L'impact du RGPD sur les données patients des IDEL

Depuis le 25 mai 2018, une nouvelle réglementation européenne est entrée en vigueur pour la protection des données. Quels sont les impacts sur votre activité et la façon dont vous devez gérer vos données ?

Qu'est-ce que le RGPD ?

Le Règlement Général sur la Protection des Données est un texte de loi européen qui est entré en vigueur au 25 mai 2018. Il a pour but de mieux protéger les données des individus et leur permettre un meilleur contrôle de leurs données. Il remplace le cadre juridique en place en France depuis 1978.

Concrètement, il concerne le traitement des données, qui correspond à toute manipulation, stockage, utilisation et communication de celles-ci. Il redéfinit la distinction entre les données personnelles et les données dites sensibles qui doivent être mieux protégées. Il replace les individus qui sont amenés à manipuler ces données comme responsables des données.

Quelle réglementation pour vos données patients ?

En tant que professionnel de santé, vous êtes amenés à traiter et recueillir les données de santé de vos patients dans le cadre de leur prise en charge. Vous récupérez et scannez leur ordonnance qui contient leur traitement, et faites parfois une démarche de soins infirmiers dans laquelle vous notez des observations et établissez un diagnostic infirmier. Vous prenez également des constantes vitales que vous reportez dans un dossier de soins. Toutes ces informations que vous traitez et stockez sont des données personnelles et à caractère sensible.

Elles entrent donc dans le cadre du RGPD et doivent faire l'objet d'une attention toute particulière ! Ainsi, vous devez garantir leur sécurité, leur accessibilité par le patient, qui peut vous demander de les supprimer lorsque vous n'en avez plus l'utilité, ou de les modifier. Vous êtes responsable de toutes les données que vous récoltez auprès de vos patients et devez donc garder en tête ce principe quand vous choisissez vos outils de travail.

Les bonnes pratiques à mettre en place

Stocker ses données de manière sécurisée : on évite de stocker les données sensibles sur une clé USB, que vous pouvez facilement perdre ou vous faire voler, ou sur votre propre ordinateur qui peut tomber en panne ou être piraté. Nous recommandons le stockage de vos données sur des serveurs sécurisés « Hébergement de Données Santé », le niveau maximal pour vos données. Le logiciel agathe YOU utilise par exemple ce type d'hébergement.

De la même manière, quand vous partez en tournée, il est important de garder ce principe à l'esprit. Un smartphone n'est pas plus sécurisé qu'un ordinateur donc pour échanger avec vos collègues, nous vous recommandons de passer par une application sécurisée. C'est le cas de l'application CBA qui est synchronisée au logiciel agathe YOU et utilise le même niveau de sécurité, en toute circonstance !

Ne collecter que l'essentiel : c'est le principe de minimisation. On ne collecte que les données dont on a besoin pour la prise en charge et on laisse de côté le superflu.

Limiter la durée de la conservation des données : l'idée ici est de conjuguer les obligations de conservation des données de santé, sans faire de zèle ! Une fois le délai de conservation passé, on n'hésite pas à faire le tri. En plus, cela permet d'y voir plus clair. Le délai de conservation recommandé est de 20 ans pour les médecins à titre d'indication.

Informer les personnes du traitement de leurs données : il est important d'informer les patients que vous êtes amené à recueillir leurs données et les stocker. Vous n'êtes pas obligés de recueillir le consentement de vos patients, puisque la collecte de données est nécessaire dans le cadre de la prise en charge. Vous pouvez aussi informer les patients grâce à un système d'affiches dans votre cabinet.

Limiter l'accès à ces données : Vous devez faire en sorte de donner l'accès aux données des patients qu'aux personnes autorisées, et une fois de plus, seulement les données dont elles ont besoin. Il est tout à fait possible par exemple de donner l'accès à la secrétaire de votre cabinet par exemple.

Tenir un registre des activités de traitement : il permet de recenser toutes vos activités de traitement des données dans le cadre de votre exercice. Vous pouvez trouver des modèles comme celui de la CNIL.

Quelques questions fréquemment posées

• Dois-je toujours me déclarer auprès de la CNIL ?
  • Non, cette démarche n'est plus d'actualité depuis l'entrée en vigueur du RGPD. Par contre, vous devez être en mesure de prouver que vous êtes en conformité avec cette loi.
• Dois-je désigner un Délégué à la Protection des Données (DPO) ?
  • Dans une activité exercée à titre individuel, vous n'êtes pas obligé de désigner un DPO. La désignation du DPO peut être envisagée dans le cas où vous traitez de nombreuses données (par exemple en établissements comme les maisons santé).
• Le RGPD concerne-t-il uniquement les données numérisées?
  • Non, cette loi concerne aussi bien le traitement numérique que papier de vos données.

Le RGPD : une mise en route progressive

Les chiffres des amendes annoncés en cas de non-respect peuvent faire peur : jusqu'à 20 millions d'euros. Toutefois, les sanctions ne tomberont pas dans l'immédiat car il faut laisser le temps à tous les responsables de données de se mettre en conformité. L'idée est ici de changer la façon dont nous considérons nos données, pour leur apporter plus de sécurité et les traiter de manière plus responsable.

Et vous, que pensez-vous de ce nouveau règlement ? Avez-vous déjà mis des choses en place ?