La protection des données personnelles et Exercice des droits
- Principe de transparence
- 2 Le consentement.
- 3 Le droit à l’information
- 4 Le droit d’accès
- 5 Le droit d’opposition
- 6 Le droit de rectification
- 7 Le droit à l’effacement ou « droit à l’oubli »
- 8 Le droit à la limitation du traitement
- 9 Le droit à la portabilité des données
- 10 Le droit d’introduire une réclamation, un recours et de demander réparation
- 11 Le délégué à la protection des données (DPO)
- 12 La Commission Nationale de l’Informatique et Liberté (CNIL)
Dans le cadre de l’exercice de ses missions de service public, le Centre Hospitalier de Narbonne (CHN) traite des données à caractère personnel concernant le patient, recueillies lors de son hospitalisation ou consultation, dans le but de le prendre en charge et de réaliser, le cas échéant, des travaux statistiques.
Ces informations sont réservées à l’équipe de soin qui le suit, aux services administratifs habilités du CHN dans la limite de leurs missions, ainsi qu’aux organismes de tutelles ou établissements exerçant une mission de service public selon les conditions prévues par la loi.
A cette fin, l’entrée en vigueur le 25 mai 2018 du Règlement Général européen sur la Protection des Données à caractère personnel (RGPD), ainsi que la loi° 2018-493 du 20 juin 2018 relative à la protection des données personnelles imposent de nouvelles obligations au CHN.
Le RGPD pose de grands principes pour le traitement des données à caractère personnel que le CHN s’engage à respecter (article 5 RGPD) :
- La licéité, la loyauté et la transparence du traitement
- La limitation et le respect de la finalité du traitement
- La minimisation, l’exactitude, la durée de conservation et la sécurité des données recueillies
- La responsabilité du CHN.
A cet effet, la licéité d’un traitement de données à caractère personnel doit obligatoirement être fondé sur l’un des éléments prévus à l’article 6 RGPD (le consentement, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde d’intérêts vitaux, l’exercice d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, les intérêts légitimes poursuivis par le CHN).
En application du RPGD, le patient dispose de la possibilité d’exercer certains droits à l’encontre du CHN. Ces derniers ainsi que leurs conditions de mise en œuvre sont précisés ci-après.
Il est important de souligner qu’aucun de ces droits n’est par nature absolu. Leur exercice est conditionné et s’effectue conformément aux prescriptions du RGPD et de la Loi Informatique et Liberté.
1 Principe de transparence
Le CHN prend toutes mesures appropriées pour fournir au patient les informations relatives à ces données, ainsi que pour procéder à toute communication en application des droits de la personne et, pour tout ce qui concerne les données relatives au dossier médical, en cohérence avec la législation du domaine de la santé.
Le CHN fournit au patient les informations demandées, dans les meilleurs délais :
- 2 mois à compter de la réception de la demande du patient,
- Pouvant être prolongé de deux (2) mois, compte tenu de la complexité et du nombre de demandes,
- Le CHN informe le patient de cette prolongation et des motifs du report dans un délai de deux (2) mois à compter de la réception de la demande.
Si le CHN ne donne pas suite à la demande, elle informe le patient des motifs de son inaction et des voies de recours (CNIL et tribunaux) au plus tard dans un délai de deux (2) mois à compter de la réception de sa demande.
Lorsque le patient présente sa demande sous une forme électronique, les informations sont fournies selon le même formalisme lorsque cela est possible.
Lorsque le CHN a des « doutes raisonnables » (selon la formulation du RGPD) quant à l’identité du patient présentant une demande d’exercice de ses droits, elle peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de du patient.
Toute demande, (hors demande d’accès au dossier patient qui est l’objet d’une procédure institutionnelle spécifique) devra être adressée au Délégué à la Protection de Données : cf. paragraphe 11.
Elle devra être accompagnée du formulaire Demande d’exercice des droits dument complété et accompagné des justificatifs nécessaires.
2 Le consentement
Le recueil du consentement doit être compréhensible, aisément accessible, formulé en des termes clairs, simples, et présenté séparément de toute autre mention.
Le patient est informé, avant le recueil de son consentement, qu’il dispose du droit de retirer ce dernier à tout moment.
Ce droit de retrait ne vaut que pour les traitements à venir.
2.1 Les conditions de recueil du consentement pour les patients et le patient mineur en particuliers.
Lorsque le traitement de données à caractère personnel est fondé sur le recueil du consentement du patient :
- Pour le mineur âgé de plus de 15 ans, ce dernier peut consentir seul,
- Pour le mineur âgé de moins de 15 ans, ce traitement de données n’est licite que si le consentement est donné par le ou les titulaires de l’autorité parentale et, si possible, par le mineur concerné.
