Comment s’assurer du suivi des normes relatives à la protection des données ?

Parmi les obligations issues du RGPD, la désignation d’un délégué à la protection des données s’impose comme un outil de sécurisation et d’animation de la politique de protection des données.Ce délégué à la protection des données a pris la suite du correspondant informatique et libertés (CIL), qui a existé jusqu’en mai 2018 sous l’empire de la loi Cnil.La désignation, la fonction et les missions du délégué sont prévues par les articles 37 à 39 du RGPD.On retiendra qu’un délégué à la protection des données est désigné lorsque:le traitement est effectué par une autorité publique ou un organisme public ;les activités de base du responsable du traitement ou du sous-traitant consistent en des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs finalités, exigent un suivi régulier et systématique à grande échelle des personnes concernées ; ou les activités de base du responsable du traitement ou du sous-traitant consistent en un traitement à grande échelle de catégories particulières de données visées à l’article 9 du RGPD (dont les données de santé, point h).

Peut-on recueillir tout type de données concernant une personne prise en charge ?

Non, et pour deux raisons: d’une part, selon le principe de proportionnalité et, d’autre part, selon celui de pertinence. En effet, le RGPD impose la minimisation de la collecte et/ou conservation des données, ce qui signifie que les informations collectées enregistrées doivent être pertinentes et strictement nécessaires au moment de leur collecte au regard de la finalité du fichier.

Les référentiels de la Cnil portant sur la protection des données sont-ils contraignants ?

Non. Les responsables de traitement peuvent s’écarter de ses préconisations (par exemple, en identifiant d’autres bases de traitement pour tel ou tel traitement spécifique, etc.), à condition toutefois de pouvoir justifier leur choix et qui demeure de leur responsabilité.

Fichepratique

Sommaire

1. Le champ d'application du RGPD : tout traitement de dans la protection des données personnelles
2. Les traitements mis en œuvre doivent être licites et conformes aux principes de nécessité de minimisation
3. Les droits créés ou renforcés par le RGPD
4. La mise en place de mesures techniques et organisationnelles appropriées

Notre conseil
Évitez les erreurs
FAQ
Aller plus loin

Fiches associées (2)

Information du patient

Les obligations des professionnels et établissements de santé à l’égard des usagers en matière de traitements de données

Réservé aux abonnés

Demande de devis Essai gratuit

Mis à jour le 15 juil. 2025 | Coordonné par Noémie Blanchard | Référence : 11046

L'essentiel par l'éditeur

Le RGPD s'applique à tout traitement de données personnelles, y compris les données pseudonymisées. Les établissements de santé doivent informer les usagers de leurs droits, tels que l'accès, la rectification et l'effacement des données. La Cnil veille au respect de ces obligations, sanctionnant les manquements. Les responsables de traitement doivent garantir la sécurité des données, notamment via des hébergeurs certifiés.

Quelles sont les obligations des établissements de santé en matière de protection des données personnelles ?
Comment le RGPD s'applique-t-il aux données pseudonymisées et anonymes ?
Quels sont les droits des usagers concernant leurs données personnelles dans le secteur de la santé ?

La protection des données était jusqu’à présent régie, en droit français, par la loi informatique et libertés du 6 janvier 1978 (dite « loi Cnil »). Le règlement communautaire 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel est entré en vigueur le 25 mai 2018. Il constitue le cadre normatif imposé pour les traitements de données existants dans les établissements sanitaires et médico-sociaux. La loi Cnil a été elle-même mise en conformité avec le règlement général sur la protection des données (RGPD) de manière définitive en juin 2019. Le RGPD, qui crée des droits et en renforce un certain nombre pour la personne concernée par des traitements, est régulièrement la référence à laquelle la loi informatique et liberté renvoie. Ces droits sont parallèlement autant d’obligations pour les établissements que pour les professionnels responsables de la protection de ces données.

Le champ d'application du RGPD : tout traitement de dans la protection des données personnelles

Il est essentiel de comprendre que le RGPD s’applique à tout support qui traite de données à caractère personnel, à toute opération portant sur de telles données (exemple : l’échange d’information concernant le patient entre professionnels). Ainsi le RGPD et pour la loi informatique et libertés (LIL) s’applique en présence d’un traitement de données personnelles.

S’agissant de la notion de données personnelles, elle comprend « toute information se rapportant à une personne physique identifiée ou identifiable » (RGPD, art. 4). Sémantique de l’ancienne réglementation (dir. n° 95-46, 24 octobre 1995), une information « englobe toutes sortes de renseignements à propos d'une personne »(Groupe de travail « article 29 », avis n° 4/2007 sur le concept de données à caractère person...

Contenu réservé aux abonnés

Si vous êtes abonné, cliquez pour poursuivre la lecture

Il vous reste 82% à découvrir

Poursuivez la lecture
en profitant d'un essai gratuit (offre sans engagement)

Accédez à une base complète de fiches pratiques et d’outils & méthode
Bénéficiez d’un ensemble de solutions méthodologiques opérationnelles et juridiques
Notre IA juridique au service de votre pratique