{"id":42401,"date":"2020-10-01T11:40:26","date_gmt":"2020-10-01T09:40:26","guid":{"rendered":"https:\/\/gestions-hospitalieres.fr\/?p=42401"},"modified":"2020-10-19T12:47:23","modified_gmt":"2020-10-19T10:47:23","slug":"du-droit-individuel-a-la-protection-collective","status":"publish","type":"post","link":"https:\/\/www.ricom-web8.com\/gestions\/du-droit-individuel-a-la-protection-collective\/","title":{"rendered":"Du droit individuel \u00e0 la protection collective"},"content":{"rendered":"Temps de lecture\u00a0: <\/span> 13<\/span> minutes<\/span><\/span>

D\u00e8s le d\u00e9but des ann\u00e9es 2000, la Charte des droits fondamentaux de l\u2019Union europ\u00e9enne(2)<\/sup> affirmait le droit \u00e0 la protection des donn\u00e9es personnelles des individus. Elle \u00e9non\u00e7ait par ailleurs les fondements du traitement de ces donn\u00e9es, reposant sur une base de loyaut\u00e9, \u00e0 des fins d\u00e9termin\u00e9es et avec le consentement de la personne. Elle pr\u00e9voyait l\u2019acc\u00e8s aux donn\u00e9es personnelles et la cr\u00e9ation d\u2019une autorit\u00e9 ind\u00e9pendante charg\u00e9e d\u2019en contr\u00f4ler le respect des r\u00e8gles de protection. Cette charte est ensuite devenue contraignante juridiquement, apr\u00e8s la ratification du trait\u00e9 de Lisbonne le 13 d\u00e9cembre 2007.<\/p>\n

L\u2019UE a pr\u00e9cis\u00e9 la question de la protection des donn\u00e9es personnelles en adoptant le 27 avril 2016 le R\u00e8glement g\u00e9n\u00e9ral de protection des donn\u00e9es (RGPD)(3)<\/sup>. Ce r\u00e8glement europ\u00e9en est directement applicable dans tous les \u00c9tats membres de l\u2019UE et ne n\u00e9cessite donc pas de transposition dans le droit national pour devenir effectif(4)<\/sup>. Pour autant, il laisse en pratique une marge de man\u0153uvre aux \u00c9tats membres et impose l\u2019adaptation, et non la transposition, de 57\u00a0points sp\u00e9cifiques devant faire l\u2019objet de dispositions juridiques dans le droit national de chaque \u00c9tat, par exemple en mati\u00e8re de consentement des mineurs.\u00a0<\/span><\/p>\n

Le RGPD, entr\u00e9 en vigueur le 25 mai 2018(5)<\/sup>, a apport\u00e9 des modifications essentielles sur les principes et les modalit\u00e9s de protection des donn\u00e9es personnelles au sein de l\u2019espace europ\u00e9en. En France, il a fait l\u2019objet le 12 d\u00e9cembre 2018 d\u2019une ordonnance portant modification de la loi du 6 janvier 1978 dite \u00ab\u2009Informatique et libert\u00e9s\u2009\u00bb (LIL)(6)<\/sup>. Ces dispositions ont \u00e9t\u00e9 compl\u00e9t\u00e9es par le d\u00e9cret du 29 mai 2019(7)<\/sup>.<\/p>\n

Dans le domaine de la sant\u00e9, la nature m\u00eame des donn\u00e9es personnelles collect\u00e9es et le d\u00e9veloppement exponentiel des grandes bases de donn\u00e9es, ou big data<\/i>, ont impos\u00e9 des mesures particuli\u00e8res et renforc\u00e9es. La protection des donn\u00e9es personnelles a connu ces derni\u00e8res d\u00e9cennies une \u00e9volution extensive de son champ, lequel s\u2019est \u00e9largi de la protection des donn\u00e9es personnelles aux nouveaux enjeux cr\u00e9\u00e9s par le d\u00e9ploiement et la g\u00e9n\u00e9ralisation des big data<\/i> en sant\u00e9.<\/p>\n

Principes fondateurs\u00a0<\/span><\/h1>\n

Le RGPD a profond\u00e9ment modifi\u00e9 la philosophie des dispositions r\u00e9gies ant\u00e9rieurement en France par la LIL de 1978. Les dispositions l\u00e9gislatives imposaient un ensemble de formalit\u00e9s pr\u00e9alables au traitement des informations \u00e0 caract\u00e8re personnel, aupr\u00e8s de l\u2019autorit\u00e9 comp\u00e9tente, la Commission nationale informatique et libert\u00e9s (Cnil). Il convient de noter que la LIL cr\u00e9ait une ambigu\u00eft\u00e9 en traitant du sujet des \u00ab\u2009informations nominatives\u2009\u00bb et non des \u00ab\u2009donn\u00e9es \u00e0 caract\u00e8re personnel\u2009\u00bb, qui n\u2019appara\u00eetra qu\u2019en 2004 dans la transposition de la Directive europ\u00e9enne du 24 octobre 1995 sur la protection des donn\u00e9es personnelles(8)<\/sup>.<\/p>\n

