6 types de traitements de données dans les secteurs sanitaire et médico-social font partie des 14 opérations nécessitant la réalisation d’une analyse d’impact portant sur la protection des données, opérations listées par la Commission nationale de l’informatique et des libertés (Cnil) dans une délibération publiée le 6 novembre 2018 au Journal officiel (en lien ci-contre).
Selon le règlement général européen relatif à la protection des données personnelles (RGPD), entré en vigueur en mai 2018, les traitements d’informations « susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes concernées » doivent être soumis à une analyse d’impact sur la protection des données (AIPD).
Le Comité européen de la protection des données (CEPD), qui regroupe les responsables des Cnil de chaque État membre de l’Union et le contrôleur européen de la protection des données, a identifié neuf critères définissant « un traitement susceptible d’engendrer un risque élevé », parmi lesquels : les traitements de données à grande échelle, de données sensibles comme celles relatives à la génétique et à la santé, de données portant sur des personnes vulnérables comme des patients, des personnes âgées et des enfants.
Les traitements touchés par « au moins deux » de ces critères devront être soumis à une AIPD. Les responsables estimant que leur traitement ne présente pas de risque élevé, bien qu’il regroupe deux des critères identifiés, devront « expliquer et documenter » leur choix de ne pas réaliser une analyse d’impact.
9 critères définissant « un traitement susceptible d’engendrer un risque élevé »
Le Comité européen de la protection des données (CEPD) a identifié neuf critères définissant « un traitement susceptible d’engendrer un risque élevé » :
- les traitements de données à grande échelle ;
- les traitements de données sensibles comme celles relatives à la génétique et à la santé ;
- les traitements de données portant sur des personnes vulnérables comme des patients, des personnes âgées et des enfants ;
- le croisement la combinaison de données ;
- l’évaluation et le scoring ;
- la prise de décision automatisée avec une effet juridique ou similaire ;
- la surveillance systématique des personnes ;
- les traitements de données pouvant exclure du bénéfice d’un droit, d’un service ou d’un contrat ;
- l’utilisation innovante et l’application de nouvelles solutions technologiques ou organisationnelles.
Les traitements de données touchés par « au moins deux » de ces critères cités par le CEPD doivent faire l’objet d’une analyse d’impact, a déclaré la Cnil dans sa délibération.
Les responsables jugeant que leur traitement ne présente pas de risque élevé, quoiqu’il regroupe deux de ces critères, devront « expliquer et documenter » leur choix de ne pas réaliser une analyse d’impact « en incluant, s’il a été désigné, l’avis du délégué à la protection des données personnelles (DPO) », est-il expliqué.
6 types d’opérations relatives au secteur de la santé exigent une analyse d’impact
De manière conforme aux dispositions du RGPD, la commission a adopté dans une seconde délibération une liste non exhaustive de 14 types d’opérations exigeant une analyse d’impact (délibération n°2018-327 en lien ci-contre). Parmi elle, 6 concernent les traitements de données dans le secteur de la santé.
La Cnil mentionne ainsi :
- les traitements de données de santé mis en place par les établissements de santé ou les établissements médico-sociaux pour la prise en charge des personnes ;
- les traitements portant sur les données génétiques de personnes dites « vulnérables », dont les patients et les personnes âgées ;
- les traitements visant à la gestion des alertes et des signalements en matière sociale et sanitaire ;
- les traitements de données de santé nécessaires à la constitution d’un entrepôt de données ou d’un registre ;
- les traitements de données biométriques aux fins de reconnaissance des personnes parmi lesquelles figurent des personnes dites « vulnérables » ;
- les traitements visant à l’accompagnement social ou médico-social des personnes.
Cette liste sera régulièrement revue par la commission selon son appréciation des « risques élevés », a indiqué la Cnil. La commission listera aussi les traitements de données qui, « en tout état de cause, ne présentent pas de risque élevé, et ne sont donc pas soumis à la réalisation d’une AIPD ».
Contenu d’une analyse d’impact
Selon le règlement européen, le contenu minimal d’une analyse d’impact comprend :
- « une description systématique des opérations de traitement envisagées et de ses finalités » ;
- « une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités » ;
- « une évaluation des risques pour les droits et libertés des personnes concernées » ;
- « les mesures envisagées pour faire face aux risques ».
Les traitements mis en place avant l’entrée en vigueur du RGPD, « c’est-à-dire ayant fait l’objet d’une formalité auprès de la Cnil, en ayant été dispensés, ayant été autorisés par un acte réglementaire ou encore ayant été inscrits dans le registre d’un correspondant informatique et libertés (Cil) » n’auront pas à être soumis à une analyse d’impact « dans un délai de trois ans à compter du 25 mai 2018, à moins que ceux-ci n’aient fait l’objet d’une modification substantielle depuis leur mise en œuvre ».
Dans un document mis en ligne le 5 novembre 2018 sur son site internet, la Commission a donné des exemples de modifications considérées comme « substantielles » dans le traitement de données ayant pour finalité une recherche, une étude ou une évaluation dans le domaine de la santé, et les procédures à suivre en fonction des cas.