Le règlement général sur la protection des données (RGPD) est un règlement de l’Union européenne qui constitue le texte de référence en matière de protection des données à caractère personnel. Ses applications pour le gynécologue.
De quoi parle-t-on ?
Le RGPD concerne le traitement des données personnelles, à savoir, toute opération (collecte, enregistrement, transmission, destruction…) portant sur une information se rapportant à une personne physique identifiée ou identifiable. Et ce, à l’aide de procédés automatisés (informatique) ou non (dossiers papiers). Sa mise en oeuvre est obligatoire depuis le 25 mai 2018.
Quelles différences avec la loi française ?
De nombreux droits des personnes étaient déjà prévus dans la loi française modifiée du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Le RGPD va plus loin. Il renforce les droits et obligations. Il a conduit à re-modifier la loi de 1978.
Les gynécologues-obstétriciens sont-ils concernés ?
Oui, soit en qualité de responsable du traitement, soit en qualité de gestionnaire des données (recueil d’information médicale, courrier sortant, conservation d’informations, etc.). Et ce, même s’ils sont culturellement sensibilisés à la question du secret médical et également, sans doute, à la sécurité des données de santé.
Le responsable du traitement est la personne ou l’organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement.
Quels sont les risques en terme de responsabilité ?
Outre la responsabilité civile et pénale liée à une atteinte aux données personnelles, un responsable du traitement qui ne respecte pas le RGPD peut être soumis à des amendes, qui selon la situation et la gravité de la violation, peuvent atteindre 20 millions d’euros, et pour une entreprise, jusqu’à 4 % du chiffre d’affaires.
Quelles sont les particularités des données de santé ?
Certaines données sont considérées comme sensibles et font l’objet d’une protection particulière. Tel est le cas des données de santé, lesquelles peuvent inclure des informations relatives à un handicap. Le RGPD définit les données concernant la santé : «données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne».
Quels sont les nouveaux droits créés par le RGPD ?
De nombreux droit étaient déjà existants. Ils sont presque tous renforcés, ou nouveaux :
- Droit à l’information ;
- Droit au consentement ;
- Droit d’accès aux données ;
- Droit à rectification ;
- Droit à l’oubli (la généralisation de ce droit est nouvelle) ;
- Droit à la limitation du traitement ;
- Droit d’opposition au traitement de données ;
- Droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé ;
- Limitation du recours au profilage ;
- Droit à la portabilité des données (nouveau) ;
- Droit à être informé en cas de violation (nouveau) ;
- Consentement des mineurs de moins de 16 ans (nouveau ; concerne les services de la société de l’information, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale).
Quelles sont les obligations du « responsable du traitement » ?
En complément du respect des droits, on peut citer :
- Mettre en place des mesures techniques et organisationnelles pour assurer sa conformité au RGPD.
- Établir un registre des activités de traitement (remplace de fait la déclaration CNIL auparavant). Une déclaration CNIL reste obligatoire dans certains cas seulement (ex : recherche).
- Analyser l’impact d’un nouveau traitement de données s’il existe un risque élevé pour les droits et libertés des personnes physiques. Notifier une violation de données à l’autorité compétente (ARS, CNIL selon les cas).
- Établir une convention avec ses sous-traitants qui traitent de données à caractère personnel pour son compte.
- Dans certains cas, désigner un DPO (Data Protection Officer ou Délégué à la protection des données), chargé de veiller à l’application du RGPD ; le DPO doit disposer de connaissances spécialisées du droit et des pratiques en matière de protection des données.
Thierry Casagrande
Avocat, DPO
19 commentaires