Protection des données personnelles : les médecins aussi doivent se préparer au RGPD

À quelques semaines de l'entrée en vigueur du règlement général sur la protection des données personnelles (RGPD) en France, la CSMF publie une note pour guider les médecins libéraux dans leur démarche de conformité.

Dès le 25 mai, chaque praticien traitant et sauvegardant des données personnelles (informatiques ou papier) devra être en mesure de les sécuriser, les conserver au minimum 20 ans et tenir un registre prouvant le respect de la réglementation. « Les traitements de données sont les opérations du type collecte, enregistrement, conservation, modification, consultation, transmission… Les données à caractère personnel sont les informations qui concernent une personne physique et qui permettent soit de l'identifier, soit qu'elle soit identifiable – identité, numéro de Sécurité sociale, adresse – », précise le syndicat.

Quelques règles sont nécessaires concernant le verrouillage du clavier d'ordinateur, le changement des mots de passe deux fois par an (et leur protection) ou l'envoi de mails. « Aucune personne autre que les assistantes médicales ne peut avoir accès aux informations relatives au patient, prévoyez une clause de confidentialité dans leur contrat de travail », peut-on lire dans la note de la CSMF. 

Les médecins devront être capables de démontrer qu'ils respectent le RGPD. À cet égard, il est conseillé de retracer dans un document type « registre » mis en ligne par la CNIL « la façon dont vous protégez votre mot de passe, les règles relatives au verrouillage du clavier et à l'envoi des mails, souligne le syndicat. Prévoyez également comment le cabinet va s'organiser en cas de piratage informatique ou de destruction accidentelle de données ».

Bannir la messagerie personnelle

En matière de collecte, les données à caractère personnel sont traitées par un médecin « lui-même soumis à une obligation de secret ». « Au regard des obligations légales imposées au médecin concernant la tenue et conservation d'un dossier médical, le consentement du patient n'apparaît pas nécessaire pour la collecte des données médicales le concernant », lit-on.

En cas d'adressage vers un médecin correspondant, les données personnelles médicales doivent être transmises au patient, à charge pour lui de les donner au confrère consulté. Surtout, « aucun envoi d'informations médicales ne peut être fait avec une messagerie non cryptée. Vous ne pouvez pas utiliser votre boîte mail personnelle pour recevoir ou transférer des informations relatives à vos patients », insiste la CSMF.