Temps de lecture estimé : 18 minutes
Les données de santé sont des informations sensibles, ce qui explique pourquoi la loi encadre précisément leur collecte afin de protéger les droits des patients concernés. Si des simplifications ont été concédées au niveau de la déclaration de cette récupération d'informations, elles sont accompagnées de mesures spécifiques pour assurer une complète traçabilité.
De plus, si vous souhaitez confier l'hébergement de ces informations à des tiers, vous devrez obligatoirement passer par des hébergeurs certifiés HDS.
01. Comment sont définies les données de santé ?
02. Les obligations vis-à-vis des patients
03. Les changements législatifs concernant la collecte des informations médicales
04. L'hébergement des informations médicales par des tiers
Ces informations sont relatives à l'état de santé mentale ou physique d'une personne et peuvent concerner l'état actuel, futur ou passé du patient.
Elles sont classées en 3 catégories :
En plus d'être personnelles, ces informations médicales ont aussi un caractère sensible, ce qui explique pourquoi elles sont soumises à une législation spécifique.
Pour la récupération d'informations médicales et donc sensibles, les droits des personnes concernées doivent être respectés. Un certain nombre d'informations très précises et définies par la CNIL doivent être transmises aux patients.
Parmi elles figurent l'identité et les coordonnées du responsable du traitement, les finalités du traitement, les éventuels destinataires dans le cas d'une transmission des informations, la durée de conservation, les droits d'accès, de rectification et d'effacement, le droit d'opposition au traitement, etc.
Si les informations sont transmises ou partagées, des formalités additionnelles s'appliquent et notamment le recueil du consentement préalable du patient, sachant que celui-ci a le droit de changer d'avis à tout moment.
Les traitements d'informations médicales ne requièrent plus de formalités auprès de la CNIL lorsqu'une des conditions suivantes est remplie :
Cependant, pour ces types de traitements, il est tout de même nécessaire de procéder à une inscription dans votre registre des activités de traitement. Selon les cas, il vous faudra également réaliser une analyse d'impact.
Vu que de nombreux traitements d'informations d'ordre médical ne sont plus soumis à des formalités préalables, le législateur considère qu'il incombe tout de même au responsable du traitement de pouvoir prouver la conformité des opérations avec le RGPD.
Pour cela, il est demandé de démontrer :
L'analyse d'impact est requise si le traitement peut éventuellement créer un « risque élevé » pour les libertés et les droits des personnes. Certains critères permettent d'évaluer le potentiel risque généré par un traitement :
La règle veut que si deux au moins des précédents critères sont remplis, une analyse d'impact soit nécessaire. Cependant, le responsable du traitement peut décider de mener l'étude d'impact même si son traitement répond à moins de deux critères. Inversement, il peut juger que l'étude d'impact n'est pas nécessaire même en répondant à deux critères voire plus mais il doit alors justifier sa décision.
Même non soumis à l'obligation d'analyse d'impact, ces traitements doivent bien sûr être conformes aux conditions définies par le RGPD. Deux cas d'exemption existent. Tout d'abord, quand un traitement est similaire à un autre pour lequel une étude d'impact a déjà été réalisée. Ensuite, si un traitement a pour objectif de répondre à une obligation légale et qu'une étude d'impact a déjà été réalisée lors de l'adoption de la loi concernée.
Si vous souhaitez que les informations médicales collectées par vos soins soient hébergées par un sous-traitant, la loi vous impose de choisir un prestataire possédant la certification ou l'agrément HDS. Ces entreprises ne peuvent conserver ces informations que sur demande des patients ou pour le compte des personnes à l'origine de leur production ou de leur collecte. Ces informations médicales doivent avoir été collectées par le biais de suivi médico-social ou social, de prestations de soin, de diagnostic ou de prévention.
Cette certification remplace l'ancien agrément HDS. Elle est obtenue après que l'hébergeur a passé avec succès un audit diligenté par un organisme certificateur comme la COFRAC. L'audit comprend une phase documentaire et une autre sur site.
Si des non-conformités sont trouvées, l'hébergeur a 3 mois pour les corriger. Lorsque la correction est jugée satisfaisante ou en l'absence de non-conformités, le certificat est délivré pour une période de 36 mois. Un audit de suivi est également réalisé chaque année pendant la durée de validité du certificat. Sur le site de l'ANS, vous trouverez une liste des hébergeurs dont la certification HDS est en cours de validité.
Du fait de leur caractère sensible, les données de santé sont protégées par des réglementations précises, notamment lorsqu'elles sont collectées et hébergées par des tiers. Dans ce cas, le recours à un prestataire certifié HDS est obligatoire afin de garantir la sécurité des informations et le respect du droit des patients.
Vous souhaitez découvrir davantage sur l'hébergement de données de santé ? Écoutez notre podcast ! Notre expert Gauthier Thomas vous en dit plus sur la certification HDS ! Vous pouvez également consulter notre article spécialisé.