemple être inscrit dans le contrat de travail ou dans la convention d'utilisation du système d'information local[^4]. Le logging central, que le citoyen peut consulter en ligne, ne contient que le prestataire de soins traitant et l'identification du CoT[^4]. L'identité du collaborateur concerné ne figure donc que dans le logging local. - **Contrôle** : l'hôpital doit organiser une surveillance interne régulière, sous la forme d'un contrôle interne formel au-delà de 15 personnes concernées[^1], conserver les résultats 2 ans[^1] et les tenir, avec le registre des traitements et les policies, à la disposition des organes de contrôle[^1]. - **Recommandation** (propre) : vérifiez le statut COT de l'hôpital dans le CoBRHA-viewer, consignez qui a signé la déclaration et quand, et demandez au DPO de confronter périodiquement les 13 critères au logging et à la gestion des accès du DPI. Vérifiez si le mandat des collaborateurs figure dans le contrat de travail ou dans la convention d'utilisation du DPI. ### Conditions de mise en œuvre et limites Le COT déplace la responsabilité vers l'organisation : c'est elle qui organise et surveille elle-même la sécurité de l'information pour ses utilisateurs[^1]. Cela ne fonctionne que si les systèmes locaux prennent en charge le logging requis par collaborateur[^4], car les systèmes centraux n'enregistrent pas le collaborateur dans leurs logs[^4]. Le règlement lie la déclaration à une surveillance interne et à la disponibilité pour un contrôle externe[^1]. *Déduction* : une déclaration sur l'honneur ne dit en soi rien encore du respect effectif ; celui-ci ne ressort que de la surveillance interne et d'un éventuel contrôle externe. ## Incertitudes et informations contradictoires - **Terminologie.** Le règlement fédéral relatif aux hubs et au métahub parle d'un « contract van de Circle of Trust »[^5], le règlement fédéral d'une notification écrite dans CoBRHA[^1], le Departement Zorg d'une « verklaring op eer »[^2], et Vitalink d'« lid zijn van de circle-of-trust »[^6]. La notification et la déclaration sur l'honneur coïncident (*déduction*, voir Délimitation). Les sources ne permettent pas de déterminer si le « contract » du règlement relatif aux hubs et au métahub est un document supplémentaire. - **Version du règlement.** La page des règlements mentionne la délibération 19/166, modifiée en dernier lieu le 2 septembre 2025[^3]. Sa phrase d'approbation (Comité de gestion le 11 février 2025, Comité de sécurité de l'information le 2 septembre 2025) figure littéralement tant sous la rubrique néerlandaise « Cirkel van vertrouwen » (Cercle de confiance) que sous « Hub- & metahubproject »[^3] ; elle ne peut donc pas être rattachée sans ambiguïté à un seul règlement. Le PDF archivé du règlement n'est pas daté. Il n'est pas établi qu'il s'agisse de la version du 2 septembre 2025. - **Relations dans d'autres pages.** Certaines pages renvoient à l'identifiant `circle-of-trust`. Il s'agit d'un alias de cette page, et non d'un concept distinct. ## Relaties - s'applique à: [Vlaams IT-platform BelRAI](https://ehealth-atlas.be/fr/belrai-vlaanderen/) (établi)[^2]. Een COT is nodig voor wie het Vlaams IT-platform BelRAI via eigen software gebruikt. - s'applique à: [Alivia](https://ehealth-atlas.be/fr/alivia/) (établi)[^2]. Een COT is nodig voor wie Alivia 'nu of in de toekomst' via eigen software gebruikt; Alivia staat zelf als pilot. - s'applique à: [Vitalink](https://ehealth-atlas.be/fr/vitalink/) (établi)[^7][^6]. De Circle of Trust regelt de toegangsvoorwaarde voor zorgorganisaties die op Vitalink aansluiten. - relève de: [Comité de sécurité de l'information (chambre sécurité sociale et santé)](https://ehealth-atlas.be/fr/comite-de-securite-de-l-information/) (établi)[^3][^5]. IVC-beraadslaging 19/166 van 1 oktober 2019, laatst gewijzigd op 2 september 2025. - relève de: [Plate-forme eHealth](https://ehealth-atlas.be/fr/plate-forme-ehealth/) (établi)[^3][^2]. Reglement goedgekeurd door het Beheerscomité van het eHealth-platform. - s'applique à: [Vaccinnet](https://ehealth-atlas.be/fr/vaccinnet/) (établi)[^2]. Een COT is nodig voor wie Vaccinnet 2026 via eigen software gebruikt; voorwaarde voor gebruikers, geen rechtsgrond van Vaccinnet zelf. - s'applique à: [Protection sociale flamande (plate-forme