RGPD et protection des données

Le responsable du traitement (RT) est l'entité qui décide de la finalité et des moyens du traitement des données à caractère personnel.

Le sous-traitant est l'entité qui traite les données à caractère personnel pour le compte du responsable du traitement.

Le RGPD responsabilise les acteurs du traitement des données, en particulier le responsable du traitement, et allège les formalités préalables avec la CNIL.

Le principe d'accountability oblige le responsable du traitement à démontrer sa conformité aux exigences du RGPD en traçant toutes les démarches entreprises.

Le registre des activités de traitements est un document qui répertorie toutes les opérations de traitement de données à caractère personnel.

Une analyse d'impact est nécessaire pour les traitements présentant un risque élevé pour les personnes.

Le responsable du traitement est responsable d'informer correctement les personnes concernées sur le traitement de leurs données.

Le responsable du traitement est responsable d'assurer l'effectivité des droits des personnes concernées, comme le droit d'accès, de rectification ou d'opposition.

La CNIL est l'autorité de contrôle nationale en France pour le RGPD, régulant les données personnelles.

Le règlement général sur la protection des données (RGPD) régit la protection des données personnelles au sein de l'Union Européenne.

Le traitement de données à caractère personnel de santé est interdit en règle générale, sauf exceptions bien définies.

L'article 9-I du RGPD et l'article 6-I de la loi informatique et libertés (LIL) interdisent le traitement de données à caractère personnel de santé, sauf exceptions.

Certaines conditions permettent de contourner l'interdiction de traitement des données de santé, comme la recherche médicale ou le soin.

L'objectif principal de l'utilisation des données collectées. Elle doit être claire et définie au préalable.

Le fondement légal qui permet à une organisation de traiter des données personnelles.

Des situations exceptionnelles où le traitement de données personnelles sensibles est autorisé malgré l'interdiction générale.

S'assurer que des mesures de sécurité sont mises en place pour protéger l'intégrité et la confidentialité des données.

Évaluation des risques liés à la sécurité des données et mise en place de mesures correctives.

Vérifier si le traitement des données est conforme aux exigences spécifiques de la Loi Informatique et Libertés (LIL) relative aux données de santé.

Procédure d'autorisation pour la recherche impliquant la personne humaine, qui est différente de la recherche non interventionnelle.

Procédure d'autorisation pour la recherche non impliquant la personne humaine, qui est différente de la recherche impliquant la personne humaine.

Évaluer si la recherche est conforme aux méthodologies de référence homologuées par la CNIL.

Informer clairement le patient du partage ou de l'échange de ses données personnelles.

Toute information se rapportant à une personne physique identifiée ou identifiable, qu'elle soit confidentielle ou publique, de nature privée ou professionnelle.

Une personne physique qui peut être identifiée, directement ou indirectement, par exemple par référence à un identifiant, des données de localisation ou des éléments spécifiques propres à son identité.

Catégories particulières de données personnelles considérées comme sensibles et nécessitant une protection accrue.

Ces données révèlent des informations sensibles sur la :

• origine raciale ou ethnique
• opinions politiques
• convictions religieuses ou philosophiques
• appartenance syndicale
• données concernant la santé
• données génétiques
• données biométriques pour identifier une personne unique
• données concernant la vie sexuelle ou l’orientation sexuelle

Données relatives à la santé physique ou mentale d’une personne, incluant les informations sur l’état de santé, les prestations de soins de santé, les traitements et les diagnostics.

Informations sur les antécédents médicaux, les diagnostics, les traitements, les résultats d'examens, les interventions médicales et les handicaps.

Données provenant de la combinaison d'autres données, qui, à cause de cette association, deviennent des données de santé.

Données qui deviennent des données de santé en raison de leur utilisation dans un contexte médical.

Données directement identifiantes, comme le nom, le prénom, l'adresse, etc.

Données qui ne permettent pas d'identifier directement un individu, mais peuvent le faire indirectement, comme la date de naissance, un numéro de patient, etc.

Données qui ne permettent plus d'identifier une personne. Elles sont modifiées pour supprimer toute trace d'identité.

Données regroupées, comme des statistiques, qui ne permettent plus d'identifier un individu.

Technique de protection des données personnelles consistant à remplacer les données directement identifiantes par des données indirectement identifiantes, comme des alias ou des numéros séquentiels.

