Données de santé : le risque de sanction par la Cnil en cas de non-respect du RGPD

L’appareillage d’un patient implique la collecte et le traitement de données personnelles, dont des données de santé (identité, pathologie, numéro de sécurité sociale). Ces informations, qualifiées de « sensibles » par le RGPD^[2] bénéficient d’un régime de protection renforcé. Les audioprothésistes doivent donc appliquer avec rigueur les exigences du RGPD et mettre en oeuvre des mesures de sécurité et de vigilance particulières. À ce titre, les finalités de traitement doivent être déterminées, explicites et légitimes^[3], et conservées pour une durée limitée et définie^[4].

Les audioprothésistes sont également tenus d’informer les patients de l’utilisation de leurs données et de leurs droits[5], ainsi que de garantir l’intégrité, la confidentialité et la sécurité des données afin de prévenir toute violation^[6].

Le risque de sanction des audioprothésistes par la Cnil

Au cours des trois dernières années, la Cnil a sanctionné des professionnels de santé pour différents manquements au RGPD^[7]. Les manquements sanctionnés concernent majoritairement le non-respect du droit d’accès des patients à leur dossier ainsi qu’un défaut de coopération avec la Cnil lors des investigations. D’autres décisions font également état de défauts de sécurité des données et de manquements à l’obligation d’information des patients.

Ces sanctions ont été prononcées dans le cadre de la procédure simplifiée de la Cnil (ni publiques ni publiées). Les procédures Cnil ont le plus souvent été engagées à la suite de plaintes de patients. La Cnil se montre particulièrement vigilante dans le secteur de la santé et adopte une appréciation stricte des manquements, compte tenu de la sensibilité des données traitées et de la vulnérabilité des personnes.

Ainsi, il est fortement recommandé aux audioprothésistes de se conformer au RGPD, et en particulier de s’assurer de l’existence d’une procédure – formalisée ou non – permettant de traiter efficacement les demandes de droit d’accès des patients. En effet, l’absence de réponse ou le retard constitue l’un des principaux éléments déclencheurs des plaintes et, par voie de conséquence, des contrôles de la Cnil. Il est également indispensable de documenter l’information des patients, et plus généralement toutes les actions de conformité mises en oeuvre, afin de pouvoir démontrer les démarches engagées en cas de procédure avec la Cnil.

Par ailleurs, en cas de contrôle de la Cnil, il est essentiel de coopérer pleinement avec l’autorité, en répondant à ses sollicitations dans les délais, en fournissant l’ensemble des éléments demandés et en adoptant une attitude transparente et proactive.