Introduction

Le règlement général de la protection des données (1) est entré en vigueur pour tout organisme, public comme privé collectant et manipulant des données personnelles, avec usage du numérique ou des dossier papiers. Les professionnels de santé sont donc concernés. D’autres secteurs de l’action sociale et médico-sociale ne sont pas concernés.

Les plateformes numériques qui collectent des données doivent donc la prendre en compte. Il ne s’agit plus de se mettre en conformité en transmettant des éléments à la CNIL mais de mettre en place une démarche, avec attention aux preuves de la démarche.

A minima, il s’agit de :

▸ Tenir un registre interne pour documenter le traitement des données recueillies. Ce document doit permettre d’avoir une vision globale sur chaque activité de l’organisme qui nécessite de la collecte de données. Il permet également de prouver la conformité en cas de besoin.

▸ Vérifier grâce au registre, que les données ont une réelle utilité, que seules les personnes habilitées peuvent y avoir accès, et que ces données ne sont pas conservées plus longtemps que nécessaire

▸ Informer les personnes concernées à chaque collecte d’informations : raison du besoin des données, des personnes qui y auront accès, temps de conservation, exercice des droits sur ces données (suppression, correction, etc.).

▸ Désigner un Délégué à la Protection des Données (DPD, ou DPO). Il a pour la mission de tenir son organisme informé de ses obligations et de le conseiller dans l’application du RGPD.

▸ Assurer la sécurité et la confidentialité des données, en interne mais également avec les sous-traitants et partenaires.

▸ Intégrer la problématique de la collecte, du classement, de l’utilisation voire de la transmission de données dès la conception de son système d’information, avec un paramétrage dit par défaut (« Privacy by défault » : paramétrer par défaut les systèmes avec un haut niveau de protection avant toute utilisation. Lors de sa première utilisation, l’utilisateur n’aura pas besoin de modifier les paramètres pour renforcer la protection de ses données, tout étant déjà préconfiguré).