Guide pratique sur la protection des données personnelles

1 Guide pratique SUR LA PROTECTIONDES donn ES personnelles DITION JUIN 2018 1 TABLE DES MATI RES Pourquoi un Guide pratique sur la protection des donn es personnelles ? 2 Pourquoi tes-vous concern par le RGPD ? 3 Fiche 1 Quel cadre appliquer aux dossiers des patients ? 5 Quelles sont vos obligations ? 5 Devez-vous accomplir une formalit particuli re aupr s de la CNIL ? 11 Devez-vous d signer un d l gu la protection des donn es (DPO) ? 12 Pouvez-vous tre sanctionn ? 12 Fiche 2 Quel cadre appliquer la prise de rendez-vous ? 13 Quelles sont vos obligations ? 13 Quelles sont les obligations du prestataire tiers g rant la prise de rendez-vous ?

2 14 Pouvez-vous tre sanctionn ? 15 Fiche 3 Quel cadre appliquer l utilisation de la messagerie lectronique ? 16 Qu est-ce que le syst me de messagerie s curis e de sant ? 17 Pouvez-vous utiliser des services de messagerie lectronique standard ? 18 2 Fiche 4 Quel cadre appliquer aux t l phones portables et tablettes ? 19 Pouvez-vous utiliser votre t l phone portable ou votre tablette pour acc der vos dossiers patients ? 19 Comment pouvez-vous utiliser votre t l phone portable ou votre tablette comme moyen de communication ? 20 Fiche 5 Quel cadre appliquer aux recherches ?

3 21 Quelles sont vos obligations dans le cadre d tudes internes ? 21 Quelles sont vos obligations lors de recherches m dicales en partenariat avec un tiers (recherche dite multicentrique) ou n cessitant un recueil de donn es suppl mentaires ? 22 Fiche 6 Quel cadre appliquer la t l m decine ? 25 Vos obligations changent-elles dans le cadre de la t l m decine ? 25 Quelles sont les obligations de la plateforme de t l m decine ? 26 Annexe n 1 : exemple de notice d information pour la gestion d un cabinet m dical 27 Annexe n 2 : registre des activit s de traitement 28 Lexique 35 3 Pourquoi un Guide pratique sur la protection des donn es personnelles ?

4 Le R glement G n ral sur la protection des donn es (RGPD)1 est entr en application le 25 mai 2018. La loi fran aise Informatique et Libert s2 a t adapt e en cons quence par la loi sur la protection des donn es personnelles en cours de promulgation. Ces deux textes constituent d sormais le socle de la nouvelle r glementation sur la protection des donn es personnelles . Le pr sent Guide pratique a pour ambition d orienter les m decins, en exercice lib ral, dans la mise en uvre des obligations pr vues par la nouvelle r glementation sur la protection des donn es personnelles .

5 En compl ment de ce Guide , la CNIL vient de mettre en ligne une fiche th matique : RGPD et professionnels de sant lib raux : ce que vous devez savoir ( ). Elle propose d autres fiches th matiques d di es aux probl matiques de sant (t l m decine, application mobile, etc.) que vous pouvez consulter sur : Si vous exercez au sein d un tablissement de sant , d un EHPAD, ou encore d un centre de sant , vous pouvez vous rapprocher de la direction, ou de toute personne susceptible de g rer la question des donn es personnelles .

6 Si votre structure a d sign un d l gu la protection des donn es (DPO), ce dernier est l interlocuteur privil gi pour vous renseigner sur l tat de conformit de votre structure au RGPD ou r pondre toutes vos questions. Pourquoi tes-vous concern par le RGPD ? En tant que m decin en exercice lib ral, vous tes amen recevoir ou mettre des informations sur vos patients pour assurer leur suivi que ce soit dans le dossier patient (papier ou informatique), dans le cadre de l utilisation d une plateforme en ligne de gestion des rendez-vous ou encore de la r alisation d actes de t l m decine.

7 De mani re plus globale, vous collectez galement des informations pour g rer votre cabinet (ex : gestion des fournisseurs, des personnels que vous employez, etc.). Ces informations que vous recevez et / ou mettez, l occasion de votre activit professionnelle, sont consid r es comme des donn es personnelles . Le RGPD d finit les donn es personnelles comme toute information se rapportant une personne physique identifi e ou identifiable c est- -dire une personne physique qui peut tre identifi e, directement ou indirectement3.

8 1 R glement (UE) 2016/679 du Parlement Europ en et du Conseil du 27 avril 2016 relatif la protection des personnes physiques l gard du traitement des donn es caract re personnel et la libre circulation de ces donn es, et abrogeant la directive 95/46/CE (r glement g n ral sur la protection des donn es). 2 Loi n 78-17 du 6 janvier 1978 relative l informatique, aux fichiers et aux libert s. 3 Art. 4 1) du RGPD. 4 En pratique , il peut s agir de donn es d identification comme les nom, pr nom, adresse, ou num ro de t l phone, d informations sur la vie personnelle du patient (ex : nombre d enfants), sa couverture sociale (ex : assurance maladie obligatoire, assurance maladie compl mentaire, etc.

9 Et surtout d informations relatives sa sant (pathologie, diagnostic, prescriptions, soins, etc.), les ventuels professionnels qui interviennent dans sa prise en charge. Vous d tenez galement, dans le cadre de votre exercice, le num ro de s curit sociale des patients (Num ro d Inscription au R pertoire des Personnes Physiques - NIR) pour facturer les actes r alis s. Pour toutes ces situations o vous utilisez ces donn es personnelles , vous tes concern par le RGPD. 5 Fiche 1. Quel cadre appliquer aux dossiers des patients ?

10 Check-list des bonnes pratiques respecter : Je limite les informations collect es au n cessaire et j utilise les dossiers patients conform ment aux finalit s d finies (suivi des patients) ; Je tiens un registre jour de mes traitements (voir annexe n 2 Registre des activit s de traitement) ; Je supprime les dossiers patients et de mani re g n rale toute information ayant d pass la dur e de conservation pr conis e ; Je mets en place les mesures appropri es de s curit de mes dossiers patients ; J informe mes patients et m assure du respect de leurs droits (voir l annexe n 1 Exemple de notice d information ).