Le RGPD d\u00e9finit par le principe d\u2019accountability<\/i> \u2013 qui qualifie l\u2019obligation pour les entreprises ou institutions de mettre en \u0153uvre des m\u00e9canismes et des proc\u00e9dures internes permettant de justifier dans l\u2019ensemble des \u00e9tapes de collecte, de traitement et de conservation \u2013 le respect des r\u00e8gles relatives \u00e0 la protection des donn\u00e9es. Le responsable de tout traitement doit ainsi absolument garantir la s\u00e9curit\u00e9 des donn\u00e9es personnelles recueillies, le terme \u00e9tant entendu au sens large.\u00a0<\/span><\/p>\n

Ce principe transf\u00e8re la responsabilit\u00e9 de la preuve des dispositions mises en \u0153uvre \u00e0 la charge du responsable du traitement des informations et non, en cas de manquement, \u00e0 la personne aupr\u00e8s de laquelle les donn\u00e9es personnelles sont collect\u00e9es. \u00c0 tout moment, le responsable de la collecte de donn\u00e9es personnelles doit \u00eatre en mesure de mettre en place, de garantir et de prouver les dispositions \u00e9thiques, techniques et organisationnelles qu\u2019il a d\u00e9ploy\u00e9es. Il doit \u00eatre en capacit\u00e9 de d\u00e9montrer que le traitement a \u00e9t\u00e9 r\u00e9alis\u00e9 conform\u00e9ment au RGPD, et ce sous le contr\u00f4le notamment de l\u2019autorit\u00e9 de contr\u00f4le, la Cnil en France. Il s\u2019agit bien d\u2019un syst\u00e8me d\u2019autor\u00e9gulation visant \u00e0 responsabiliser les acteurs dans la collecte, le traitement, l\u2019exploitation et la conservation des donn\u00e9es personnelles.<\/p>\n

La collecte des donn\u00e9es doit \u00eatre organis\u00e9e de fa\u00e7on transparente et ce principe impose le respect de plusieurs dispositions dans le traitement des donn\u00e9es \u00e0 caract\u00e8re personnel (art. 5 du RGPD).<\/p>\n

Le RGPD dispose ainsi que ce traitement doit \u00eatre r\u00e9alis\u00e9 de fa\u00e7on \u00ab\u2009loyale et licite\u2009\u00bb et qu\u2019il doit \u00eatre fond\u00e9 sur au moins une des conditions suivantes(9)<\/sup>\u2009:\u00a0<\/span><\/p>\n

    \n
  • la personne concern\u00e9e doit consentir au pr\u00e9alable au traitement de ses donn\u00e9es \u00e0 caract\u00e8re personnel(10)<\/sup>. On retiendra que le RGPD a marqu\u00e9 une inflexion dans le droit fran\u00e7ais sur la question du consentement. En effet, la loi de 1978 avait retenu le principe de l\u2019opt-out<\/i>, qui fonde une pr\u00e9somption de consentement de la personne concern\u00e9e pour le recueil du traitement des donn\u00e9es. Dans ce cas, la personne ne conserve que la facult\u00e9 de s\u2019opposer a posteriori<\/i> au traitement de ses donn\u00e9es. La transposition de la Directive europ\u00e9enne de 1995 par la loi de 2004 modifiant la LIL de 1978(11)<\/sup> avait marqu\u00e9 un changement par l\u2019adoption du principe de l\u2019opt-in<\/i>\u2009(12)<\/sup>, qui impose de recueillir pr\u00e9alablement l\u2019accord de la personne concern\u00e9e. Ces dispositions concernent en particulier l\u2019envoi de message \u00e0 caract\u00e8re publicitaire(13)<\/sup>\u2009;<\/li>\n
  • le traitement doit \u00eatre n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution d\u2019un contrat ou de mesures pr\u00e9contractuelles\u2009;<\/li>\n
  • le traitement doit \u00eatre n\u00e9cessaire au respect d\u2019une obligation l\u00e9gale \u00e0 laquelle le responsable du traitement est soumis et rend la tenue de fichiers obligatoire(14)<\/sup>\u2009;<\/li>\n
  • le traitement doit \u00eatre n\u00e9cessaire \u00e0 la sauvegarde des int\u00e9r\u00eats vitaux de la personne concern\u00e9e ou d\u2019une autre personne physique\u2009;<\/li>\n
  • le traitement doit \u00eatre n\u00e9cessaire \u00e0 l\u2019ex\u00e9cution d\u2019une mission d\u2019int\u00e9r\u00eat public ou relevant de l\u2019exercice de l\u2019autorit\u00e9 publique dont est investi le responsable du traitement. Ces dispositions ont servi de base l\u00e9gale au recueil et au traitement de donn\u00e9es personnelles dans le cadre de la crise du Covid-19. L\u2019arr\u00eat\u00e9 du 21 avril 2020 pr\u00e9cise que \u00ab\u2009le groupement d\u2019int\u00e9r\u00eat public et la Caisse nationale de l\u2019assurance maladie ne peuvent collecter que les donn\u00e9es n\u00e9cessaires \u00e0 la poursuite d\u2019une finalit\u00e9 d\u2019int\u00e9r\u00eat public en lien avec l\u2019\u00e9pid\u00e9mie actuelle de Covid-19. Ils sont responsables du stockage et de la mise \u00e0 disposition des donn\u00e9es. Ils sont autoris\u00e9s \u00e0 croiser les donn\u00e9es [\u2026](15)<\/sup>\u00bb\u2009;<\/li>\n
  • le traitement doit \u00eatre n\u00e9cessaire aux fins des int\u00e9r\u00eats l\u00e9gitimes poursuivis par le responsable du traitement ou par un tiers, sauf si les int\u00e9r\u00eats, libert\u00e9s et droits fondamentaux de la personne concern\u00e9e pr\u00e9valent (par exemple s\u2019il s\u2019agit d\u2019un enfant)\u2009;<\/li>\n
  • le traitement est loyal et transparent si la personne concern\u00e9e est inform\u00e9e de l\u2019existence du traitement, de sa finalit\u00e9 et de ses droits en lien avec ce traitement.<\/li>\n<\/ul>\n

    Enfin, le RGPD se fonde sur la cr\u00e9ation d\u2019une relation de confiance qui associe la personne dont les donn\u00e9es personnelles sont collect\u00e9es et le responsable du traitement de ces donn\u00e9es. Cette confiance repose sur cinq axes et principes fondateurs\u2009:\u00a0<\/span><\/p>\n

      \n
    • le responsable du traitement d\u2019une donn\u00e9e personnelle ne peut enregistrer et traiter des informations sur des personnes physiques que dans un but pr\u00e9cis, l\u00e9gal et l\u00e9gitime\u2009;<\/li>\n
    • les donn\u00e9es recueillies doivent \u00eatre pertinentes et proportionnelles \u00e0 l\u2019usage auquel elles sont destin\u00e9es. Il s\u2019agit de venir limiter la collecte des donn\u00e9es \u00e0 celles qui sont strictement n\u00e9cessaires au regard de la finalit\u00e9 du fichier constitu\u00e9(16)<\/sup>\u2009;<\/li>\n
    • la dur\u00e9e de conservation des donn\u00e9es collect\u00e9es doit \u00eatre limit\u00e9e dans le temps, \u00e9tablie pour une dur\u00e9e d\u00e9finie qui doit \u00eatre pr\u00e9cis\u00e9e pr\u00e9alablement au recueil des donn\u00e9es collect\u00e9es. La dur\u00e9e de conservation peut d\u2019ailleurs \u00eatre variable en fonction du type d\u2019information enregistr\u00e9e et en fonction de la finalit\u00e9 du fichier constitu\u00e9(17)<\/sup>. Ce principe de conservation limit\u00e9e, pr\u00e9vu par le RGPD et la LIL, a fait l\u2019objet de la publication de r\u00e9f\u00e9rentiel par la Cnil (art. 13 et 14, RGDP)\u2009;<\/li>\n
    • le responsable du traitement des donn\u00e9es doit garantir \u00e0 tout moment la s\u00e9curit\u00e9 et la confidentialit\u00e9 des informations recueillies\u2009;\u00a0<\/span><\/li>\n
    • le responsable du traitement doit en particulier veiller \u00e0 ce que la personne dont les donn\u00e9es ont \u00e9t\u00e9 recueillies ait un acc\u00e8s permanent \u00e0 celles-ci, et que seules les personnes autoris\u00e9es sous sa responsabilit\u00e9 puissent \u00e9galement y acc\u00e9der.<\/li>\n<\/ul>\n

      L\u2019exercice de droits\u00a0garantis par le RGPD<\/h1>\n

      Le RGPD introduit un ensemble de dispositions venant garantir l\u2019exercice de droits par les personnes aupr\u00e8s desquelles les donn\u00e9es sont recueillies. En effet, le consentement pr\u00e9alable des personnes ne dispense pas de les informer pour leur permettre d\u2019exercer leurs droits.<\/p>\n

      Lorsque des donn\u00e9es \u00e0 caract\u00e8re personnel relatives \u00e0 une personne sont collect\u00e9es, le responsable du traitement doit fournir, au moment o\u00f9 les donn\u00e9es sont obtenues, toute une s\u00e9rie d\u2019informations. Celles-ci doivent venir justifier le caract\u00e8re l\u00e9gitime du traitement des donn\u00e9es, notamment en mati\u00e8re de recherche dans le domaine de la sant\u00e9. Elles doivent \u00eatre fournies \u00e0 la personne m\u00eame lorsque ces donn\u00e9es n\u2019ont pas \u00e9t\u00e9 collect\u00e9es directement aupr\u00e8s d\u2019elle (art. 15, RGPD).<\/p>\n

      En corollaire, le droit \u00e0 l\u2019information et le droit d\u2019acc\u00e8s sont consacr\u00e9s par le RGPD. La personne concern\u00e9e peut disposer \u00e0 tout moment de la capacit\u00e9 de savoir si les donn\u00e9es recueillies sont trait\u00e9es ou pas, et lorsqu\u2019elles le sont, elle a le droit d\u2019obtenir l\u2019acc\u00e8s \u00e0 ces informations au sens large. Cela se traduit par le droit d\u2019obtenir une copie des donn\u00e9es qui font l\u2019objet du traitement (art. 19, RGPD).\u00a0<\/span><\/p>\n

      Les droits reconnus aux personnes ne s\u2019arr\u00eatent pas au stade de la collecte des informations. Ainsi, le responsable du traitement des informations a l\u2019obligation de communiquer \u00e0 chaque destinataire des donn\u00e9es l\u2019ensemble des rectifications, effacements ou limitations du traitement des donn\u00e9es dont il a la responsabilit\u00e9(18)<\/sup>. Cette question se trouve compl\u00e9t\u00e9e par le dispositif r\u00e9gulant la sous-traitance reconnue par le RGPD dans le traitement des donn\u00e9es personnelles(19)<\/sup>.\u00a0<\/span><\/p>\n

      Un nouveau droit \u00e0 la portabilit\u00e9 des donn\u00e9es\u00a0personnelles a \u00e9t\u00e9 introduit par le RGPD\u2009: la personne concern\u00e9e a le droit de r\u00e9cup\u00e9rer ses donn\u00e9es personnelles dans un format structur\u00e9, couramment utilis\u00e9 et lisible par machine (art. 20, RGDP). Elle a en outre le droit de transmettre ces donn\u00e9es \u00e0 un autre responsable du traitement, par exemple pour pouvoir changer de fournisseur de service. Ce droit ne peut \u00eatre utilis\u00e9 que si le traitement des donn\u00e9es est bas\u00e9 sur le consentement de la personne concern\u00e9e ou sur l\u2019ex\u00e9cution d\u2019un contrat (art. 21, RGDP).<\/p>\n

      Le droit d\u2019opposition par la personne concern\u00e9e r\u00e9sulte indirectement du droit \u00e0 la portabilit\u00e9. \u00c0 tout moment, pour des raisons tenant \u00e0 sa situation particuli\u00e8re, \u00e0 un traitement des donn\u00e9es \u00e0 caract\u00e8re personnel la concernant fond\u00e9 sur l\u2019int\u00e9r\u00eat public ou l\u2019int\u00e9r\u00eat l\u00e9gitime du responsable de traitement, la personne concern\u00e9e a le droit de s\u2019opposer. Elle peut \u00e9galement exercer ce droit pour que ses donn\u00e9es ne soient pas trait\u00e9es \u00e0 des fins de marketing direct (art. 22, RGDP).<\/p>\n

      La personne concern\u00e9e a le droit de ne pas \u00eatre soumise \u00e0 une d\u00e9cision individuelle automatis\u00e9e,\u00a0r\u00e9sultant exclusivement d\u2019un traitement automatis\u00e9 produisant des effets juridiques la concernant ou l\u2019affectant de mani\u00e8re significative de fa\u00e7on similaire. Le profilage y est express\u00e9ment inclus (art. 34, RGDP).<\/p>\n

      Enfin, le responsable de traitement des informations a l\u2019obligation de notifier \u00e0 la personne concern\u00e9e les violations de donn\u00e9es \u00e0 caract\u00e8re personnel susceptibles de l\u2019exposer \u00e0 un risque \u00e9lev\u00e9 concernant ses droits et libert\u00e9s\u00a0; l\u00e0 encore, il appartient au responsable du traitement de prendre toutes les dispositions qui rel\u00e8vent de sa responsabilit\u00e9 pour informer la personne aupr\u00e8s de laquelle il a recueilli des donn\u00e9es personnelles (art. 33, RGDP). Par ailleurs, cette notification doit \u00e9galement \u00eatre adress\u00e9e par le responsable du traitement de l\u2019information \u00e0 l\u2019autorit\u00e9 de contr\u00f4le, la Cnil, si la violation des donn\u00e9es pr\u00e9sente \u00ab\u2009un risque ou un risque \u00e9lev\u00e9\u2009\u00bb, et ce dans un d\u00e9lai de 72\u00a0heures(20)<\/sup>. Ces dispositions consacrent l\u2019inversion de la charge de la responsabilit\u00e9 dans le cadre de la collecte des informations personnelles, au regard de la l\u00e9gislation ant\u00e9rieure issue de la LIL de 1978.<\/p>\n

      Le caract\u00e8re sp\u00e9cifique des donn\u00e9es de sant\u00e9<\/h1>\n

      L\u2019article 9 du RGPD pr\u00e9cise que \u00ab\u2009le traitement des donn\u00e9es \u00e0 caract\u00e8re personnel qui r\u00e9v\u00e8le l\u2019origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l\u2019appartenance syndicale, ainsi que le traitement des donn\u00e9es g\u00e9n\u00e9tiques, des donn\u00e9es biom\u00e9triques aux fins d\u2019identifier une personne physique de mani\u00e8re unique, des donn\u00e9es concernant la sant\u00e9 ou des donn\u00e9es concernant la vie sexuelle ou l\u2019orientation sexuelle d\u2019une personne physique, sont interdits\u2009\u00bb.\u00a0<\/span><\/p>\n

      Les donn\u00e9es personnelles constituant des donn\u00e9es de sant\u00e9 sont consid\u00e9r\u00e9es comme sensibles. Elles sont relatives \u00e0 la sant\u00e9 physique ou mentale d\u2019une personne physique, tant en ce qui concerne ses ant\u00e9c\u00e9dents m\u00e9dicaux, traitements prescrits, r\u00e9sultats d\u2019examens de biologie m\u00e9dicale, comptes-rendus de consultation\/hospitalisation, situation de handicap\u2026 Ces donn\u00e9es de sant\u00e9 incluent par nature l\u2019identification des prestations et du recours aux services de soins ou au service de sant\u00e9. En r\u00e9alit\u00e9, le RGPD a retenu un champ large pour les donn\u00e9es de sant\u00e9, allant au-del\u00e0 de la notion des donn\u00e9es m\u00e9dicales, reprenant ainsi les dispositions ant\u00e9rieures(21)<\/sup> en visant tout ce qui a trait \u00e0 la sant\u00e9 physique et mentale des personnes. Ainsi, la pratique d\u2019une activit\u00e9 sportive peut devenir une donn\u00e9e de sant\u00e9 si elle est recommand\u00e9e ou prescrite par le m\u00e9decin dans le cadre de traitement d\u2019une pathologie.\u00a0<\/span><\/p>\n

      Le croisement d\u2019informations peut contribuer \u00e0 donner le statut de donn\u00e9es de sant\u00e9 \u00e0 des informations relevant de la vie courante. De m\u00eame, le croisement entre l\u2019information selon laquelle un patient a \u00e9t\u00e9 hospitalis\u00e9 et celle pr\u00e9cisant le service dans lequel il a \u00e9t\u00e9 admis peut constituer une donn\u00e9e de sant\u00e9.\u00a0<\/span><\/p>\n

      Le codage de la classification commune des actes m\u00e9dicaux (CCAM), s\u2019il conduit \u00e0 d\u00e9livrer une information sur l\u2019\u00e9tat de sant\u00e9 ou sur une prise en charge en lien avec une pathologie particuli\u00e8re, constitue une donn\u00e9e de sant\u00e9. De m\u00eame que l\u2019information sur le handicap contenue dans un traitement. La situation de handicap est ainsi d\u00e9finie de fa\u00e7on large par la loi 11 f\u00e9vrier 2005 comme toute \u00ab\u2009limitation d\u2019activit\u00e9 ou restriction de participation \u00e0 la vie en soci\u00e9t\u00e9 subie dans son environnement par une personne en raison d\u2019une alt\u00e9ration substantielle, durable ou d\u00e9finitive d\u2019une ou plusieurs fonctions physiques, sensorielles, mentales, cognitives ou psychiques, d\u2019un polyhandicap ou d\u2019un trouble de sant\u00e9 invalidant(22)<\/sup>\u00bb.<\/p>\n

      La Cnil est venue pr\u00e9ciser le champ extensif de la notion de donn\u00e9es de sant\u00e9 en distinguant trois cat\u00e9gories\u2009: \u00ab\u2009Celles qui sont des donn\u00e9es de sant\u00e9 par nature\u2009: ant\u00e9c\u00e9dents m\u00e9dicaux, maladies, prestations de soins r\u00e9alis\u00e9s, r\u00e9sultats d\u2019examens, traitements, handicap, etc., celles, qui du fait de leur croisement avec d\u2019autres donn\u00e9es, deviennent des donn\u00e9es de sant\u00e9 en ce qu\u2019elles permettent de tirer une conclusion sur l\u2019\u00e9tat de sant\u00e9 ou le risque pour la sant\u00e9 d\u2019une personne\u2009: croisement d\u2019une mesure de poids avec d\u2019autres donn\u00e9es (nombre de pas, mesure des apports caloriques\u2026), croisement de la tension avec la mesure de l\u2019effort, etc., celles qui deviennent des donn\u00e9es de sant\u00e9 en raison de leur destination, c\u2019est-\u00e0-dire de l\u2019utilisation qui en est faite au plan m\u00e9dical.\u2009\u00bb<\/p>\n

      En mati\u00e8re de donn\u00e9es en sant\u00e9 comme pour toutes les donn\u00e9es personnelles, le RGPD vient confirmer le r\u00f4le central et pivot de la personne concern\u00e9e par la collecte en ce qui concerne le recueil, la d\u00e9tention, l\u2019utilisation et la conservation de ses donn\u00e9es personnelles.<\/p>\n

      Protection renforc\u00e9e\u00a0en \u00e9tablissement de sant\u00e9<\/h1>\n

      Les \u00e9tablissements de sant\u00e9 (ES) traitent \u00e0 plusieurs niveaux les donn\u00e9es de sant\u00e9 qui pr\u00e9sentent un caract\u00e8re sensible(23)<\/sup>. Ils sont soumis \u00e0 des obligations de mise en \u0153uvre permettant de respecter les principes de protection des donn\u00e9es de sant\u00e9\u2009: finalit\u00e9 du recueil, pertinence des informations recueillies, proportionnalit\u00e9, dur\u00e9e de conservation limit\u00e9e, s\u00e9curit\u00e9, confidentialit\u00e9 et respect des droits des personnes.\u00a0<\/span><\/p>\n

      Pour mettre en \u0153uvre ces dispositions, depuis l\u2019entr\u00e9e en vigueur du RGPD, les ES doivent int\u00e9grer des proc\u00e9dures qui peuvent \u00eatre r\u00e9sum\u00e9es ainsi :<\/p>\n

        \n
      • obligation de tenir une documentation interne d\u00e9crivant les traitements mis en \u0153uvre et les mesures de mise en conformit\u00e9 de ces traitements. Dans certains cas particuliers, notamment dans le domaine de la recherche, ils doivent solliciter l\u2019autorisation de la Cnil\u2009;<\/li>\n
      • d\u00e9signation d\u2019un data protection officer<\/i>, ou d\u00e9l\u00e9gu\u00e9 \u00e0 la protection des donn\u00e9es (DPO). Les \u00e9tablissements publics de sant\u00e9 sont tous concern\u00e9s par cette obligation et les \u00e9tablissements priv\u00e9s le sont potentiellement lorsqu\u2019ils mettent en \u0153uvre un traitement \u00e0 grande \u00e9chelle de donn\u00e9es sensibles. La mutualisation du DPO entre plusieurs \u00e9tablissements est possible\u2009;<\/li>\n
      • les ES doivent assurer le respect des droits des personnes concern\u00e9es, renforc\u00e9s par le RGPD. \u00c0 tout moment, le responsable du traitement de l\u2019information doit permettre un droit \u00e0 l\u2019information, un droit d\u2019acc\u00e8s, de rectification, de suppression ou encore d\u2019opposition pour motif l\u00e9gitime lors du traitement des informations personnelles recueillies. Ces dispositions sont sp\u00e9cifiquement adapt\u00e9es et int\u00e9gr\u00e9es au code de la sant\u00e9 publique (CSP). Le RGPD est venu consacrer de nouveaux droits, notamment ceux \u00e0 la portabilit\u00e9 des donn\u00e9es et au droit \u00e0 l\u2019oubli, qui ont impos\u00e9 des adaptations fonctionnelles sp\u00e9cifiques dans les syst\u00e8mes d\u2019information des ES\u2009;\u00a0<\/span><\/li>\n
      • pr\u00e9alablement au recueil et au traitement des informations \u00e0 caract\u00e8re personnel, les ES doivent r\u00e9aliser un privacy impact assesment<\/i> (PIA), ou analyse d\u2019impact du traitement(24)<\/sup>. Il s\u2019agit de d\u00e9finir et d\u2019analyser tous les risques potentiels avant de mettre en \u0153uvre les traitements des donn\u00e9es de sant\u00e9, notamment les traitements de donn\u00e9es de sant\u00e9 \u00e0 grande \u00e9chelle. La r\u00e9alisation du PIA peut amener le responsable du traitement \u00e0 accepter le risque r\u00e9siduel s\u2019il existe\u2009;<\/li>\n
      • pour remplir ces obligations, les prestations de tiers fournisseurs dans le traitement des donn\u00e9es personnelles doivent \u00eatre encadr\u00e9es. L\u2019ES qui a recours \u00e0 un prestataire de services dont la prestation implique le traitement de donn\u00e9es de sant\u00e9 doit signer un contrat (ou march\u00e9 public) qui d\u00e9finit le contenu des prestations r\u00e9alis\u00e9es et les obligations en mati\u00e8re de s\u00e9curit\u00e9. Ce contrat est qualifi\u00e9 sur le plan juridique de sous-traitance de donn\u00e9es \u00e0 caract\u00e8re personnel\u2009;<\/li>\n
      • les ES doivent mettre en place des proc\u00e9dures visant \u00e0 garantir la s\u00e9curit\u00e9 et la confidentialit\u00e9 des donn\u00e9es dans le respect de la politique g\u00e9n\u00e9rale d\u00e9finie par l\u2019Agence nationale de s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information (Anssi) \u00e0 travers la politique g\u00e9n\u00e9rale de s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information de sant\u00e9 (PGSSI-S). Ces dispositions portent sur les obligations li\u00e9es \u00e0 la conservation des donn\u00e9es : dur\u00e9e, modalit\u00e9s d\u2019archivage, respect de la capacit\u00e9 de restituer les donn\u00e9es. Ils ont \u00e9galement l\u2019obligation de signaler \u00e0 la Cnil les incidents de s\u00e9curit\u00e9 au sens de l\u2019article L.1111-8-2 du CSP.<\/li>\n<\/ul>\n

        \u00c0 tout moment, le responsable du traitement de l\u2019information doit permettre un droit \u00e0 l\u2019information, un droit d\u2019acc\u00e8s, de rectification, de suppression ou encore d\u2019opposition pour motif l\u00e9gitime lors du traitement des informations personnelles recueillies.\u00a0<\/span><\/p><\/blockquote>\n

        L\u2019indispensable ouverture du champ des donn\u00e9es de sant\u00e9 par le big data \u00a0<\/span><\/h1>\n

        Depuis les exp\u00e9riences pionni\u00e8res d\u00e9velopp\u00e9es par\u00a0le\u00a0Media Lab\u00a0cr\u00e9\u00e9 en\u00a01985 par le\u00a0Massachusetts Institute of Technology(25)<\/sup>, les big data<\/i> se sont multipli\u00e9es. Dans le domaine de la sant\u00e9, elles sont d\u00e9finies par l\u2019Inserm comme \u00ab\u2009l\u2019ensemble des donn\u00e9es sociod\u00e9mographiques et de sant\u00e9, disponibles aupr\u00e8s de diff\u00e9rentes sources qui les collectent pour diverses raisons\u2009\u00bb. L\u2019Institut Pasteur cite l\u2019exemple de\u00a0\u00ab\u00a0l\u2019obtention de la premi\u00e8re s\u00e9quence du g\u00e9nome humain (nos 23 000 g\u00e8nes, soit un \u201ctexte\u201d de 3 milliards de lettres), r\u00e9v\u00e9l\u00e9e en 2003 [qui] a pris pr\u00e8s de 15 ans et co\u00fbt\u00e9 pr\u00e8s de 3\u00a0milliards de dollars. Aujourd\u2019hui, on peut obtenir la s\u00e9quence du g\u00e9nome d\u2019un individu en une journ\u00e9e, gr\u00e2ce aux techniques de s\u00e9quen\u00e7age \u201c\u00e0 haut d\u00e9bit\u201d, pour moins de 1\u2009000 dollars\u2009\u00bb.\u00a0<\/span><\/p>\n

        L\u2019exploitation de ces donn\u00e9es collect\u00e9es pr\u00e9sente de nombreux int\u00e9r\u00eats scientifiques et op\u00e9rationnels\u2009: aide au diagnostic, identification de facteurs de risque de maladie, assistance au choix et au suivi de l\u2019efficacit\u00e9 des traitements, pharmacovigilance, \u00e9pid\u00e9miologie, m\u00e9decine personnalis\u00e9e\u2026 En contrepartie, les big data<\/i> posent de nombreux d\u00e9fis techniques et humains, des questions \u00e9thiques et de protection des libert\u00e9s individuelles, dont les donn\u00e9es personnelles font partie int\u00e9grante.<\/p>\n

        La loi du 26 janvier 2016 assure une ouverture renforc\u00e9e des donn\u00e9es de sant\u00e9 dans un but d\u2019int\u00e9r\u00eat g\u00e9n\u00e9ral et scientifique. Pour cela, elle est venue refonder la politique d\u2019acc\u00e8s aux donn\u00e9es de sant\u00e9 en regroupant l\u2019ensemble des bases de donn\u00e9es de sant\u00e9 en un seul fichier (art. R.1461-1, CSP), le Syst\u00e8me national des donn\u00e9es de sant\u00e9 (SNDS), compos\u00e9 notamment du Syst\u00e8me national d\u2019information interr\u00e9gimes de l\u2019assurance maladie (Sniiram). Le SNDS ne contient aucune donn\u00e9e directement identifiante concernant les b\u00e9n\u00e9ficiaires (pas de noms\/pr\u00e9noms ou num\u00e9ro de s\u00e9curit\u00e9 sociale, ni d\u2019adresse postale). Elles sont \u00ab\u2009rattach\u00e9es \u00e0 chaque personne concern\u00e9e par un pseudonyme. Ce pseudonyme est produit selon les modalit\u00e9s [\u2026]\u2009\u00bb (art. R.1461-4, CSP), ne permettant pas l\u2019identification directe des personnes et reposant sur un \u00ab\u2009proc\u00e9d\u00e9 cryptographique irr\u00e9versible\u2009\u00bb (art. R.1461-7, CSP).<\/p>\n

        La loi du 24 juillet 2019 relative \u00e0 l\u2019organisation et \u00e0 la transformation du syst\u00e8me de sant\u00e9 pr\u00e9voit l\u2019\u00e9largissement du SNDS et la cr\u00e9ation de la plateforme des donn\u00e9es de sant\u00e9, Health Data Hub (HDH) \u2013 art. R.1461-1, CSP \u2013, cr\u00e9\u00e9e sous la forme d\u2019un GIP par arr\u00eat\u00e9 du 29\u00a0novembre 2019. Le but est de faciliter le partage des donn\u00e9es de sant\u00e9 issues de sources tr\u00e8s vari\u00e9es afin de favoriser la recherche. Le HDH est \u00ab\u2009constitu\u00e9 entre l\u2019\u00c9tat, des organismes assurant une repr\u00e9sentation des malades et des usagers du syst\u00e8me de sant\u00e9, des producteurs de donn\u00e9es de sant\u00e9 et des utilisateurs publics et priv\u00e9s de donn\u00e9es de sant\u00e9, y compris des organismes de recherche en sant\u00e9\u2009\u00bb. Cette structure r\u00e9sulte de la transformation de l\u2019Institut national des donn\u00e9es de sant\u00e9 (INDS) cr\u00e9\u00e9 par la loi du 26 janvier 2016 dont elle reprend les missions tout en les renfor\u00e7ant.<\/p>\n

        Les projets de recherche en sant\u00e9 men\u00e9s dans le cadre du HDH sont soumis aux dispositions arr\u00eat\u00e9es par la Cnil reposant sur le principe d\u2019une d\u00e9claration de conformit\u00e9 \u00e0 l\u2019une des six m\u00e9thodologies de r\u00e9f\u00e9rence qu\u2019elle a d\u00e9finies. Si cette d\u00e9claration de conformit\u00e9 n\u2019est pas r\u00e9alisable, les organismes de recherche doivent proc\u00e9der \u00e0 une demande d\u2019autorisation aupr\u00e8s de la Cnil et doivent, pr\u00e9alablement \u00e0 cette autorisation, avoir obtenu un avis d\u2019un Comit\u00e9 de protection des personnes (CPP) mentionn\u00e9 \u00e0 l\u2019article L.\u20091123-6 du CSP pour les recherches impliquant la personne humaine. Par ailleurs, ils devront solliciter un avis du Comit\u00e9 \u00e9thique et scientifique pour les recherches, les \u00e9tudes et les \u00e9valuations dans le domaine de la sant\u00e9 (Cesrees), pour les recherches n\u2019impliquant pas la personne humaine. Cette structure, cr\u00e9\u00e9e par l\u2019article 41 de la loi du 24 juillet 2019 en remplacer d\u2019une structure pr\u00e9existante, a pour mission d\u2019examiner le caract\u00e8re scientifique des demandes et leur m\u00e9thodologie et de juger de l\u2019int\u00e9r\u00eat public de la recherche qui, jusque-l\u00e0, \u00e9tait appr\u00e9ci\u00e9 par l\u2019INDS.<\/p>\n

        Le RGPD op\u00e8re un revirement avec l\u2019adoption du principe d\u2019accountability, <\/i>qui est venu se substituer \u00e0 la d\u00e9claration pr\u00e9alable aupr\u00e8s de la Cnil de toute collecte ou traitement de donn\u00e9es personnelles. D\u00e9sormais, la logique est celle d\u2019un autocontr\u00f4le par le responsable r\u00e9alis\u00e9 pr\u00e9alablement au traitement de donn\u00e9es personnelles, doubl\u00e9 d\u2019un \u00e9ventuel contr\u00f4le a posteriori <\/i>par la Cnil, autorit\u00e9 de r\u00e9gulation.\u00a0<\/span><\/p>\n

        Conclusion<\/h1>\n

        Ce changement total de conception dans la collecte et le traitement des donn\u00e9es personnelles bouleverse la nature des rapports entre la personne aupr\u00e8s de laquelle les donn\u00e9es sont collect\u00e9es et le responsable du traitement de l\u2019information. Les donn\u00e9es de sant\u00e9 b\u00e9n\u00e9ficient d\u2019un statut particulier renfor\u00e7ant les principes et les dispositions vis\u00e9es pr\u00e9c\u00e9demment, car elles pr\u00e9sentent la caract\u00e9ristique d\u2019\u00eatre des \u00ab\u2009donn\u00e9es sensibles\u2009\u00bb.\u00a0<\/span><\/p>\n

        La n\u00e9cessaire cr\u00e9ation de banques de donn\u00e9es en sant\u00e9 et leur exploitation, permettant notamment de faire progresser les connaissances scientifiques, contribuent \u00e0 cr\u00e9er un nouvel \u00e9quilibre entre protection des libert\u00e9s individuelles et des donn\u00e9es personnelles et l\u2019agr\u00e9gation de ces donn\u00e9es dans les big data<\/i>. La cr\u00e9ation par la loi du 24 juillet 2019 du Health Data Hub s\u2019inscrit dans le double mouvement de l\u2019open data<\/i> et de l\u2019indispensable protection des libert\u00e9s fondamentales du citoyen.\u00a0<\/span><\/p>\n

        Ainsi, les dispositions du RGPD sont intervenues \u00e0 ce moment important et crucial, \u00e0 l\u2019intersection des libert\u00e9s individuelles et de l\u2019inscription dans un collectif. De ce point de vue, le principe fondateur du RGPD de responsabilisation des acteurs dans le traitement des donn\u00e9es personnelles constitue un puissant ancrage de la confiance entre les acteurs.<\/p>\n