Cercle de confiance (Circle of Trust, COT)

Comment un service central peut-il se fier au fait qu'un hôpital authentifie correctement ses propres collaborateurs, leur accorde des droits et journalise leurs actions, sans effectuer lui-même ces contrôles pour chaque utilisateur ? Le règlement fédéral définit un cercle de confiance comme un groupe d'utilisateurs d'une organisation pour lequel cette organisation organise elle-même les mesures de sécurité de l'information et en surveille le respect, afin que d'autres organisations puissent s'y fier^[1]. Le Departement Zorg flamand le formule du point de vue de l'application : une organisation a besoin d'un COT lorsqu'elle traite ou échange numériquement des données de santé et que les autorités ne peuvent pas effectuer elles-mêmes, par l'intermédiaire de l'application utilisée, tous les contrôles de sécurité nécessaires^[2].

Délimitation. Il existe un cadre normatif unique, visible à deux endroits :

1. Le règlement fédéral « cercle de confiance » de la Plate-forme eHealth et du Comité de sécurité de l'information. La délibération du Comité de sécurité de l'information qui l'accompagne porte le n° 19/166 du 1 octobre 2019 et a été modifiée en dernier lieu le 2 septembre 2025^[3]. Le règlement comprend 13 critères ; le dernier est « Contrôle externe »^[1]. Dans Hubs & Metahub (répertoire des références), il constitue la base de l'accès délégué par des collaborateurs^[4].

2. La notification dans CoBRHA. Le critère 11 de ce règlement fédéral oblige l'organisation à notifier par écrit au gestionnaire de ses données dans la source authentique CoBRHA qu'elle instaure un cercle de confiance, et à confirmer qu'elle satisfait à chacune des conditions^[1]. Ce gestionnaire indique ensuite dans CoBRHA que l'organisation a instauré un cercle de confiance^[1].

En Flandre, une organisation introduit sa déclaration sur l'honneur COT auprès de l'autorité qui l'agrée ; pour les hôpitaux, il s'agit du Departement Zorg^[2]. Une organisation agréée par un autre service public introduit la déclaration auprès de ce service^[2]. Le résultat peut être vérifié dans le visualiseur CoBRHA^[2]. Selon le Departement Zorg, les 13 critères COT sont fixés dans le règlement approuvé par le Comité de gestion et le Comité de sécurité de l'information^[2].

Interprétation : la déclaration sur l'honneur flamande, avec le contrôle dans le visualiseur CoBRHA, met en œuvre le critère 11 par l'intermédiaire de l'autorité chargée de l'agrément. Il ne s'agit pas d'un instrument flamand distinct doté de ses propres critères. Aucune des deux sources n'établit littéralement ce lien, mais les éléments concordent : le règlement demande une notification écrite au gestionnaire de CoBRHA, tandis que le département reçoit la déclaration en sa qualité d'autorité chargée de l'agrément et en affiche le résultat dans CoBRHA.

Le tableau compare le règlement fédéral avec l'exécution flamande de la notification.

• Il existe un seul ensemble de 13 critères, fixé dans le règlement fédéral^[1][2]. Le règlement décrit ce qu'est un cercle de confiance et ce qu'il permet dans le système hub-métahub^[1][4]. Il demande aussi une notification dans CoBRHA^[1]. Un établissement agréé par la Flandre déclare le respect auprès de son autorité de reconnaissance^[2] (déduction : c'est la manière dont la notification du critère 11 se déroule en Flandre).
• Pour Vitalink, le COT est une condition stricte. Les hôpitaux et les autres organisations ne peuvent se raccorder que s'ils sont membres de la circle-of-trust^[6]. Une organisation de soins n'obtient l'accès que si elle est agréée, enregistrée dans CoBRHA, dispose d'un certificat eHealth et est en ordre quant à la Circle of Trust^[7]. La gateway Vitalink limite l'accès des organisations de soins et des hubs aux entités figurant sur la liste Vitalink Circle-of-Trust^[8].

