Santé

RGPD et données de santé : Les principes essentiels à respecter

Le principe de minimisation
L’un des principaux principes du RGPD prévoit que les données traitées soient adéquates, pertinentes et limitées au strict nécessaire selon les finalités définies et cohérentes avec la collecte.

Le principe d’information
Malgré les idées reçues, même les professionnels de santé ne peuvent s’affranchir de leurs obligations d’information.
Le RGPD entend favoriser la confiance entre les personnes et le responsable du traitement (RT) ; et crée pour cela une obligation d’information et de transparence à la charge du RT.
Le RT doit informer les personnes dont les données sont collectées des raisons de la collecte et de la manière dont ces données seront traitées.

• En cas de collecte directe : Au moment du recueil des données
• En cas de collecte indirecte : Dès que possible, au maximum pour un délai de 1 mois.

Le RT doit également informer la personne dont les données sont collectées lorsque le traitement connaît une modification substantielle ou dans le cas d’un évènement particulier. Par exemple, établir une nouvelle finalité, changer les modalités d’exercice des droits, une violation de données, etc. Afin de faciliter ces démarches et d’impliquer les différentes parties prenantes de manière collaborative grâce à un logiciel de conformité RGPD pré-paramétré pour le secteur santé.
La seule exception qui existe concerne la sauvegarde des intérêts vitaux. Le principal mode d’accès passe par les Méthodologies de Référence (MR), c’est-à-dire des procédures simplifiées d’accès aux données de santé. Ce point n’est pas inscrit dans le règlement mais il n’en demeure pas moins important pour les SDIS et autres services d’urgence.

Collecte de données de santé : comment informer les personnes concernées ?
L’information doit être donnée de façon « concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ».

• Utiliser un vocabulaire simple et adapté au public visé
• Délivrer une information courte et lisible
• Adapter la fourniture d’informations aux situations et supports
• Prioriser les éléments d’information et ne pas hésiter à délivrer l’information grâce à une architecture à plusieurs niveaux

Quelles durées de conservation dans le domaine de la santé ?

• R112-7 CSP – Prise en charge des patients par les établissements de santé : Pendant la durée de prise en charge + 20 ans à partir du dernier passage pour soin ;

Exceptions : décès (10 ans) – mineur (jusqu’au 28ème anniversaire lors la durée s’achève avant le 28ème anniversaire); dossier transfusionnels : 30 ans à compter du dernier passage) – suspension pour les recours et contentieux.

• Gestion des cabinets médicaux et paramédicaux : 5 ans en base active à partir de la dernière consultation + 15 ans en archivage intermédiaire.
• Pharmacie : conservation essentiellement en base intermédiaire
• Laboratoires d’analyse médicale : dépend du traitement. Pour le traitement de base – Dossier patient : 5 ans à compter de la dernière intervention + 15 ans en archivage intermédiaire.
• Télétransmission des feuilles de soin :

• 3 jours ouvrés si paiement direct par l’assuré (8 jours ouvrés si dispense de frais) + 90 jours en archivage intermédiaire.

• Décompte de remboursement de la Sécurité sociale : pas de base active, 2 ans en base active. A partir du premier jour du trimestre suivant celui auquel se rapportent les prestations.

• Dossier pharmaceutique : dépend des données
• DMP : utilisation par le patient + 10 ans à compter de la clôture du dossier.
• Autres données particulières : dépistage du cancer du sein – cancer colorectal – cancer du col de l’utérus, vigilances sanitaires.

S’adapter à l’actualité sanitaire

Après un contexte sanitaire compliqué lié à la Covid-19 et la mise en place du Pass sanitaire comme de l’application Tous AntiCovid, la lutte contre l’épidémie a déclenché la nécessité de mettre en place de nouveaux traitements, à savoir :

• Traitements liés à la recherche médicale et vaccinale avec les campagnes de vaccination et des données de santé considérées comme données sensibles.
• Traitements liés à la surveillance des populations avec l’utilisation de drones de vidéosurveillance par la police pour surveiller les populations et veiller au respect des mesures de confinement. Ou encore en lien avec les caméras thermiques et intelligentes pour détecter les personnes malades.
• Traitements liés à l’identification des chaînes de contamination avec plusieurs cas concrets tels que : la collecte de données par l’employeur pour tenir à jour un cahier de présence et suivre le rythme hybride des collaborateurs entre présentiel et télétravail ; l’application Tous AntiCovid avec une application dont la conception repose sur le Privacy by design ; un cahier de rappel mis en place dans les lieux publics
• Traitements opérés par les collectivités territoriales avec l’autorisation par la CNIL de recourir à des données de la taxe d’habitation afin de mettre en place une communication institutionnelle sur la politique sanitaire et les gestes barrières.

