Temps de lecture estimé : 16 minutes
Les données de santé sont des informations personnelles dont le caractère sensible est reconnu par le RGPD. Afin de protéger le droit des personnes concernées par ces données, plusieurs réglementations ont été mises en place. La CNIL joue un rôle important dans la vérification de la conformité du traitement de ces informations et dans l'éventuelle sanction des manquements aux obligations légales.
01. Les réglementations applicables aux données sensibles
02. Les actions de la CNIL
03. Les sanctions pour non-respect des règles relatives aux DSCP
04. La certification HDS pour l'hébergement des données de santé
Suite à la mise en place du Règlement Général sur la Protection des Données (RGPD), applicable au niveau européen (mai 2018), il existe une définition claire des données de santé à caractère personnel (DSCP). Les DSCP sont des informations concernant la santé physique ou mentale, présente, passée ou future d'une personne physique. Elles donnent des indications sur l'état de santé de cette personne.
Plusieurs législations peuvent s'appliquer selon les cas : la Loi Informatique et Libertés et le Code de la Santé Publique (CSP).
Le CSP peut être appliqué pour les dispositions suivantes :
La CNIL peut réaliser des contrôles dans tout organisme traitant des informations personnelles si celles-ci concernent des personnes résidant en France ou si l'organisme concerné possède un établissement installé sur le territoire national.
Plusieurs raisons peuvent conduire à un contrôle de la CNIL concernant les données personnelles :
Différentes formes de contrôle existent :
La CNIL établit un procès-verbal du contrôle regroupant les informations recueillies et les constatations réalisées. Il contient également en annexe les documents copiés lors du contrôle. Ensuite, la Commission examine ce procès-verbal et vérifie si les données sensibles sont traitées dans le respect des dispositions du RGPD :
Les sanctions dépendent de la gravité, la nature et la durée de la violation de la réglementation.
Une amende pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial pour les entreprises peut être appliquée dans les cas de manquement aux obligations de la part :
Une amende pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial dans le cas des entreprises peut être infligée si un manquement est constaté vis-à-vis d'une de ces obligations :
Le Code de la Santé Publique prévoit des sanctions pénales (articles 1115-1 et 1115-2) dans le cas où l'hébergement des DSCP est confié à une société ni agréée HADS ni certifiée HDS :
Un établissement de santé peut légalement héberger ses propres dossiers sans avoir de certification. Par contre, s'il utilise ses propres infrastructures pour héberger les DSCP d'autres institutions, il est considéré comme un hébergeur et doit donc être certifié HDS.
Il peut y avoir une autre tentative de contournement de la loi : les montages juridiques visant à passer outre l'obligation de certification HDS. Par exemple, certaines personnes déclarent passer des contrats de bail au lieu de contrats d'hébergement. De toute façon, du moment que ce sont bien des DSCP qui sont conservées, l'obligation de certification HDS demeure, indépendamment de l'appellation du contrat.
Si vous souhaitez confier la conservation de vos données sensibles à un prestataire, vous êtes légalement obligés de choisir un sous-traitant possédant soit l'agrément HADS (Hébergeur Agréé des Données de Santé), soit la certification HDS (Hébergeur de Données de Santé). L'agrément HADS n'est plus attribué depuis la mise en place de la certification HDS en 2018.
Cependant, comme il est valide pendant 3 ans, les sociétés agréées HADS sont autorisées à poursuivre leurs activités jusqu'à expiration de leur agrément. Ensuite, elles doivent obligatoirement passer la certification HDS.
La certification HDS est une norme internationale plus restrictive que l'agrément HADS, applicable uniquement en France. Elle repose sur des standards internationaux tels que les normes ISO 27001, ISO 27018 et ISO 20000 ainsi que sur des critères spécifiques aux données de santé. Avec l'instauration de cette certification, les informations sensibles que sont les DSCP sont encore mieux protégées.
Pour assurer de l'entière transparence de ce processus de certification, il est réalisé par des organismes certificateurs indépendants. La liste des sociétés certifiées HDS est disponible sur le site de l'Agence du Numérique en Santé.
Afin de protéger suffisamment les données de santé, qui sont des informations hautement sensibles, les agences gouvernementales dont la CNIL, peuvent s'appuyer sur de nombreuses lois. Le traitement et la conservation des DSCP sont donc fortement encadrés, notamment avec la mise en place de la nouvelle certification HDS. Tout manquement aux obligations légales peut faire l'objet de sanctions conséquentes.
Vous souhaitez découvrir davantage sur l'hébergement de données de santé ? Écoutez notre podcast ! Notre expert Gauthier Thomas vous en dit plus sur la certification HDS ! Vous pouvez également consulter notre article spécialisé.