Sécurité, aspects juridiques et éthiques des données de santé informatisées
273
Catégorie de traitement
Sauf autorisation, il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines
raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou
l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la
vie sexuelle de celles-ci. Ces données sont en effet qualifiées de « sensibles » par
la CNIL.
En revanche, ces traitements peuvent être autorisés par la CNIL lorsqu’ils sont
justifiés, par exemple, sous réserve qu’ils soient nécessaires « aux fins de la
médecine préventive, des diagnostics médicaux, de l’administration de soins ou
de traitements, ou de la gestion de services de santé ». Dans ce cas, la procédure
précise que doit être recueilli le consentement informé et écrit du patient au
recueil et au traitement.
Information de la personne concernée
Il est obligatoire d’informer la personne concernée sur l’identité du responsable du traitement, sur les finalités du traitement, sur les destinataires des
données, sur la possibilité de ne pas répondre à certaines questions, sur l’existence de son droit d’accès et de rectification et sur l’éventuelle communication
de ses données à un intermédiaire. Il est à noter que si un procédé d’anonymisation – validé par la CNIL – est prévu à court terme pour les données, l’obligation d’information peut parfois se limiter à l’identité du responsable et la
finalité du traitement.
Droit d’accès et de rectification de la personne concernée
Toute personne peut demander que des informations la concernant soient
rectifiées, complétées, mises à jour, verrouillées ou effacées, mais pour ce faire,
ces données doivent obligatoirement être inexactes, incomplètes, équivoques,
périmées ou d’utilisation interdite. Le responsable du traitement ne peut s’opposer à cette demande et doit pouvoir prouver qu’elle a été satisfaite. La notion
de correction de données trouve parfois une limite dans son application aux
données d’un dossier médical car si celui-ci contribuait à une constitution de
preuve, l’effacement de données suscite des difficultés juridiques.
Droit d’opposition de la personne concernée
« Toute personne physique a le droit de s’opposer, pour des motifs légitimes,
à ce que des informations nominatives la concernant fassent l’objet d’un traitement » (article 38 - Loi du 6 août 2004). Ces mesures s’appliquent quel que soit
le cadre d’application (secteur de soins, recherche ou évaluation des pratiques).
Notification
Tout traitement doit obligatoirement faire l’objet d’une déclaration auprès de la
CNIL et/ou d’une autorisation. En cas de recherche dans le domaine de la santé, la
méthodologie doit en outre être présentée au CCTIRS (Comité Consultatif pour le
273
Catégorie de traitement
Sauf autorisation, il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines
raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou
l’appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la
vie sexuelle de celles-ci. Ces données sont en effet qualifiées de « sensibles » par
la CNIL.
En revanche, ces traitements peuvent être autorisés par la CNIL lorsqu’ils sont
justifiés, par exemple, sous réserve qu’ils soient nécessaires « aux fins de la
médecine préventive, des diagnostics médicaux, de l’administration de soins ou
de traitements, ou de la gestion de services de santé ». Dans ce cas, la procédure
précise que doit être recueilli le consentement informé et écrit du patient au
recueil et au traitement.
Information de la personne concernée
Il est obligatoire d’informer la personne concernée sur l’identité du responsable du traitement, sur les finalités du traitement, sur les destinataires des
données, sur la possibilité de ne pas répondre à certaines questions, sur l’existence de son droit d’accès et de rectification et sur l’éventuelle communication
de ses données à un intermédiaire. Il est à noter que si un procédé d’anonymisation – validé par la CNIL – est prévu à court terme pour les données, l’obligation d’information peut parfois se limiter à l’identité du responsable et la
finalité du traitement.
Droit d’accès et de rectification de la personne concernée
Toute personne peut demander que des informations la concernant soient
rectifiées, complétées, mises à jour, verrouillées ou effacées, mais pour ce faire,
ces données doivent obligatoirement être inexactes, incomplètes, équivoques,
périmées ou d’utilisation interdite. Le responsable du traitement ne peut s’opposer à cette demande et doit pouvoir prouver qu’elle a été satisfaite. La notion
de correction de données trouve parfois une limite dans son application aux
données d’un dossier médical car si celui-ci contribuait à une constitution de
preuve, l’effacement de données suscite des difficultés juridiques.
Droit d’opposition de la personne concernée
« Toute personne physique a le droit de s’opposer, pour des motifs légitimes,
à ce que des informations nominatives la concernant fassent l’objet d’un traitement » (article 38 - Loi du 6 août 2004). Ces mesures s’appliquent quel que soit
le cadre d’application (secteur de soins, recherche ou évaluation des pratiques).
Notification
Tout traitement doit obligatoirement faire l’objet d’une déclaration auprès de la
CNIL et/ou d’une autorisation. En cas de recherche dans le domaine de la santé, la
méthodologie doit en outre être présentée au CCTIRS (Comité Consultatif pour le