RGPD en cabinet libéral : quels logiciels faut-il déclarer ?

Le point de départ

Le registre, même seul dans son cabinet

Le registre des activités de traitement n'est pas réservé aux grandes structures. Un praticien libéral qui traite des données de santé en tient un, quelle que soit sa taille. Les données de santé relèvent d'une catégorie particulière : le régime allégé prévu pour les petites structures ne s'y applique pas.

Concrètement, il recense pour chaque traitement sa finalité, les catégories de données, les destinataires, les durées de conservation et les mesures de sécurité. Un dossier patient, une prise de rendez-vous, une facturation, un outil de rééducation : autant de lignes.

La distinction qui compte

Sous-traitant ou simple fournisseur

Un éditeur devient sous-traitant lorsqu'il traite des données pour votre compte. C'est le cas dès qu'un logiciel dépose des informations de patients sur ses serveurs — même chiffrées, même en Europe, même sans que personne ne les consulte. Le stockage est un traitement.

S'ensuit une chaîne d'obligations : un contrat de sous-traitance conforme à l'article 28, la vérification des garanties de l'éditeur, la localisation des serveurs, la conduite à tenir en cas de violation de données, et une mise à jour de votre documentation à chaque changement d'hébergeur ou de sous-traitant ultérieur.

Un éditeur qui vous vend un fichier fonctionnant sur votre poste n'est pas sous-traitant : il ne traite rien pour vous. Il est fournisseur, comme le vendeur de votre imprimante.

Hébergement de données de santé

La question de l'agrément

Lorsque des données de santé à caractère personnel sont hébergées par un tiers pour le compte d'un professionnel, la certification HDS entre dans le débat. Beaucoup d'éditeurs communiquent sur ce point ; c'est un signe sérieux, et cela reste une obligation qui pèse aussi sur vous, puisqu'il vous revient de vérifier les garanties de vos sous-traitants.

La question ne se pose pas lorsque rien n'est hébergé. Un outil sans serveur ne déplace pas le problème vers un prestataire certifié : il ne le crée pas.

Ce qui reste à votre charge

Local ne veut pas dire sans obligation

Choisir un outil local simplifie beaucoup de choses. Il en reste quelques-unes, et il serait malhonnête de le taire :

• Le traitement figure quand même au registre — avec des colonnes largement vides.
• Le poste doit être protégé : session verrouillée, chiffrement du disque, sauvegardes.
• L'information des personnes suivies reste due, comme pour tout traitement.
• Les durées de conservation vous incombent : c'est vous qui supprimez.
• Une perte de matériel devient une violation de données si les fichiers sont lisibles.

Le déplacement est réel mais partiel : vous échangez une dépendance contractuelle contre une responsabilité matérielle. La seconde est sous votre contrôle direct, la première jamais.

Une méthode simple

Cinq questions avant d'installer un logiciel

• Une donnée de patient quitte-t-elle mon poste, à un moment quelconque ?
• Si oui, vers qui, dans quel pays, et pour quelle durée ?
• L'éditeur me propose-t-il un contrat de sous-traitance ?
• Que devient l'accès à mes données si je cesse de payer ?
• Que se passe-t-il si l'éditeur disparaît ?

Les deux dernières ne relèvent pas du règlement, mais de la continuité de votre exercice. Elles éliminent souvent plus de candidats que les trois premières.

Questions fréquentes

En pratique

Un logiciel installé sur mon ordinateur doit-il figurer au registre ?

Oui, dès lors qu'il traite des données de patients. La différence tient au contenu des colonnes : sans transmission, il n'y a ni destinataire, ni transfert hors UE, ni sous-traitant à déclarer.

Suis-je obligé de désigner un délégué à la protection des données ?

La désignation devient obligatoire pour un traitement à grande échelle de données de santé. Un cabinet libéral n'entre généralement pas dans ce cas, mais la CNIL et votre ordre professionnel restent les sources à consulter pour votre situation.

Le chiffrement des données suffit-il à écarter la qualification de sous-traitant ?

Non. Le stockage est un traitement, même sans lecture possible. Un hébergeur de données chiffrées reste un sous-traitant.

Que faire si mon ordinateur portable est volé ?

Si les données sont chiffrées et la session protégée, le risque pour les personnes est fortement réduit. La démarche à suivre dépend de votre analyse du risque ; la CNIL publie une procédure de notification à laquelle se référer.

Concrètement

Ce qu'il faut écrire dans le registre

Pour chaque traitement, six colonnes reviennent : la finalité, les catégories de personnes et de données, les destinataires, les transferts hors Union européenne, la durée de conservation, et les mesures de sécurité.

Un logiciel local ne fait pas disparaître la ligne — il en vide plusieurs colonnes. Destinataires : aucun. Transferts : aucun. Sous-traitant : aucun. Restent la finalité, les durées et la sécurité du poste, qui vous incombent dans tous les cas.

La sécurité du poste devient le vrai sujet

Session verrouillée, chiffrement du disque, sauvegardes chiffrées, mise à jour du système. Ce sont des mesures ordinaires, mais elles cessent d'être partagées avec un prestataire : vous en êtes seul responsable. L'échange n'est pas une suppression d'obligation, c'est un déplacement — d'une dépendance contractuelle vers une responsabilité matérielle que vous contrôlez directement.

Cas fréquents

Quatre situations et leur traitement

Un confrère demande le suivi d'un patient

Le partage suppose l'accord de la personne concernée et le respect des règles applicables à votre profession. Le document transmis doit porter la mention de ses limites, faute de quoi il sera lu comme un bilan.

Le patient demande ses données

Le droit d'accès s'exerce auprès de vous, puisque c'est vous le responsable de traitement. Un outil qui permet d'exporter en un fichier rend cette demande triviale à satisfaire.

L'ordinateur est volé

Si le disque est chiffré et la session protégée, le risque pour les personnes est fortement réduit. La conduite à tenir dépend de votre analyse du risque ; la CNIL publie une procédure de notification à laquelle se référer.

Vous cessez votre activité

Les durées de conservation applicables à votre profession continuent de s'appliquer. Un outil sans serveur présente ici un avantage rarement mentionné : rien ne survit chez un tiers après votre départ.

Méthode

La grille de sélection d'un logiciel

Sept questions, dans cet ordre, avant toute installation :

Une donnée de patient quitte-t-elle mon poste, à un moment quelconque ? Si oui, vers qui, dans quel pays, pour quelle durée ? L'éditeur propose-t-il un contrat de sous-traitance conforme ? Où sont hébergées les données, et la certification requise est-elle en place ? Que devient mon accès si je cesse de payer ? Puis-je exporter mes données à tout moment, dans un format que je peux relire sans l'outil ? Que se passe-t-il si l'éditeur disparaît ?

Les deux dernières ne relèvent pas du règlement mais de la continuité de votre exercice. Elles éliminent souvent plus de candidats que les cinq premières.

Références

• Ebbinghaus, H. (1885). Über das Gedächtnis — la courbe de l'oubli.
• Baddeley, A. & Hitch, G. (1974). Working Memory — boucle phonologique et calepin visuo-spatial, deux systèmes dissociables.
• Roediger, H. L. & Karpicke, J. D. (2006). Test-Enhanced Learning — se tester consolide plus que relire.

Autres lectures