numérique)](https://ehealth-atlas.be/fr/protection-sociale-flamande/) (établi)[^2][^9][^10]. Een COT-verklaring is aansluitvoorwaarde voor de VSB-financieringstoepassingen, o.a. eWZCfin (ouderenvoorzieningen) en de VSB-integratie van de revalidatieziekenhuizen. - exécute (entrant): [Departement Zorg](https://ehealth-atlas.be/fr/departement-zorg/) (établi)[^2] - a pour base juridique (entrant): [Hubs & Metahub (répertoire des références)](https://ehealth-atlas.be/fr/hubs-metahub-repertoire-des-references/) (établi)[^4] - implique (entrant): [Cas d'usage : schéma de médication à l'admission et à la sortie](https://ehealth-atlas.be/fr/schema-de-medication-a-l-admission-et-a-la-sortie/) (établi)[^6][^8] - porte sur (entrant): [Paysage e-santé flamand](https://ehealth-atlas.be/fr/paysage-e-sante-flamand/) (établi)[^2] ## Open vragen - Is het 'contract van de Circle of Trust' uit het hub-metahubreglement een apart document naast de melding in CoBRHA (criterium 11, in Vlaanderen via de verklaring op eer), of verwijst het naar diezelfde melding? - Is de gearchiveerde pdf van het reglement de versie van 2 september 2025? De pdf zelf is ongedateerd. - Welke toezichtsorganen gebruiken in de praktijk de documenten die criterium 13 ter beschikking vraagt, en hoe vaak gebeurt een externe controle? - Wat staat er concreet in de 'Vitalink Circle-of-Trust-lijst' en hoe wordt die gesynchroniseerd met CoBRHA? - Hoe kan een ziekenhuis in de CoBRHA-viewer nagaan of het met 'Circle-of-trust: Ja' geregistreerd is, en hoe actueel is die vermelding? ## Bronnen [^1]: [Reglement tot vaststelling van de criteria voor de toepassing van een cirkel van vertrouwen](https://www.ehealth.fgov.be/ehealthplatform/file/cc73d96153bbd5448a56f19d925d05b1379c7f21/c82f76eed70d0716382ba13a9f7d9e8b9402ca2f/reglement-cirkel-van-vertrouwen.pdf). eHealth-platform / Informatieveiligheidscomité. Opgehaald 2026-09-25, sha256 6e9a816c0f43a83c… (SRC-04752c4d8e) [^2]: [Circle of Trust verklaring op eer](https://www.departementzorg.be/nl/circle-trust-verklaring-op-eer). Departement Zorg. Opgehaald 2026-09-25, sha256 dec1053212cd6783… (SRC-d1cab9ce37) [^3]: [Belangrijkste reglementen](https://www.ehealth.fgov.be/ehealthplatform/nl/reglementen). eHealth-platform. Opgehaald 2026-09-25, sha256 1fbfdf486d00d91f… (SRC-c22eb99f7f) [^4]: [Reglement betreffende de uitwisseling van gezondheidsgegevens tussen gezondheidssystemen verbonden via het verwijzingsrepertorium van het eHealth-platform](https://www.ehealth.fgov.be/ehealthplatform/file/cc73d96153bbd5448a56f19d925d05b1379c7f21/224752516d4aeb87b0800b448cd4b0645f74c2a9/reglement-hub-metahub.pdf). eHealth-platform / Informatieveiligheidscomité, 2014-02-18. Opgehaald 2026-09-25, sha256 f5e242162df00247… (SRC-f4d7f1af3a) [^5]: [Beraadslaging nr. 14/016 van 18 februari 2014, laatst gewijzigd op 2 september 2025 (hub & metahub)](https://www.ehealth.fgov.be/ehealthplatform/file/cc73d96153bbd5448a56f19d925d05b1379c7f21/ac7c6b0885a71133f9873ff0fa624622680785b7/14-016-n314-hub-metahub-gewijzigd-op-2-september-2025.pdf). Informatieveiligheidscomité, kamer sociale zekerheid en gezondheid, 2014-02-18. Opgehaald 2026-09-25, sha256 1f3263090e6e3fa1… (SRC-ddd345c720) [^6]: [Circle of trust | Vitalink](https://www.vitalink.be/gegevens/zo-garandeert-vitalink-je-privacy/circle-of-trust). Vitalink (Departement Zorg). Opgehaald 2026-09-25, sha256 20ed016b7092cf7c… (SRC-cdd2803390) [^7]: [Als zorgorganisatie connecteren met Vitalink?](https://vitalink.be/als-zorgorganisatie-connecteren-met-vitalink). Vitalink (Departement Zorg). Opgehaald 2026-09-25, sha256 44e0897fbc85548f… (SRC-9cd73706d9) [^8]: [Technisch overzicht | Vitalink](https://www.vitalink.be/over-vitalink/hoe-werkt-vitalink). Vitalink (Departement Zorg). Opgehaald 2026-09-25, sha256 3c46cbebf434f8cc… (SRC-b64c94471e) [^9]: [Digitaal opname- en facturatieproces tussen ouderenvoorzieningen en zorgkassen - handleiding eWZCfin versie 1.13](https://cld.webplatform.departementzorg.be/raw/upload/v1775114151/eWZCfin_handleiding_ouderenvoorzieningen_1.13_zjvgpc.pdf). Departement Zorg, 2026-04-02. Opgehaald 2026-09-26, sha256 ae75b0e233b64e0c… (SRC-2ca2f50638) [^10]: [Financiering van revalidatieziekenhuizen](https://www.departementzorg.be/nl/financiering-van-revalidatieziekenhuizen). Departement Zorg. Opgehaald 2026-09-29, sha256 eef0a6903cb9dcce… (SRC-b2583093e6)