Pour les nouveaux contrats, il est nécessaire d'ajouter un article dans le CCAP référent à une annexe bien détaillée. Se référer à la cellule marché de votre établissement.

​​​​

AIPD

Qu'est-ce qu'une AIPD ?

L’AIPD (Analyse d'Impact relative à la Protection des Données)​ est un outil important pour la responsabilisation des organismes : elle les aide non seulement à construire des traitements de données respectueux de la vie privée, mais aussi à démontrer leur conformité au Règlement général sur la protection des données (RGPD). Elle est obligatoire pour les traitements susceptibles d’engendrer des risques élevés.
L'AIPD ​ se décompose en trois parties :
Une description détaillée du traitement mis en œuvre, comprenant tant les aspects techniques qu’opérationnels
L’évaluation, de nature plus juridique, de la nécessité et de la proportionnalité concernant les principes et droits fondamentaux (finalité, données et durées de conservation, information et droits des personnes, etc.) non négociables, qui sont fixés par la loi et doivent être respectés, quels que soient les risques ;
L’étude, de nature plus technique, des risques sur la sécurité des données (confidentialité, intégrité et disponibilité) ainsi que leurs impacts potentiels sur la vie privée, qui permet de déterminer les mesures techniques et organisationnelles nécessaires pour protéger les données.​

Vous pouvez télécharger ci-dessous le dernier outil AIPD

AIPD_v2.4 - vierge.xlsm ​

Quand est-ce qu’une analyse d’impact n’est pas obligatoire ? 

Une AIPD n'est pas nécessaire dans les cas suivants :
- quand le traitement ne présente pas de risque élevé pour les droits et libertés des personnes concernées ;
- lorsque la nature, la portée, le contexte et les finalités du traitement envisagé sont très similaires à un traitement pour lequel une AIPD a déjà été menée ;
- quand le traitement répond à une obligation légale ou est nécessaire à l’exercice d’une mission de service public (art 6.1.c 6.1.e), sous réserve que les conditions suivantes soient remplies :  
1. qu’il ait une base juridique dans le droit de l’UE ou le droit de l’État membre ;
2. que ce droit règlemente cette opération de traitement ;
3. et qu’une AIPD ait déjà été menée lors de l’adoption de cette base juridique ;
quand le traitement correspond à une exception déterminée par la CNIL conformément à l’article 35(5). La CNIL adoptera prochainement la liste de ces exceptions, après consultation du CEPD (Comité europé​en de protection des données).

Quand est-ce qu’une analyse d’impact est obligatoire ?

Une AIPD doit obligatoirement être mené quand le traitement est « susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées ».
Soit le traitement envisagé figure dans la liste des types d’opérations de traitement pour lesquelles la CNIL a estimé obligatoire de réaliser une analyse d’impact relative à la protection des données.
Soit le traitement remplit au moins deux des neuf critères issus des lignes directrices du G29 :
- évaluation/scoring (y compris le profilage) ;
- décision automatique avec effet légal ou similaire ;
- surveillance systématique ;
- collecte de données sensibles ou données à caractère hautement personnel ;
- collecte de données personnelles à large échelle ;
- croisement de données ;
- personnes vulnérables (patients, personnes âgées, enfants, etc.) ;
- usage innovant (utilisation d’une nouvelle technologie) ;
- exclusion du bénéfice d’un droit/contrat.
Exemple : une entreprise met en place un traitement publicitaire visant à collecter les données de géolocalisation de plusieurs millions d’individus pour créer des profils publicitaires et leur afficher de la publicité ciblée en fonction de leurs déplacements ; ce traitement remplit le critère de la collecte à grande échelle et celui de la collecte de données sensibles (données de localisation), donc la réalisation d’une AIPD sera nécessaire.​

À quel moment faut-il mener une analyse d‘impact ?

L'AIPD doit être menée avant la mise en œuvre du traitement. Il doit être démarré le plus en amont possible et sera mise à jour tout au long du cycle de vie du traitement.
Il est également nécessaire de revoir une AIPD de manière régulière pour s’assurer que le niveau de risque reste acceptable tout au long de la vie du traitement, dans la mesure où l’environnement, technique notamment, sera amené à évoluer, ce qui nécessitera d’adapter les mesures mises en œuvre.​​​

Qui intervient dans la réalisation d’une analyse d’impact ?

