L’information vient de tomber et elle va sûrement faire du bruit : la CNIL vient d’annoncer sur son site internet que les traitements de données, nécessaires à des activités de télémédecine, de dossier médical partagé et d’éducation thérapeutique ne relèvent plus du régime d’autorisation préalable !

Conséquence : une simple déclaration suffit pour la mise en œuvre d’un traitement de données, soit un gain de temps de l’ordre de 18 à 24 mois !

Des délais plus rapides mais des contreparties fortes !

Cet allègement, assez considérable, du régime des formalités préalables anticipe l’entrée en vigueur du Règlement Général relatif à la Protection des Données (RGPD).

En contrepartie, les acteurs doivent davantage se responsabiliser, ce qui implique plusieurs conséquences :

  • L’obligation d’établir un dossier de conformité, permettant à tout moment de démontrer la conformité du traitement aux principes énoncés dans le RGPD et aux mesures de sécurité standard.
  • L’augmentation colossale des sanctions : la sanction administrative – de 3 000 000,00 d’euros d’amende depuis l’automne 2016 – va passer à 20 000 000,00 euros d’amende.
  • L’augmentation du nombre de contrôles, comme la Commission l’explique : « la CNIL se montrera également particulièrement vigilante sur les conditions de mise en œuvre des traitements de données de santé, notamment afin que le recueil du consentement s’effectue dans le cadre de la délivrance d’une information de qualité.  Elle renforcera également son contrôle en aval, afin de s’assurer du respect effectif de ses préconisations ».

A cet égard, deux points sont dignes d’intérêt :

  • La forte augmentation du nombre de contrôles, lors de la réforme de la CNIL en 2004 destinée à renforcer ses pouvoirs de sanction :

Évolution du nombre annuel de contrôles entre 1990 et 2015

  • L’explosion du nombre de plaintes déposées à la CNIL et de vérifications depuis 2015 :

Évolution du nombre annuel de plaintes et de vérifications de 2010 à 2016

Anticiper l’entrée en vigueur du RGDP

Afin d’accompagner chaque entreprise, Desmarais Avocat a élaboré une offre packagée permettant d’anticiper l’entrée en vigueur du RGPD en réalisant un audit de conformité.

L’offre comporte les éléments suivants :

  • Anticipation du RGDP
    • Réunion de lancement (dans la limite de 4h) : entretien avec les principaux « opérateurs » du traitement de données pour identifier :
      • Les caractéristiques du traitement.
      • Les sous-traitants.
      • Les transferts de données.
      • L’étude de la cartographie du SI.
    • Audit de conformité :
      • Remise d’un formulaire « Audit de Sécurité » (pour évaluer l’écart et les impacts métier associés aux nécessités de mise en conformité) et aide à la complétion.
      • Etude des politiques de sécurité du système d’information, de mots de passe et de sauvegarde.
      • Analyse de la conformité.
      • Validation des caractéristiques des traitements (Désignation du responsable de traitement, formalités préalables applicables, durée de conservation, transferts hors UE, et audit de conformité).
      • Détermination des risques encourus en cas de non-conformité avec SmartDataDecision©.
    • Réunion d’aide à la définition des priorités (dans la limite de 3h) : Préparation et animation d’une réunion pour définir le seuil d’acceptabilité du risque du responsable de traitement, les actions pertinentes et prioriser les actions en fonction du degré de risque.
    • Remise d’outils de pilotage des traitements de données :
      • Outil de suivi des contrats de sous-traitance complété avec l’identité des sous-traitants.
      • Registre des traitements complété.
      • Matrice d’applicabilité des droits de la personne en fonction de la base juridique du traitement.
      • Clause type relative aux traitements de données par un sous-traitant.
      • Dossier de conformité du traitement de données.

La phase d’audit s’appuie sur un panel d’outils juridiques et métiers ayant déjà fait preuve de leur efficience. Il s’agit des missions précédentes de mise en conformité vis-à-vis du Règlement européen, et notamment sur SmartDataDecision©.

 

SmartDataDecision© : les data analytics au service du juridique et réglementaire en e-santé

SmartDataDecision© est le 1er outil d’aide à la décision en matière de traitement de données, élaboré par Desmarais Avocats à partir de données de vie réelle. Alors que les responsables de traitement sont complètement perdus dans la jungle réglementaire et ont du mal à identifier les priorités, SmartDataDecision© permet de prendre rapidement des décisions relatives à un traitement de données en en mesurant les risques de façon visuelle.

Après la réalisation d’un audit, un tableau, simple à lire, avec des codes couleurs est remis au client. En zone verte, le risque est résiduel. En zone rouge, le risque est trop important, il faut agir. En zone orange, tout dépend du degré d’acceptabilité du risque par le client.

Avec SmartDataDecision©, la priorisation des mesures à engager et les décisions d’affectation des ressources – tant financières qu’humaines – sont non seulement facilitées, mais surtout faites en toute connaissance de cause.

Partagez l'article sur les réseaux sociaux

Un Commentaire sur “La CNIL libéralise la e-santé, ou presque…

  1. Bonjour cher Maitre,
    Pour les professionnels de santé, beaucoup de données sont présentes dans nos systèmes d’information.

    Elles font l’objet de traitement en interne pour les facturations à l’Assurance Maladie et aux autres payeurs complémentaires. Ce cadre est complètement sécurisé depuis longtemps (il me semble).

    D’autres traitements sont également réalisés par des extracteurs statistiques qui traitent nos données, les mettent en forme après anonymisation pour être exportées vers des partenaires externes qui les utilisent à diverses fins : par exemple, Pharmastat crée un observatoire des prix des médicaments non remboursables par l’Assurance Maladie par zones géographiques sur la base des exportations de prix de vente de ces médicaments. Le pharmacien reçoit en contrepartie des informations de prix constatés dans sa zone géographique.

    Les contrats formalisant ces accords doivent ils préciser la nature des traitements réalisés par les extracteurs statistiques ou peuvent ils se limiter à simplement assurer de la conformité avec les textes en vigueurs ?

    Certains des contrats que j’ai signé datent de mon installation (2009). La rédaction de ceux ci est donc corrélée à l’état du droit de cette période. Or la perception de ce qu’est une donnée de santé et ce que l’on peut en faire a beaucoup évolué ces dernières années. A priori, ces contrats sont-ils nuls ou rognés jusqu’à correspondre à l’acceptation actuelle de l’utilisation possible des données de santé ?

    Cordialement,

    Rémi Dufourcq-Lagelouse
    Pharmacien

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *