La CNIL libéralise la e-santé, ou presque...

Cet allègement, assez considérable, du régime des formalités préalables anticipe l’entrée en vigueur du Règlement Général relatif à la Protection des Données (RGPD).
 
 
En contrepartie, les acteurs doivent davantage se responsabiliser, ce qui implique plusieurs conséquences:
 

• L’obligation d’établir un dossier de conformité, permettant à tout moment de démontrer la conformité du traitement aux principes énoncés dans le RGPD et aux mesures de sécurité standard. 


 

• L’augmentation colossale des sanctions : la sanction administrative – de 3 000 000,00 d’euros d’amende depuis l’automne 2016 – va passer à 20 000 000,00 euros d’amende. 


 

• L’augmentation du nombre de contrôles, comme la Commission l’explique : « la CNIL se 
montrera également particulièrement vigilante sur les conditions de mise en œuvre des traitements de données de santé, notamment afin que le recueil du consentement s’effectue dans le cadre de la délivrance d’une information de qualité. Elle renforcera également son contrôle en aval, afin de s’assurer du respect effectif de ses préconisations ». 


À cet égard, deux points sont dignes d’intérêt : 

 
• La forte augmentation du nombre de contrôles, lors de la réforme de la CNIL en 2004 destinée à renforcer ses pouvoirs de sanction : 

• L’explosion du nombre de plaintes déposées à la CNIL et de vérifications depuis 2015 : 

Afin d’accompagner chaque entreprise, Desmarais Avocat a élaboré une offre packagée permettant d’anticiper l’entrée en vigueur du RGPD en réalisant un audit de conformité.
 
 
L’offre “Anticipation du RGDP” comporte les éléments suivants :
 

• Réunion de lancement (dans la limite de 4h) : entretien avec les principaux « opérateurs » du traitement de données pour identifier : 


- Les caractéristiques du traitement.
- Les sous-traitants.

- Les transferts de données.

- L’étude de la cartographie du SI. 

 

• Audit de conformité : 


- Remise d’un formulaire « Audit de Sécurité » (pour évaluer l’écart et les impacts métier associés aux nécessités de mise en conformité) et aide à la complétion.

- Étude des politiques de sécurité du système d’information, de mots de passe et de sauvegarde.

- Analyse de la conformité.

- Validation des caractéristiques des traitements (Désignation du responsable de traitement, formalités préalables applicables, durée de conservation, transferts hors UE, et audit de conformité).

- Détermination des risques encourus en cas de non-conformité avec
SmartDataDecision©.
 

• Réunion d’aide à la définition des priorités (dans la limite de 3h) : Préparation et animation 
d’une réunion pour définir le seuil d’acceptabilité du risque du responsable de traitement, les 
actions pertinentes et prioriser les actions en fonction du degré de risque. 


 

• Remise d’outils de pilotage des traitements de données : 


- Outil de suivi des contrats de sous-traitance complété avec l’identité des sous-traitants.

- Registre des traitements complété.

- Matrice d’applicabilité des droits de la personne en fonction de la base juridique du traitement.

- Clause type relative aux traitements de données par un sous-traitant.
- Dossier de conformité du traitement de données.
 
 
La phase d’audit s’appuie sur un panel d’outils juridiques et métiers ayant déjà fait preuve de leur efficience. Il s’agit des missions précédentes de mise en conformité vis-à-vis du Règlement européen, et notamment sur SmartDataDecision©. 

SmartDataDecision© est le 1er outil d’aide à la décision en matière de traitement de données, élaboré par Desmarais Avocats à partir de données de vie réelle. Alors que les responsables de traitement sont complètement perdus dans la jungle réglementaire et ont du mal à identifier les priorités, SmartDataDecision© permet de prendre rapidement des décisions relatives à un traitement de données en en mesurant les risques de façon visuelle.
 
Après la réalisation d’un audit, un tableau, simple à lire, avec des codes couleurs est remis au client. En zone verte, le risque est résiduel. En zone rouge, le risque est trop important, il faut agir. En zone orange, tout dépend du degré d’acceptabilité du risque par le client.
 
Avec SmartDataDecision©, la priorisation des mesures à engager et les décisions d’affectation des ressources – tant financières qu’humaines – sont non seulement facilitées, mais surtout faites en toute connaissance de cause.
 
 
 
1 https://www.cnil.fr/fr/traitement-des-donnees-de-sante-une-logique-de-simplification-et-de-responsabilisation-accrue-des