Cadre de gouvernance, classification et qualité
Ce cours couvre la première moitié du parcours de gouvernance des données du NHIC : qui est le NHIC et ce qu’il gère, le cadre de gouvernance en couches qu’il a construit, le comité et les rôles qui en sont responsables, et les normes de classification et de qualité des données qui transforment la politique en contrôles appliqués.
- Décrire le mandat du NHIC, ses fonds de données et le contexte réglementaire dans lequel il opère
- Expliquer le cadre de gouvernance à six couches et l’organisation de ses 68 documents
- Distinguer les quatre rôles de gouvernance nommés et le Comité de gouvernance des données qui les supervise
- Appliquer le modèle de classification à quatre niveaux et retracer comment un niveau pilote les contrôles d’accès, de chiffrement, de DLP et de rétention
- Énoncer les quatre dimensions de qualité des données que le NHIC gouverne et qui en est responsable
À propos du NHIC
Le National Health Information Centre est une unité du ministère de la Santé du Rwanda, responsable des systèmes qui hébergent les données de santé du pays.
Ce que gère le NHIC
| Fonds de données | Description |
|---|---|
| Dossiers cliniques | Données cliniques au niveau patient à travers les établissements |
| Surveillance des maladies | Données nationales de surveillance et d’épidémies |
| Registres de patients | Systèmes de registres longitudinaux de patients |
| Statistiques de santé | Statistiques de santé nationales pour la politique et la planification |
Contexte réglementaire
- Régi par la loi rwandaise sur la protection des données et la vie privée (DPPL No. 058/2021).
- Opère sous la certification de Responsable de traitement (Data Controller) du ministère de la Santé.
- La National Cyber Security Authority (NCSA) est l’autorité réglementaire nationale.
Le cadre de gouvernance
Le socle du NHIC est une bibliothèque en couches de documentation de gouvernance — 68 documents de gouvernance répartis sur 6 couches du cadre, détenus par 4 rôles de gouvernance nommés et supervisés par un comité dédié.
Le cadre est un entonnoir : la couche la plus large, en haut, est la fondation sur laquelle tout le reste repose, et chaque couche supérieure se resserre vers les contrôles les plus spécialisés.
Le Comité de gouvernance des données et les rôles nommés
Le cadre est gouverné par un Comité de gouvernance des données (DGC), et chaque responsabilité de gouvernance est rattachée à un rôle nommé — et non laissée à l’état de définition abstraite :
| Rôle | Responsabilité |
|---|---|
| Data Stewards | Responsabilité métier des données au sein de leur domaine |
| Data Custodians | Intendance technique des systèmes hébergeant les données |
| Délégué à la protection des données (DPO) | Supervision de la confidentialité et de la protection des données |
| Propriétaire de l’ISMS | Propriété du système de management de la sécurité de l’information |
Tous les rôles et documents sont alignés sur la DPPL, les directives du ministère de la Santé et les obligations de la NCSA.
Question de discussion. Comment la gouvernance des données est-elle structurée dans votre organisation ? Qui en est propriétaire, qui la fait appliquer, et comment les décisions de gouvernance sont-elles prises ?
Exploration technique — gouvernance.
- Modèle de gouvernance centralisé, fédéré ou hybride — qu’est-ce qui a motivé le choix ?
- Comment faites-vous respecter la frontière entre Data Steward et Data Custodian ?
- À quoi ressemble le cycle de vie de vos politiques, de la rédaction à l’application ?
- Comment mesurez-vous la maturité de la gouvernance ?
- Quels outils utilisez-vous pour gérer et suivre la conformité aux politiques ?
Classification des données
La classification est le moment où la gouvernance cesse d’être de la paperasse et commence à piloter des contrôles. La politique de classification des données du NHIC (MOH-POL-DCL) définit un système à quatre niveaux, du moins sensible au plus sensible, et le niveau dans lequel un jeu de données se range détermine les contrôles qui lui sont appliqués.
Un inventaire complet des données et un exercice de classification sont actuellement en cours sur l’ensemble des systèmes, afin que chaque jeu de données se voie attribuer un niveau explicite plutôt que supposé.
Gestion de la qualité des données
La classification dit avec quel soin les données doivent être manipulées ; les normes de qualité disent à quel point on peut leur faire confiance. Le NHIC gouverne quatre dimensions de qualité :
| Dimension | Ce qu’elle exige |
|---|---|
| Exactitude | Les données reflètent correctement les faits réels qu’elles enregistrent |
| Complétude | Les champs et enregistrements requis sont présents, pas capturés partiellement |
| Cohérence | Le même fait porte la même valeur dans tous les systèmes |
| Actualité | Les données sont disponibles quand les décisions et le reporting en ont besoin |
Trois pratiques font que ces dimensions restent appliquées plutôt qu’aspirationnelles :
- La qualité est validée au point de collecte, pas réparée en aval.
- Des audits de qualité périodiques sont rapportés au Comité de gouvernance des données.
- Les Data Stewards sont responsables de la qualité au sein de leur domaine.
Question de discussion. Comment classifiez-vous les données de santé, et comment cette classification pilote-t-elle les contrôles que vous appliquez — accès, chiffrement et rétention ?
Exploration technique — classification et qualité.
- Classification automatisée ou manuelle — comment gérez-vous les données couvrant plusieurs niveaux ?
- Comment gérez-vous les données de référence (Master Data) à travers plusieurs systèmes ?
- Quel cadre de qualité des données appliquez-vous ?
- Quel schéma de métadonnées ou quel catalogue utilisez-vous ?
- Comment suivez-vous le lignage des données de la source à l’usage final, en passant par les transformations ?
Suite
Poursuivez avec Sécurité, confidentialité et conformité légale, qui couvre la traduction de ces classifications et rôles en gestion des accès, contrôles de sécurité, gestion du risque fournisseurs et suivi du lignage.