2.2 Les conditions du recueil des données dites sensibles
Sont définis comme des données sensibles, les données à caractère personnel suivantes :- Les origines raciales ou ethniques,
- Les opinions politiques,
- Les convictions religieuses,
- Les convictions philosophiques,
- L’appartenance syndicale,
- Les données génétiques,
- Les données biométriques,
- Les données concernant la santé ou les données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique.
Le recueil et le traitement des données sensibles sont interdits sauf si :
- Le patient a donné son consentement explicite,
- Le traitement est nécessaire aux fins de l’exécution des obligations du CHN ou de celles du patient,
- Le traitement est nécessaire à la sauvegarde des intérêts vitaux du patient qui se trouve être incapable de donner son consentement,
- Le traitement porte sur des données rendues publiques par le patient,
3 Le droit à l’information
Le CHN doit délivrer au patient au moment de la collecte de ses données à caractère personnel les informations suivantes :
- L’identité et les coordonnées du CHN et le cas échéant de son représentant,
- Les coordonnées du Délégué à la Protection des Données,
- Les finalités et le fondement juridique du traitement,
- Les destinataires ou catégories de destinataires des données,
- En cas de transfert hors UE, l’existence ou l’absence d’une décision d’adéquation au RGPD, les garanties appropriées de sécurisation des données, le moyen d’obtenir une copie de celles-ci, et le lieu de mise à disposition de cette copie,
- La durée de conservation des données,
- La possibilité pour la personne de demander l’accès, la rectification, l’effacement de ses données, la limitation du traitement, l’opposition au traitement, ainsi que la possibilité de demander l’exercice du droit à la portabilité de ses données,
- La possibilité de retirer son consentement au traitement de ses données (s’il s’agit du fondement juridique sur lequel se base le traitement), sans encourir aucune responsabilité ni aucun préjudice du fait de l’exercice de ce droit,
- Le droit d’introduire une réclamation devant la CNIL et les coordonnées de la commission (cf. paragraphe 12),
- Si la collecte des données est basée sur un contrat ou sur la règlementation, la conséquence pour le patient en cas de non fourniture de ses données,
- Si des données sont réutilisées ultérieurement pour une autre finalité qui devra être précisée au patient.
- Information du patient au moyen d’un affichage général (Bureau des entrées, etc…),
- Information du patient au moyen du livret d’accueil,
- Information du patient sur le site web,
- Fournir, à la demande, le détail du contenu de la fiche d’enregistrement concernant le fondement légal, les objectifs poursuivis, les catégories de personnes concernées, les catégories de données traitées, la durée de conservation des données, les catégories de destinataires des données, les mesures d’information des personnes, les coordonnées du responsable du traitement et du Délégué à la Protection des Données du CHN.
4 Le droit d’accès
En ce qui concerne la communication du dossier patient, la demande devra être faite conformément à la procédure institutionnelle applicable en la matière consultable sur le site internet du CHN.
Pour les autres traitements de données personnelles le concernant, le patient a le droit d’obtenir du CHN la confirmation que ses données à caractère personnel font l’objet d’un traitement par celui-ci.
Il peut également demander à consulter les fiches des traitements réalisés avec ses données.
Toute demande, (hors demande d’accès au dossier patient qui est l’objet d’une procédure institutionnelle spécifique) devra être adressée au Délégué à la Protection de Données : cf. paragraphe 11.
Elle devra être accompagnée du formulaire Demande d’exercice des droits dument complété et accompagné des justificatifs nécessaires.
5 Le droit d’opposition
Tout patient dont les données à caractère personnel font l’objet d’un traitement doit pouvoir disposer de la possibilité de s’opposer à ce dernier pour des raisons tenant à sa situation particulière.
Les informations concernant les personnes décédées, y compris celles qui figurent sur les certificats de décès, peuvent faire l’objet d’un traitement de données, sauf si l’intéressé a, de son vivant, exprimé son refus par écrit.
Ce droit d’opposition s’applique à tous les traitements de données licites ou illicites, quel que soit leur fondement juridique.
Le CHN a l’obligation d’informer, séparément de toute autre information, le patient de la possibilité qui lui est offerte d’exercer son droit d’opposition au traitement de ses données à caractère personnel.
Cas particulier des traitements à des fins de recherche scientifique, historiques ou archivistiques
Lorsque des données à caractère personnel sont traitées à des fins de recherche scientifique, historiques ou archivistiques, le patient peut faire l’objet de son droit d’opposition à moins que le traitement ne soit nécessaire à l’exécution d’une mission de service public.
Il pourra alors être notifié dans le dossier patient la volonté de celui-ci de s’opposer à l’utilisation de ses données dans le cadre de la recherche.
Toute demande devra être adressée au Délégué à la Protection de Données : cf. paragraphe 11.
Elle devra être accompagnée du formulaire Demande d’exercice des droits dument complété et accompagné des justificatifs nécessaires.