Hébergement des données personnelles de santé

Dès lors que des données relatives à la santé physique ou mentale d’une personne sont hébergées sur un support numérique, cela implique de recourir à un hébergeur certifié données de santé.

Quelles sont les obligations concernant l’hébergement des données de santé ?

• Depuis le 1er juillet 2018, l’ancienne procédure d’agrément des hébergeurs a été remplacée par une procédure de certification. La certification des hébergeurs de données de santé est délivrée par un organisme certificateur accrédité par le Comité Français d’Accréditation (COFRAC) ou un équivalent européen.
• L’organisme certification s’assurera que l’hébergeur respecte les normes ISO 27001 et ISO 20000 visant à garantir la sécurité des systèmes informatiques et assurer une protection maximale pour les données de santé.

Comment choisir le bon hébergeur et la bonne offre ?

Dans le cas d’un traitement impliquant des données de santé, lorsque vous optez pour une offre d’hébergement de votre site web ou base de données, il est important de veiller à choisir une offre d’hébergement « données de santé » et non pas une offre d’hébergement standard.

Que doit contenir le contrat d’hébergement des données ?

Il faut avoir en tête que l’hébergement de données de santé implique obligatoirement la signature d’un contrat de prestation d’hébergement entre l’hébergeur et vous-même. Ce contrat comporte un certain nombre de mentions obligatoires telles que :

• L’indication des lieux des serveurs (attention la CNIL n’est pas favorable à un transfert des données vers les Etats Unis) ;

• La mention d’un référent contractuel client de l’hébergeur à contacter pour le traitement des incidents de sécurité.

La certification de l’hébergement des données de santé constitue une mesure de sécurité au sens du RGPD ce qui veut dire que les établissements de santé peuvent voir leur responsabilité engagée faute d’avoir recouru à un hébergeur non certifié.

RGPD dans le domaine de la santé : quelles sanctions encourues ?

Les sanctions encourues en cas d’hébergement de données de santé non certifié sont de 3 ans d’emprisonnement et 45,000€ d’amende (article L.1115-1 Code de la santé publique).

On se souvient, en 2021, de plusieurs sanctions émanant de la CNIL à destination d’établissements de santé. Par exemple, un cabinet d’orthodontie a écopé de 12 000€ d’amende ou encore deux médecins libéraux ont respectivement eu 6 000€ et 3 000€ d’amende.

Etablissements de santé : Encadrez contractuellement vos sous-traitants

Avant même de structurer contractuellement la relation avec les sous-traitants, l’une des recommandations à destination des établissements de santé étant de veiller à la bonne sélection de ses sous-traitants, à la fois parce qu’ils respectent le RGPD mais aussi parce qu’ils hébergent leurs données en France, ou à défaut dans l’Union Européenne.

L’encadrement contractuel des sous-traitants passe, de toute évidence, par un acte écrit.

Les principales obligations étant :

• La transparence et la traçabilité
• L’assistance, l’alerte et le conseil
• Le Privacy by design / Privacy by default

• La sécurité informatique

Quelles sont les clauses à faire figurer dans votre accord de sous-traitance ?

• Les finalités et instructions
• Les obligations du RT
• Le devoir d’assistance, de conseil et d’alerte

• Les obligations du sous-traitant
• La confidentialité
• Les mesures de sécurité
• Les notifications des violations et droits des personnes
• La sous-traitance ultérieure

RGPD dans la santé : Quels sont les PIA à effectuer ?

Le PIA ou Privacy Impact Assessment ou encore Analyse d’Impact relative à la protection des données est un outil au service du responsable de traitement devant être mis en œuvre avant chaque traitement.

Le défaut de réalisation d’un PIA est sanctionné d’une amende administrative :

Son montant est déterminé par la CNIL selon la gravité du manquement : quels ont été les effets du défaut de réalisation du PIA ? Cela a-t-il eu des conséquences préjudiciables pour les personnes objets du traitement, étendu du traitement, sensibilité des données, etc.

PIA sur les données de santé : Quels sont les critères à remplir ?

• Données sensibles : collecte et traitement de données sensibles
• Données hautement personnelles : traitement du NIR
• Personnes vulnérables : patients, mineurs, personnes âgées

A noter : les données concernant l’état de santé sont des données sensibles.