Le responsable de traitement est tenu par l’obligation de s’assurer de la conformité de son traitement au RGPD.
S’il a désigné un délégué à la protection des données, il lui demande conseil et le charge de vérifier l’exécution de l'AIPD.
Si un sous-traitant intervient dans le traitement, il doit fournir son aide et les informations nécessaires à la réalisation de l'AIPD.
Le responsable de traitement devrait également demander l’avis des personnes concernées (par le biais d’une enquête, d’un sondage, d’une question formelle aux représentants du personnel), ou le justifier sinon.
Idéalement, les métiers (maîtrise d’ouvrage), les équipes chargées de la mise en œuvre (maîtrise d’œuvre), et la personne chargée de la sécurité des systèmes d’information devraient également participer au processus de réalisation de l'AIPD et à sa validation.​

Quel est le montant des sanctions prévues par le règlement en cas de manquements aux dispositions relatives aux analyses d’impact ?

Le montant des amendes peut s'élever jusqu'à 10 000 000 EUR ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu (art. 83(4)(a)).

Comment fait-on une analyse d'impact, existe-t-il une méthode pour faire une analyse d’impact?

Un AIPD contient à minima :
une description systématique des opérations de traitement envisagées et les finalités du traitement, y compris, le cas échéant, l'intérêt légitime poursuivi par le responsable du traitement;
une évaluation de la nécessité et de la proportionnalité des opérations de traitement au regard des finalités;
une évaluation des risques sur les droits et libertés des personnes concernées et ;
les mesures envisagées pour faire face aux risques, y compris les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve du respect du règlement.
Pour ce faire, plusieurs méthodes sont utilisables. Le responsable de traitement est libre de choisir sa méthode. Mais quelle que soit la méthode, celle-ci devrait respecter les critères définis dans l’annexe 2 des lignes directrices du G29.
Les guides AIPD de la CNIL décrivent la méthode suivante :
1 délimiter et décrire le contexte du (des) traitement(s) considéré(s) ;
2 analyser les mesures garantissant le respect des principes fondamentaux : la proportionnalité et la nécessité du traitement, et la protection des droits des personnes concernées ;
3 apprécier les risques sur la vie privée liés à la sécurité des données et vérifier qu’ils sont convenablement traités ;
4 formaliser la validation du PIA au regard des éléments précédents ou bien décider de réviser les étapes précédentes.
Faut-il publier l’analyse d’impact ?
Il n’y a aucune obligation de publication. Toutefois, l'AIPD peut aboutir à la production d’un rapport ou d’un résumé, pouvant être partagé, publié, communiqué. Cette bonne pratique contribue à améliorer la confiance entre les parties prenantes.​

Recherche clinique

Je mène une recherche clinique au sein de mon établissement, quelles sont mes démarches ?

La présentation ci-dessous vous indique les démarches à suivre
Arbre décisonnel Conformité Recherche.pptx
L'outil pour réaliser la demande :
questionnaireMR-00X_v5_vierge.xlsm

Demandes et incidents​​​​

Quels sont les droits des patients ?​

En cas d'incident / violation des données à caractère personnel​

Collecte de données

Quelles obligations sont à respecter afin de fournir l'information aux personnes concernées ?

Différentes obligations sont impliquées selon la situation : si les données sont collectées auprès de la personne concernée (article 13) ; si les données sont collectées auprès d'un tiers (article 14) ; ou encore si les personnes concernées invoquent leur droit d'accès (article 15).  

En vertu du Règlement, les organismes qui collectent des données à caractère personnel relatives à leurs « clients », doivent fournir à ces derniers des informations détaillées sur la manière dont sont traitées ces données. Ces obligations de fournir aux personnes concernées des informations sur le traitement des données existaient déjà en vertu de la législation précédente relative à la protection des données. Le RGPD complète ces obligations.

L'obligation de fournir cette information ne s'applique pas dans certains cas :

• Lorsque le participant a déjà reçu l'information ;
• Lorsque l'enregistrement ou la divulgation des données à caractère personnel est expressément prévu par la loi ;
• Si les données à caractère personnel ont été obtenues d'un tiers : lorsque la fourniture de l'information à la personne concernée se révèle impossible ou impliquerait des efforts disproportionnés. A cet égard, l'adoption de garanties appropriées devrait être prise en compte.

Quelles informations devraient être fournies aux personnes concernées si les données sont collectées auprès de la personne concernée ?

