Le RGPD offre un bon cadre de protection mais il ne fait pas tout en termes de cybersécurité. Pour limiter les situations problématiques, il faut déjà penser à la pertinence des informations recueillies à propos des patients. Elles doivent être limitées aux besoins de leur prise en charge médicale. De même, ces données doivent être accessibles uniquement par les professionnels de santé autorisés. Mais un élément très important concerne également le recueil du consentement des patients.
Recueillir le consentement patient
Attention, ce consentement ne doit pas être confondu avec le consentement requis pour la réalisation de certains actes médicaux (Voir notre article à ce sujet). Ici, le recueil du consentement des personnes concerne l’autorisation de traitement et de stockage de leurs données. Et pour vous assurer qu’il soit valablement recueilli, le RGPD impose 4 critères. Premièrement, le consentement doit être libre. Cela signifie qu’il ne doit pas être contraint ni influencé. La CNIL précise que la personne “doit se voir offrir un choix réel, sans avoir à subir les conséquences négatives en cas de refus”. Ensuite, il doit être spécifique. Un consentement doit correspondre à un seul traitement, pour une finalité déterminée. Ici, cela correspond au recueil des données dans le cadre d’un acte médical.
Un consentement « éclairé »
Par ailleurs, un consentement n’est valide que s’il est “éclairé”, à savoir qu’il est accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente. La CNIL précise qu’un consentement est “éclairé” lorsque le patient est en possession des informations suivantes: identité du responsable du traitement des données, finalités de la collecte des données, catégories de données collectées, ainsi que l’existence d’un droit de retrait du consentement. Enfin, le consentement doit être donné de manière univoque, c’est -à -dire par une déclaration ou un acte clair. Certaines modalités de recueil du consentement comme les cases pré-cochées ou pré-activées ne peuvent être considérées comme univoques.
Rappeler aux patients qu’ils ont des droits!
Il est aussi important de rappeler que les patients ont des droits: ils peuvent s’opposer au recueil de leurs données, retirer leur consentement ou encore modifier leurs données. En effet, l’article 38 de la loi relative à l’informatique, aux fichiers et aux libertés précise que “Toute personne a le droit de s’opposer, pour des motifs légitimes, à ce que les données à caractère personnel la concernant fassent l’objet d’un traitement”. Aussi, l’article 40 affirme que le patient peut exiger que ses données soient rectifiées, complétées, mises à jour, verrouillées ou effacées.
Enfin, quelques mesures de sécurité doivent être mises en place afin de garantir la confidentialité et l’intégrité des données de santé de vos patients. Par exemple, les ordinateurs doivent rester à usage professionnel et doivent être sécurisés par des mots de passe à forte authentification (ainsi que tous vos logiciels). Pour en savoir plus, vous pouvez consulter ce guide de la cybersécurité pour les cabinets libéraux.
