En collaboration avec les services de la CNIL, l’ASIP Santé a publié le 23 janvier 2018 deux fiches explicatives détaillant les enjeux du règlement européen sur la protection des données personnelles (RGPD), qui entrera en vigueur le 25 mai 2018.
La première fiche est une « présentation générale » du RGPD, alors que la seconde propose d’évaluer ses « impacts en établissements de santé ». Cette dernière rappelle aux établissements de santé les obligations qu’ils seront tenus de respecter à compter du 25 mai, à savoir :
• tenir une documentation interne ;
• désigner un délégué à la protection des données ;
• assurer le respect des droits des personnes ;
• produire une analyse de l’impact du traitement de données ;
• veiller à l’encadrement contractuel des prestations extérieures de fournisseurs de services ;
• garantir la sécurité et la confidentialité des données ;
• signaler auprès de la CNIL des incidents de données.
La portée du RGPD diffère d’un établissement de santé à l’autre
La fiche rappelle que si la démarche de mise en conformité au RGPD s’impose à tous les établissements, les obligations à respecter varient en fonction de la qualification juridique du rôle de l’établissement et de la nature des traitements et des données de santé utilisées :
- si l’établissement traite des données personnelles qui ne sont pas des données de santé (les données de ressources humaines par exemple), le RGPD s’applique ;
- si l’établissement de santé collecte, produit et traite des données de santé, le RGPD fixe un principe d’interdiction de collecte de ces données de santé, en raison de leur sensibilité, comme dans le régime juridique actuel. Cet interdit admet toutefois des exceptions, comme dans la loi Informatique et Libertés. Ils peuvent créer un traitement de données de santé à caractère personnel :
- lorsque la personne concernée donne son consentement exprès ;
- lorsque les données traitées ont pour finalité la gestion des systèmes de santé, la prise en charge sanitaire ou sociale, l’établissement de diagnostics médicaux ;
- lorsqu’elles sont collectées à des fins de recherche, de médecine préventive ou du travail.
Sept obligations relatives à la protection des données de santé, dont le respect s’imposeront aux établissements de santé
À l’entrée en vigueur du RGPD, l’établissement sera tenu de respecter 7 obligations.
Tenir une documentation interne
Cette documentation doit décrire les traitements réalisés par l’établissement de santé et les mesures de mise en conformité au RGPD de ces traitements. Dans certain cas, l’établissement doit obtenir l’autorisation de la CNIL avant de mettre en œuvre le traitement des données personnelles (traitements de recherche par exemple).
Désigner un délégué à la protection des données de santé
Dans une majorité de cas, les établissements publics de santé devront désigner un délégué à la protection des données (DPD ou DPO). Les établissements privés de santé sont concernés si et seulement si ils mettent en œuvre un traitement de donnés sensibles à « grande échelle ». Un DPD peut être mutualisé entre plusieurs établissements.
Assurer le respect des droits des personnes
Le droit à l’information sur le traitement des données, le droit à l’accès, les droits de rectification, de suppression et d’opposition pour motif légitime ont été renforcés par le RGPD et spécifiquement adaptés au secteur de la santé par le code de la santé publique. Le RGPD instaure de nouveaux droits, notamment le droit à la portabilité des données et le droit à l’oubli.
Réaliser une analyse de l’impact du traitement des données
Cette analyse doit porter sur les risques sécuritaires, techniques et juridiques pour les personnes. Elle doit être réalisée avant de mettre en œuvre certains traitements de données, notamment les traitements à grande échelle.
Veiller au « bon » encadrement contractuel des prestations des tiers fournisseurs de service
- Comme le précise l’ASIP : « dès que l’établissement de santé a recours à un prestataire de service dont la prestation implique le traitement des données de santé, il doit signer avec le prestataire un contrat (ou le cas échéant, passer un marché public), décrivant précisément le contenu des prestations (obligations de sécurité et respect des clauses obligatoires prévues à l’article 28 du RGPD).
- « Dans le cas où l’établissement de santé n’est pas maître des moyens de travail mis à sa disposition (…), il doit autant que possible inclure dans le contrat avec son prestataire des clauses garantissant que celui-ci respecte les principes de la loi Informatique et Libertés ».
Instaurer des procédures permettant de garantir la sécurité et la confidentialité des données
Les établissements doivent concevoir des procédures permettant de garantir la sécurité et la confidentialité des données. Ils sont également tenus de respecter les obligations relatives à la conservation des données (déterminer une durée de conservation, organiser les modalités d’archivage, garantir la restitution des données de santé, etc.).
Signaler auprès de la CNIL des accidents de sécurité
Ce signalement doit être fait lorsque les accidents impliquent des données personnelles. Cette obligation s’ajoute – sans se substituer – à l’obligation actuelle de signalement des accidents de sécurité des SI de santé prévue à l’article L.1111-8-2 du code de la santé publique).