• Condition d'accès (flamande) : sans COT, pas de raccordement à Vitalink^[6], ni d'utilisation de Vaccinnet 2026, BelRAI, Alivia et d'autres applications flamandes via son propre logiciel^[2].
• Procédure : la déclaration est signée et introduite par un représentant légal du pouvoir organisateur, via un formulaire web auprès du Departement Zorg^[2]. Le département recommande (recommandation, pas obligation) de confirmer la déclaration par une décision juridiquement valable de l'organe d'administration^[2]. Selon la liste figurant sur la page du département, le COT est déjà en ordre pour les établissements existants de différents secteurs, dont les hôpitaux généraux, ou les demandes sont en cours^[2]. La même liste mentionne aussi, pour les hôpitaux, le canal d'introduction ; la confirmation proprement dite est donc la mention dans le CoBRHA-viewer^[2].
• Réglementation (fédérale), mandat des collaborateurs : le fait que le secrétariat ou le personnel soignant consulte des documents hub au nom d'un prestataire de soins n'est possible qu'au sein d'une organisation qui respecte le règlement, et le DPI doit enregistrer dans ses logs quel collaborateur a effectué la consultation^[4]. Le prestataire de soins qui donne le mandat doit lui-même avoir une relation thérapeutique avec le patient^[4]. Il ne peut pas confier la tâche à un dispensateur de soins qui est exclu pour ce patient^[4]. Le mandat peut par exemple être inscrit dans le contrat de travail ou dans la convention d'utilisation du système d'information local^[4]. Le logging central, que le citoyen peut consulter en ligne, ne contient que le prestataire de soins traitant et l'identification du CoT^[4]. L'identité du collaborateur concerné ne figure donc que dans le logging local.
• Contrôle : l'hôpital doit organiser une surveillance interne régulière, sous la forme d'un contrôle interne formel au-delà de 15 personnes concernées^[1], conserver les résultats 2 ans^[1] et les tenir, avec le registre des traitements et les policies, à la disposition des organes de contrôle^[1].
• Recommandation (propre) : vérifiez le statut COT de l'hôpital dans le CoBRHA-viewer, consignez qui a signé la déclaration et quand, et demandez au DPO de confronter périodiquement les 13 critères au logging et à la gestion des accès du DPI. Vérifiez si le mandat des collaborateurs figure dans le contrat de travail ou dans la convention d'utilisation du DPI.

Conditions de mise en œuvre et limites

Le COT déplace la responsabilité vers l'organisation : c'est elle qui organise et surveille elle-même la sécurité de l'information pour ses utilisateurs^[1]. Cela ne fonctionne que si les systèmes locaux prennent en charge le logging requis par collaborateur^[4], car les systèmes centraux n'enregistrent pas le collaborateur dans leurs logs^[4]. Le règlement lie la déclaration à une surveillance interne et à la disponibilité pour un contrôle externe^[1]. Déduction : une déclaration sur l'honneur ne dit en soi rien encore du respect effectif ; celui-ci ne ressort que de la surveillance interne et d'un éventuel contrôle externe.

• Terminologie. Le règlement fédéral relatif aux hubs et au métahub parle d'un « contract van de Circle of Trust »^[5], le règlement fédéral d'une notification écrite dans CoBRHA^[1], le Departement Zorg d'une « verklaring op eer »^[2], et Vitalink d'« lid zijn van de circle-of-trust »^[6]. La notification et la déclaration sur l'honneur coïncident (déduction, voir Délimitation). Les sources ne permettent pas de déterminer si le « contract » du règlement relatif aux hubs et au métahub est un document supplémentaire.

• Version du règlement. La page des règlements mentionne la délibération 19/166, modifiée en dernier lieu le 2 septembre 2025^[3]. Sa phrase d'approbation (Comité de gestion le 11 février 2025, Comité de sécurité de l'information le 2 septembre 2025) figure littéralement tant sous la rubrique néerlandaise « Cirkel van vertrouwen » (Cercle de confiance) que sous « Hub- & metahubproject »^[3] ; elle ne peut donc pas être rattachée sans ambiguïté à un seul règlement. Le PDF archivé du règlement n'est pas daté. Il n'est pas établi qu'il s'agisse de la version du 2 septembre 2025.

• Relations dans d'autres pages. Certaines pages renvoient à l'identifiant circle-of-trust. Il s'agit d'un alias de cette page, et non d'un concept distinct.