Comme indiqué à précédemment, les organismes doivent fournir à leurs clients les informations suivantes au moment où les données sont obtenues et lorsque ces informations sont mises à jour (en application des principes généraux d'un traitement équitable et transparent) :  

• L'identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
• Le cas échéant, les coordonnées du délégué à la protection des données ;
• Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
• Les destinataires ou les catégories de destinataires des données à caractère personnel, s'ils existent :  Le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission, ou, selon le cas, la référence aux garanties appropriées ou adaptées et les moyens par lesquels les participants peuvent en obtenir une copie ou l'endroit où elles ont été mises à disposition ; 
• La durée de conservation des données à caractère personnel ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée.
• L'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s'opposer au traitement et du droit à la portabilité des données ;
• Lorsque le traitement des données à caractère personnel par les organismes est fondé, entre autres, sur le consentement, l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
• Le droit des participants d'introduire une réclamation auprès d'une autorité de contrôle ;
• L'information de tout traitement de données à caractère personnel avec une autre finalité que celle pour laquelle les données ont été collectées en premier lieu, et toute autre information pertinente comme mentionné plus haut.

Quelles informations devraient être fournies aux personnes concernées si les données sont collectées auprès de tiers ? 

Comme indiqué, les établissements doivent fournir à leurs participants les informations suivantes :  

• L'identité et les coordonnées du responsable du traitement, et, le cas échéant, du représentant du responsable du traitement ;
• Le cas échéant, les coordonnées du délégué à la protection des données ;
• Les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
• Le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;
• Le cas échéant, le fait que le responsable du traitement a l'intention d'effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l'existence ou l'absence d'une décision d'adéquation rendue par la Commission, ou, selon le cas, la référence aux garanties appropriées ou adaptées et les moyens par lesquels les participants peuvent en obtenir une copie ou l'endroit où elles ont été mises à disposition ;
• La durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n'est pas possible, les critères utilisés pour déterminer cette durée ;
• L'existence du droit de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou l'effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s'opposer au traitement et du droit à la portabilité des données ;
• Lorsque le traitement des données à caractère personnel par les organismes est fondé, entre autres, sur le consentement, l'existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ; 
• Le droit des participants d'introduire une réclamation auprès d'une autorité de contrôle ;
• Lorsque le traitement est basé sur des intérêts légitimes plutôt que sur le consentement (par exemple dans certains cas d'utilisations résiduelles ou secondaires de données), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
• Si les données ont été collectées auprès de tiers : la source d'où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu'elles sont issues ou non de sources accessibles au public

Spécifique

Est-ce que le RGPD règlemente le secret professionnel ?

Le droit relatif au secret professionnel (pour les professionnels de santé tels que les médecins, les infirmières, etc.) peut fournir des dispositions légales additionnelles à respecter, en sus de la législation sur la protecti​on des données [ex : article 9(2°, i)]. Le Règlement n’affecte pas les obligations relatives au secret professionnel. Lorsqu’elles sont applicables, le secret professionnel comme la législation sur la protection des données doivent être toutes les deux respectées.

Le nouveau "droit à l'oubli" s'applique-t-il aux biobanques ?

​Le « droit à l'oubli » ne s'applique pas dans la mesure où le traitement des données personnelles est nécessaire pour des fins de recherche scientifique ou historique, ou à des fins statistiques conformément à l'article 89, dès lors que l'exercice de ce droit risque de rendre impossible ou d'entraver sérieusement la réalisation des finalités de ce traitement.

De quelle façon est accomplie l'anonymisation ?

Il existe différentes méthodes, techniques et stratégies afin d'anonymiser les données à caractère personnel. Le RGPD ne se prononce pas en faveur d'une méthode spécifique.  

En substance, le Règlement ne change pas la définition des données à caractère personnel et anonymes.

Par conséquent, les méthodes qui rencontrent les standards établis par la Directive de 1995 sur la Protection des Données devraient toujours être pertinentes d'un point de vue légal, bien qu'elles doivent toujours faire l'objet d'évaluations face aux développements constant de la technique. Il existe de nombreuses techniques qui peuvent être utilisées, telles la suppression, les techniques de généralisation ou d'agrégation, de perturbation ou de dissociation des informations identifiantes. Voir notamment, l'Avis publié par le Groupe de l'Article 29 sur les techniques d'anonymisation qui demeure pertinent avec le Règlement.

Qu'est-ce que la pseudonomysation des données ?

Quelle différence entre anonymisation et pseudonymisation ?