Splendy Des solutions digitales innovantes pour le médical

Le RGPD dans le domaine médical

Le Règlement Général sur la Protection des Données (RGPD), applicable depuis le 25 mai 2018, réforme en profondeur l'exploitation par les professionnels de santé des informations à caractère personnel.

Les bases du RGPD

Une donnée personnelle est une donnée permettant d'identifier une personne physique (nom, adresse, numéro de téléphone, email, photo, etc). Parmi ces données personnelles se trouvent les données médicales, qualifiées de données sensibles.

Un traitement de données consiste en toute opération sur des données personnelles (conservation, modification, enregistrement, classement, transfert,…), quel que soit le procédé utilisé.

Les personnes dont les données personnelles sont traitées doivent pouvoir accéder à leurs données, s’opposer à leur utilisation, demander leur effacement (droit à l'oubli), rectification ou transfert (droit à la portabilité). Dans le domaine médical, certaines demandes de patient peuvent être restreintes.

Les professionnels doivent sécuriser toutes les données personnelles qu’ils détiennent, afin de les protéger d’une part contre des accès non autorisés ou illicites et, d’autre part contre leur perte, destruction ou modification accidentelle. 

Les données personnelles ne peuvent être détenues indéfiniment. Les professionnels doivent les supprimer sous certains délais variables selon les catégories de données.

Application aux cabinets et centres médicaux

Au cours d’une activité médicale, de nombreuses données personnelles sont collectées, directement ou indirectement (via une plateforme de prise de rendez-vous en ligne par exemple), et conservées sur support papier ou informatique. Ces données constituent un actif précieux, indispensable au fonctionnement d’une structure médicale.

Les médecins et les centres médicaux sont « responsables de traitement » des données collectées.

Un professionnel de santé n'a pas l’obligation de recueillir le consentement de ses patients, employés ou collaborateurs pour collecter et conserver leurs données personnelles. Cependant, toutes les personnes concernées doivent être informées, de manière claire et intelligible, qu’un traitement de leurs données est effectué. Pour les patients, cette information peut se faire par le biais d’un affichage en salle d'attente ou par la remise/mise à disposition d'une notice d’information.

Les employés et collaborateurs sont concernés par le RGPD à double titre : d’une part car leurs propres données personnelles sont collectées (pour l’établissement d’un contrat de travail par exemple), et d’autre part parce qu’ils sont utilisateurs des données du centre. Les employés et collaborateurs doivent être sensibilisés et informés de leurs droits et devoirs vis-à-vis des données. Il en est de même si le centre détient des données personnelles de prestataires, fournisseurs, sous-traitants ou si ceux-ci ont accès aux données du centre.

Un médecin ou un centre esthétique souhaitant envoyer à ses patients des messages qui ne sont pas relatifs à des rendez-vous doit au préalable obtenir leur accord écrit de manière formelle, claire et univoque. Un patient reste libre de retirer son consentement à tout moment.

La conservation des données de patients potentiels ayant contacté le centre ne peut être faite sans leur accord formalisé.

En cas de violation de données qui présentent un risque au regard de la vie privée, la Commission Nationale Information et Liberté (CNIL), ainsi que les personnes concernées, doivent en être notifiées dans les 72 heures, sous peine de sanctions financières. Une plainte doit être déposée auprès du commissariat de police ou de la gendarmerie dont dépend le centre ou le cabinet. Tous les mots de passe doivent être rapidement modifiés.

Logiciel de gestion et RGPD

Un logiciel de gestion doit aider le médecin ou le centre à se conformer au RGPD en ayant les attributs suivants :

  • Limitation des accès aux différentes informations contenues dans le logiciel (droits d’accès)
  • Indicateurs et conservation des preuves de consentement concernant l’envoi aux patients de messages non liés à des rendez-vous
  • Désactivation de toute session informatique après une période d’inactivité
  • Mots de passe Utilisateur forts d’au moins 10 caractères, facilement modifiables

Si le logiciel est sur le cloud (logiciel SaaS), il doit en outre avoir les attributs suivants :

  • Hébergement des données sur un serveur sécurisé certifié Données de santé (HDS)
  • Journal des accès (pour pouvoir vérifier qui a accédé au logiciel, quand et pour quoi faire ?)
  • Utilisation d’un protocole sécurisé https
  • Sauvegarde régulière des données du logiciel

Si le logiciel est installé sur ordinateur, des protections comme un anti-virus et un pare-feu doivent être installés. Périodiquement, le logiciel doit être mis à jour pour limiter les failles de sécurité et les données doivent être sauvegardées sur un système externe.

Ces dernières années, des médecins libéraux et hospitaliers n’ayant pas sécurisé des données patient qu’ils détenaient et qui se sont retrouvées visibles sur internet ont été condamnés par la CNIL à des amendes de plusieurs milliers d’euros.