6 Le droit de rectification
Le patient a le droit d’obtenir du CHN, dans les meilleurs délais :
- La rectification de ses données à caractère personnel,
- Le fait que ses données à caractère personnel incomplètes soient complétées
Toute demande devra être adressée au Délégué à la Protection de Données : cf. paragraphe 11.
Elle devra être accompagnée du formulaire Demande d’exercice des droits dument complété et accompagné des justificatifs nécessaires.
7 Le droit à l’effacement ou « droit à l’oubli »
Le patient a le droit d’obtenir du CHN l’effacement, dans les meilleurs délais, de données à caractère personnel le concernant lorsque l’un des motifs suivants s’applique :
- Les données à caractère personnel ne sont plus nécessaires,
- Le patient retire son consentement sur lequel est fondé le traitement,
- Le patient s’oppose au traitement, et il n’existe pas de motif légitime impérieux à la conservation du traitement,
- Les données à caractère personnel ont fait l’objet d’un traitement illicite,
- Les données à caractère personnel doivent être effacées pour respecter une obligation légale.
- A l’exercice du droit à la liberté d’expression et d’information ;
- Pour respecter une obligation légale qui requiert le traitement prévue par le droit de l’Union ou par le droit de l’Etat membre auquel le responsable du traitement est soumis, ou pour exécuter une mission d’intérêt public ou relevant de l’autorité publique dont est investi le responsable du traitement ;
- Pour des motifs d’intérêt public dans le domaine de la santé publique;
- A des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément dans la mesure où le droit visé est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ;
- A la constatation, à l’exercice ou à la défense de droits en justice.
Lorsque le patient exerce son droit à l’oubli, le CHN doit prendre les mesures raisonnables, y compris d’ordre technique, pour informer les responsables du traitement ultérieurs que ce dernier a demandé l’effacement de ses données, de tout lien, de toute copie ou reproduction de celles-ci.
Toute demande devra être adressée au Délégué à la Protection de Données : cf. paragraphe 11.
Elle devra être accompagnée du formulaire Demande d’exercice des droits dument complété et accompagné des justificatifs nécessaires.
8 Le droit à la limitation du traitement
Le patient a le droit d’obtenir du CHN la limitation du traitement lorsque l’un des éléments suivants s’applique :
- L’exactitude des données à caractère personnel est contestée pendant une durée suffisante pour permettre au CHN de vérifier leur exactitude,
- Le traitement est illicite et le patient s’oppose à leur effacement et exige à la place la limitation de leur utilisation,
- Le CHN n’a plus besoin des données aux fins du traitement mais celles-ci sont encore nécessaires au patient pour la constatation, l’exercice ou la défense de droits en justice,
- Le patient a exercé son droit d’opposition prévalant après analyse sur les motifs légitimes poursuivis par le CHN.
Un patient qui a obtenu la limitation du traitement de ses données est informé par le CHN.
Toute demande devra être adressée au Délégué à la Protection de Données : cf. paragraphe 11.
Elle devra être accompagnée du formulaire Demande d’exercice des droits dument complété et accompagné des justificatifs nécessaires.
9 Le droit à la portabilité des données
Le patient peut demander à recevoir les données à caractère personnel le concernant, dans un format structuré, couramment utilisé et lisible par une machine et de transmettre ces données à un tiers sans que le responsable de traitement initial des données puisse y faire obstacle.
Le droit à la portabilité ne s’applique pas aux données traitées à des fins d’exécution d’une mission d’intérêt public, ou relevant de l’exercice de l’autorité publique dont est investi le CHN.
10 Le droit d’introduire une réclamation, un recours et de demander réparation
Si un patient concerné par un traitement de données à caractère personnel estime que l’un de ses droits mentionnés dans le présent document a fait l’objet d’une violation par le CHN, il dispose de la possibilité d’introduire auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) une réclamation.
Le patient conserve également la possibilité de former un recours pour la violation des droits mentionnés dans le présent document devant les juridictions nationales compétentes.
11 Le délégué à la protection des données (DPO)
Le DPO a pour mission d’informer et de conseiller le CHN sur toutes les questions relatives à l’application du RGPD. Il est également l’interlocuteur privilégié des patients et usagers concernés par le traitement de données à caractère personnel pour toutes les interrogations relatives à l’exercice de leurs droits.
Le patient peut contacter le Délégué à la Protection des Données du CHN :
- Par courriel à l’adresse suivante : dpo@ch-narbonne.fr
- Par voie postale : Délégué à la Protection des Données
Direction des Services Numériques
Boulevard Docteur Lacroix 11100 Narbonne
12 La Commission Nationale de l’Informatique et des Libertés (CNIL)
Pour contacter la CNIL : adresse postale :
- 3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07
Tél : 01 53 73 22 22
(Du lundi au jeudi de 9h à 18h30 / le vendredi de 9h à 18h)
Fax : 01 53 73 22 00
Site internet CNIL : https://www.cnil.fr/fr/