Traitement qui rend impossible, en pratique et de manière irréversible, l'identification d'une personne

Le RGPD recommande la pseudonymisation pour limiter les risques liés au traitement de données personnelles, surtout dans le domaine de la recherche en santé.

Le RGPD s'applique aux données personnelles de personnes se trouvant sur le territoire de l'Union Européenne, même si le responsable du traitement est situé en dehors de l'UE. Il y a quelques exceptions à cette règle.

Le RGPD ne s'applique pas aux traitements de données personnelles effectués par une personne physique dans le cadre d'une activité strictement personnelle ou domestique. Il ne s'applique pas non plus à des situations spécifiques comme la sécurité publique.

Tous les organismes qui utilisent des données personnelles ont l'obligation d'informer les personnes concernées sur leurs droits concernant ces données. Ils doivent également indiquer où et comment les personnes peuvent exercer ces droits.

Les personnes ont le droit d'accéder à leurs données personnelles, de les rectifier, de s'opposer à leur traitement, de les effacer, de limiter leur traitement et de les transférer (portabilité).

Dans certains cas, comme l'exécution d'une mission d'intérêt public, le responsable du traitement peut refuser de donner suite aux demandes de suppression, d'opposition, de rectification ou de limitation du traitement des données.

Le droit d'accès aux données de santé permet aux personnes de consulter les informations les concernant détenues par les professionnels de santé, soit directement, soit par l'intermédiaire d'un médecin.

Le RGPD définit six bases légales qui justifient le traitement de données à caractère personnel. Le consentement, le contrat, l'obligation légale, la mission d'intérêt public, l'intérêt légitime et la sauvegarde des intérêts vitaux font partie de ces bases légales.

L'effacement des données permet aux personnes de demander la suppression de toutes leurs données détenues par un organisme. En matière de santé, l'effacement est rarement applicable dans le cadre du soin, mais il est possible dans le cadre de la recherche.

Le droit d'opposition permet aux personnes de refuser que leurs données soient utilisées à des fins spécifiques, par exemple pour la recherche. En matière de santé, le droit d'opposition s'applique surtout dans le cadre de la recherche.

La portabilité des données permet aux personnes de récupérer leurs données dans un format numérique lisible par machine. Ce droit peut être utilisé pour transférer des données d'un organisme à un autre, comme l'envoi de son dossier médical personnel d'un hôpital à un autre.

Le droit de rectification permet aux personnes de corriger les erreurs contenues dans leurs données. En matière de santé, ce droit est peu applicable, car les erreurs de données sont souvent traitées directement par les professionnels de santé.

Le droit à la limitation du traitement permet aux personnes de demander un blocage temporaire du traitement de leurs données, par exemple le temps d'examiner une contestation sur l'utilisation de ses données ou une demande d'exercice de droits.

La LIL (Loi Informatique et Libertés) et le RGPD (Règlement Général sur la Protection des Données) forment le double cadre réglementaire qui régit le traitement des données personnelles.

Les données personnelles et les données personnelles de santé sont des données dont le traitement est interdit, sauf exceptions définies par la LIL et le RGPD.

Le RGPD s'applique aux responsables de traitement situés dans l'UE ou si les données concernent une personne sur le territoire de l'UE.

Les personnes ont des droits sur leurs données qui dépendent de la base légale du traitement. Ces droits sont garantis par le RGPD.

Le consentement est une base légale qui permet de traiter les données personnelles si la personne concernée a donné son accord explicite.

Le contrat est une base légale qui permet de traiter les données personnelles si le traitement est nécessaire à l'exécution d'un contrat avec la personne concernée.

L'obligation légale est une base légale qui permet de traiter les données si le traitement est nécessaire au respect d'une obligation légale.

La mission d'intérêt public est une base légale qui permet de traiter les données si le traitement est nécessaire à l'exécution d'une mission d'intérêt public.

L'intérêt légitime est une base légale qui permet de traiter les données si le traitement est nécessaire à la poursuite d'intérêts légitimes de l'organisme qui traite les données ou d'un tiers, dans le strict respect des droits et intérêts des personnes dont les données sont traitées.

La sauvegarde des intérêts vitaux est une base légale qui permet de traiter les données si le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’un tiers.