DPO à l’hôpital : protéger l’information sans freiner les soins

Dans un hôpital, protéger l’information ne se limite pas à la confidentialité : les soins dépendent aussi de systèmes disponibles et de données fiables. L’hôpital de la Citadelle, à Liège, cherche aujourd’hui la personne qui succédera à son délégué à la protection des données (DPO). Elle assumera aussi la fonction de conseiller en sécurité de l’information. Nous avons demandé à la Citadelle comment elle conçoit le rôle du DPO à l’hôpital, entre RGPD, NIS2 et intelligence artificielle.

Ses réponses décrivent un travail continu, mené avec les équipes, au service du patient.

Un hôpital de plus de 4.100 collaborateurs et 200 métiers

L’hôpital de la Citadelle est l’un des plus grands hôpitaux francophones de Belgique. Il rassemble plus de 4.100 collaborateurs, dont plus de 600 médecins, quelque 200 métiers et une trentaine de spécialités médicales. Ses quelque 900 lits sont répartis sur trois sites : Citadelle, Laveu et Herstal. S’y ajoutent plusieurs centres médicaux et le réseau de centres de prélèvements LaboCita, dans la province de Liège.

Soins, laboratoires, administration, informatique, logistique, services techniques : toutes ces activités doivent fonctionner ensemble. Pour un DPO, les questions liées aux données y prennent donc des formes très différentes d’un service à l’autre.

Pourquoi la sécurité de l’information est-elle un enjeu particulier à l’hôpital ?

La Citadelle traite chaque jour des milliers de données de santé, parmi les données personnelles les plus sensibles. Mais l’enjeu dépasse la seule confidentialité. La prise en charge des patients repose sur de nombreux systèmes et flux d’information, dont la disponibilité et l’intégrité sont tout aussi essentielles.

L’hôpital décrit un équilibre à trouver en permanence entre protection des données, sécurité, exigences réglementaires et réalité des équipes de soins. « La sécurité doit protéger l’activité de l’hôpital sans devenir un obstacle à sa mission première, qui reste la prise en charge du patient. »

Peut-on cumuler les fonctions de DPO et de conseiller en sécurité de l’information ?

La Citadelle compte un DPO interne depuis plusieurs années. Son titulaire actuel, qui a mis en place un socle solide de bonnes pratiques, quitte ses fonctions cet automne. L’hôpital juge cette succession d’autant plus importante que l’intelligence artificielle, y compris dans ses pratiques internes, continuera à transformer le quotidien de chaque collaborateur.

La personne recrutée sera à la fois DPO et conseiller en sécurité de l’information, une fonction de conseil que certaines organisations, dont les hôpitaux, sont tenues de désigner. C’est une question que l’Autorité de protection des données (APD) dit recevoir régulièrement. Sa réponse : rien dans le RGPD ne s’y oppose par principe. Il revient à l’organisation de vérifier que les deux fonctions ne créent pas de conflit d’intérêts (article 38, paragraphe 6, du RGPD).

Pour la Citadelle, l’intérêt est avant tout pratique. Réunir les deux matières offre « une vision transversale de problématiques qui sont souvent étroitement liées dans la pratique ».

Que change NIS2 pour un hôpital ?

Pour la Citadelle, NIS2 est avant tout une approche structurée de la gestion des risques : prévenir les incidents, y réagir de manière appropriée et démontrer que les mesures sont effectivement mises en œuvre.

Ce n’est donc pas d’abord une question d’outils, mais de gouvernance : qui analyse les risques, qui décide des mesures, qui en rend compte ? L’hôpital le dit lui-même : NIS2 renforce l’importance d’une gouvernance claire de la sécurité de l’information.

Concrètement, le service informatique de la Citadelle est déjà certifié ISO 27001. L’hôpital envisage d’étendre ce périmètre à l’ensemble de l’institution dans le cadre de la loi belge NIS2 du 26 avril 2024. Une certification ISO/IEC 27001 couvrant le périmètre concerné fait partie des voies reconnues par le Centre pour la Cybersécurité Belgique (CCB) pour démontrer la conformité des entités essentielles. La personne recrutée contribuera à cette démarche.

Une fonction transversale, en lien direct avec la direction

Parmi les missions décrites par l’hôpital :

• conseiller le responsable du traitement et proposer des pistes d’amélioration
• participer au Comité de protection des données
• analyser les impacts et les risques liés aux traitements, et formuler des recommandations
• veiller à la bonne tenue du registre des activités de traitement
• suivre la réalisation des audits par le service d’audit interne
• soutenir la sensibilisation, avec le service interne Formation & Développement

S’y ajoute une interaction avec la Direction générale, le Conseil de direction et plusieurs groupes de travail multidisciplinaires. Le DPO conseille. La direction décide. Pour l’hôpital, la fonction va bien au-delà du travail purement documentaire ou réglementaire.

Quel profil la Citadelle recherche-t-elle ?

L’expertise reste la base : de bonnes connaissances en protection des données et en sécurité de l’information, et l’envie de continuer à se former. Mais l’hôpital insiste autant sur l’analyse, l’écoute, la pédagogie et la force de conviction. Avec plus de 4.100 collaborateurs et environ 200 métiers, ces matières « ne peuvent pas être considérées comme l’affaire d’un seul service ».

Il faut donc traduire des exigences parfois complexes en recommandations compréhensibles et applicables. « Dans une fonction transversale comme celle-ci, la capacité à construire des relations et à faire évoluer les pratiques est au moins aussi importante que la connaissance de la réglementation », souligne l’hôpital. Une approche qui rejoint son plan stratégique « Essentiel 2026-2031 » : humaniser, inspirer, connecter.

Un profil rare, et un hôpital prêt à former

La Citadelle sait qu’un profil combinant protection des données, sécurité de l’information et maîtrise des référentiels est rare. Elle ne cherche donc pas nécessairement quelqu’un qui aurait déjà tout rencontré et tout maîtrisé. L’hôpital investit dans la formation continue et prévoit un accompagnement lors de l’intégration.

Son message à celles et ceux qui hésitent à postuler : regarder la fonction dans son ensemble, sans s’arrêter à une liste de compétences. Des bases solides et une expérience pertinente restent attendues. La motivation, la capacité d’apprentissage et les qualités relationnelles comptent tout autant.

À retenir

Le poste en bref

Consultez l’offre et postulez sur le site de la Citadelle

Renforcez votre profil en protection des données et en sécurité de l’information

Trois formations en français au Van der Valk Hôtel Nivelles-Sud :

Consultez le programme complet et inscrivez-vous.