Temps de lecture estimé : 17 minutes
Si le RGPD représente le cadre législatif européen qui gère toutes les questions relatives aux données personnelles, les informations de santé font l'objet de réglementations additionnelles du fait de leur caractère hautement critique. La CNIL et le Conseil de l'Ordre des Médecins ont collaboré pour clarifier ces règles auprès des professionnels de santé en créant pour eux des check-lists les aidant à vérifier la conformité de leurs activités. De plus, dans le cas où ces professionnels souhaitent externaliser la conservation de leurs informations médicales, une certification a été mise en place. Elle est obligatoire pour tout hébergeur souhaitant garder des données de santé.
01. Le RGPD et ses applications dans le domaine médical
02. Les obligations spécifiques relatives aux DSCP
03. La législation spécifique aux hébergeurs de DSCP
Le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur au niveau européen en mars 2018. Ce cadre réglementaire remplace la Loi Informatique et Libertés appliquée jusqu'alors en France. Il a été mis en place afin de répondre aux nouveaux enjeux créés par le développement du commerce en ligne et l'accroissement de l'usage du numérique. Le RGPD instaure un cadre juridique harmonisé au niveau européen qui renforce le contrôle sur l'utilisation des données personnelles.
Ce sont des informations qui se rapportent à une personne physique identifiée ou identifiable, de manière directe ou indirecte. Le traitement de ces données personnelles correspond à une ou plusieurs opérations les concernant : collecte, conservation, enregistrement, modification, utilisation, adaptation, rapprochement, transmission, diffusion, mise à disposition, enregistrement, organisation, extraction, consultation. Tout traitement de ces informations doit pouvoir être justifié par un objectif devant être légal et légitime.
Lors de l'exercice de leur métier, ces professionnels reçoivent et émettent des informations qui concernent leurs patients ainsi que leurs fournisseurs, leurs collaborateurs, etc. L'ensemble de ces informations sont classifiées comme des données personnelles. Ce qui implique qu'elles sont concernées par le RGPD. Cependant, les données de santé à caractère personnel (DSCP) sont considérées comme étant encore plus critiques que les autres et font donc l'objet de mesures de protection additionnelles.
Ces données concernent la santé mentale ou physique, actuelle, passée ou future d'une personne physique et comprennent également les prestations de services de soin. Elles révèlent des informations sur l'état de santé d'une personne.
Selon le RGPD, le traitement et la commercialisation des DSCP est interdit par principe mais avec des exceptions. L'exploitation de ces informations critiques est autorisée si :
Le Conseil National de l'Ordre des Médecins a créé, en collaboration avec la CNIL (Commission nationale de l'informatique et des libertés), des check-lists concernant les bonnes pratiques à respecter pour chacune de vos activités professionnelles afin d'être en accord avec les réglementations applicables aux DSCP.
Lorsque vous constituez des fichiers de patients, vous devez suivre certaines règles :
Depuis mai 2018, les cabinets médicaux ne sont plus obligés de réaliser un engagement de conformité à la norme simplifiée 50 auprès de la CNIL. En contrepartie de cette simplification administrative, ils sont toutefois dans l'obligation de tenir un registre des activités de traitement. Ce registre recense notamment les activités liées aux dossiers des patients, à la télémédecine, à l'emploi d'une messagerie électronique sécurisée, etc.
Le choix d'un DPO (Délégué à la Protection des Données) n'est pas obligatoire lorsque vous exercez à titre individuel. C'est par contre nécessaire si vous avez à traiter des informations personnelles à grande échelle. Dans ce cas, le DPO peut être choisi en interne ou en externe, dans un cabinet d'avocats, une société de consultants, etc.
Dès 2006, la France a mis en place un agrément pour les sociétés conservant des DSCP. L'agrément HADS (Hébergeur Agréé de Données de Santé) a été mis en place par l'Agence des systèmes d'information partagés en santé (ASIP). Son objectif était de définir des méthodes et des règles afin que les clients de ces hébergeurs puissent constamment accéder à leurs informations, avoir une parfaite traçabilité des modifications apportées, être certain de la sécurité et de la confidentialité apportées à leurs données.
Depuis mars 2018, aucune procédure d'agrément n'a été instruite car une nouvelle certification a été instaurée : le certificat HDS (Hébergeur de Données de Santé). Cependant, comme l'agrément est valable pendant 3 ans, les entreprises HADS peuvent continuer à exercer leurs activités jusqu'à expiration de leur agrément. Toutefois, sachant que la certification HDS est bien plus restrictive que l'agrément HADS, il est conseillé de choisir un hébergeur HDS si vous souhaitez confier la conservation de vos DSCP à un prestataire. Cela vous évitera également d'avoir éventuellement à changer d'hébergeur dans le cas où son agrément aurait expiré mais qu'il n'aurait pas obtenu sa certification HDS.
Les hébergeurs souhaitant conserver des DSCP sont donc maintenant obligés d'obtenir le certificat HDS. Cette norme internationale se base sur les standards ISO 27001, ISO 27018 et ISO 20000 ainsi que sur des exigences spécifiques à la santé. La certification HDS est attribuée par un organisme certificateur indépendant, habilité par l'État, pour une durée de 3 ans. Elle est délivrée après deux audits, un documentaire et un sur site. Sur le site de l'Agence du numérique en santé, vous trouvez facilement la liste de toutes les entreprises certifiées HDS ainsi que le périmètre de leur certification (hébergeur infogéreur ou hébergeur d'infrastructures).
Depuis la mise en place du RGPD en 2018, des réglementations additionnelles ont été instaurées spécifiquement pour les DSCP. La protection de ces informations critiques est prioritaire, aussi bien pour les organismes publics que pour la CNIL et l'Ordre des Médecins. Ainsi, le recueil des données est strictement encadré tout comme sa conservation par des prestataires. Ceux-ci sont dans l'obligation d'obtenir la certification HDS pour exercer leurs activités.
Vous souhaitez découvrir davantage sur l'hébergement de données de santé ? Écoutez notre podcast ! Notre expert Gauthier Thomas vous en dit plus sur la certification HDS ! Vous pouvez également consulter notre article spécialisé.