AgentPublic/cnil huggingface dataset:
M. Émile GABRIÉ, conseiller auprès de la Présidente et du secrétaire général ;
Mme Marion de GASQUET, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, adjointe au chef du service des plaintes à la direction de la protection des droits et des sanctions ;
M. Mathieu GINESTET, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Zelda GERARD, juriste au service des outils de la conformité à la direction de la conformité ;
Mme Lorena GONZALEZ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
M. Basile GULEY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Estelle HARY, designer au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
M. Armand HESLOT, Chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sonia HUDELA, assistante à la direction de la protection des droits et des sanctions ;
Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Julien JEDRZEJCZAK, assistant juridique à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice adjointe de la protection des droits et des sanctions ;
Mme Joana KOJUNDZIC, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Névine LAHLOU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Alice de LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales ;
M. Gwendal LE GRAND, secrétaire général adjoint ;
Mme Maud LETAY, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Noémie LICHON, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Delphine MARGULIS, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Tony MARTIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Joanna MASSON, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Étienne MAURY, juriste au service des affaires européennes et internationales ;
Mme Marjorie MENAPACE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Élise MERY-BOUDONNAT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Thomas MOREAU, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
Mme Sophie NERBONNE, directrice chargée de co-régulation économique ;
M. Bao-Khanh NGUYEN TRUNG, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie PACALET, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Adélaïde PATERNOGA, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Benoît PELLAN, chargé du développement des outils de la conformité à la direction de la conformité ;
Mme Lorraine PERRONNE, juriste au service des affaires régaliennes et des collectivités territoriales ;
Mme Bertrande PIAT-TAMBAREAU, assistante juridique au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Andreea PRIAN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Albane RICHET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Valentin ROGER, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Guilda ROSTAMA, juriste au service des affaires économiques à la direction de la conformité ;
Mme Mathilde ROUSSEL, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Stéphanie SAULNIER, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Clémence SCOTTEZ, chef du service des affaires économiques à la direction de la conformité ;
Mme Émilie SERUGA-CAU, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anne VIDAL, juriste au service de la santé à la direction de la conformité ;
Mme Albine VINCENT, chef du service des délégués à la protection des données à la direction de la conformité ;
M. Paul VINCENT, juriste au service des plaintes à la direction de la protection des droits et des sanctions ;
M. Christophe VIVENT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche ;
Article 2
La délibération n° HAB-2020-001 du 14 mai 2020 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la santé publique, notamment ses articles L. 1111-18, R. 1111-20-3-1, R. 1111-20-11, R. 1111-20-12, R. 1112-7, R. 1131-20, R. 2125-45, R. 5121-195, R. 5124-58, R. 5125-45, R. 5132-35 et R. 5132-36 ;
Vu le code de la sécurité sociale, notamment ses articles L. 332-1 et R. 161-47 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2019-057 du 9 mai 2019 portant adoption d'un référentiel relatif aux traitements de données à caractère personnel mis en œuvre à des fins de gestion des vigilances sanitaires ;
Après avoir entendu Mme Anne DEBET, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Adopte le référentiel relatif aux durées de conservation des données à caractère personnel traitées dans le secteur de la santé, qui sera publié au Journal officiel de la République française.
La présidente,
M.-L. Denis
ANNEXE
RÉFÉRENTIEL
Les durées de conservation : Traitements dans le domaines de la santé (hors recherches)
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Anne DEBET, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Adopte le référentiel relatif aux durées de conservation des données à caractère personnel traitées à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé, qui sera publié au Journal officiel de la République française.
ANNEXE
Vous pouvez consulter l'intégralité du texte avec ses images à partir de l'extrait du Journal officiel électronique authentifié.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le code de la santé publique ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Adopte le référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux, qui sera publié au Journal officiel de la République française.
ANNEXE
RÉFÉRENTIEL
RELATIF AUX TRAITEMENTS DE DONNÉES À CARACTÈRE PERSONNEL DESTINÉS À LA GESTION DES CABINETS MÉDICAUX ET PARAMÉDICAUX
Table des matières
1. A qui s'adresse ce référentiel ?
2. Portée du référentiel
3. Objectif(s) poursuivi(s) par le traitement (finalités)
4. Base(s) légale(s) du traitement
5. Données personnelles concernées
6. Destinataires et accès aux informations
7. Durées de conservation
8. Information des personnes
9. Droits des personnes
10. Sécurité
11. Mesures complémentaires : Analyse d'impact et Délégué à la protection des données
1. A qui s'adresse ce référentiel ?
Ce référentiel, pris en application des dispositions de l'article 8-I-2-b de la loi du 6 janvier 1978 modifiée, encadre la mise en œuvre des traitements de données à caractère personnel par les professions médicales et paramédicales dans le cadre de la gestion médicale et administrative de leur patientèle.
Il s'adresse aux professionnels de santé exerçant à titre libéral.
Il ne s'applique pas aux traitements mis en œuvre par les services de soins (établissements de santé, centres de santé, communautés professionnelles territoriales de santé, etc.), ni à ceux mis en œuvre par les services de médecine d'entités publiques ou privées (médecine du travail, médecine scolaire, PMI, etc.), par les pharmaciens, par les laboratoires d'analyses de biologie médicale ou par les opticiens.
2. Portée du référentiel
Les traitements visant à permettre la gestion médicale et administrative au sein des cabinets médicaux et paramédicaux, qu'ils soient mis en œuvre à partir d'outils internes ou externalisés auprès d'un prestataire de service, conduisent à collecter des données relatives à des personnes physiques identifiées ou identifiables (patients, professionnels de santé, etc.). A ce titre, ils sont soumis aux dispositions du règlement général sur la protection des données (RGPD), de la loi du 6 janvier 1978 modifiée (LIL) ainsi qu'aux dispositions du code de la santé publique.
Les professionnels de santé concernés, en tant que responsables de traitement, doivent mettre en œuvre toutes les mesures techniques et organisationnelles appropriées afin de garantir un haut niveau de protection des données personnelles dès la conception des traitements et tout au long de la vie de ceux-ci. Ils doivent, en outre, être en mesure de démontrer cette conformité à tout instant.
Les traitements mis en œuvre par les professionnels de santé doivent être inscrits dans le registre prévu à l'article 30 du RGPD (voir modèle de registre dans le guide pratique à destination des médecins).
Ce référentiel n'a pas de valeur contraignante. Il permet en principe d'assurer la conformité des traitements de données mis en œuvre par les professionnels de santé exerçant à titre libéral aux principes relatifs à la protection des données et au secret médical, dans un contexte d'évolution des pratiques à l'ère numérique.
Les professionnels de santé qui s'écarteraient du référentiel au regard des conditions particulières tenant à leur situation doivent être en mesure de justifier l'existence d'un tel besoin, puis prendre toutes les mesures appropriées à même de garantir la conformité des traitements à la réglementation en matière de protection des données à caractère personnel
Le référentiel n'a pas pour objet d'interpréter les règles de droit autres que celles relatives à la protection des données à caractère personnel. Il appartient aux acteurs concernés de s'assurer qu'ils respectent les autres réglementations qui peuvent par ailleurs trouver à s'appliquer.
Ce référentiel constitue également une aide à la réalisation d'une analyse d'impact relative à la protection des données (AIPD) dans le cas où celle-ci est nécessaire.
La CNIL publie régulièrement des guides pratiques afin d'accompagner les professionnels dans la mise en œuvre des obligations prévues par la nouvelle réglementation sur la protection des données personnelles que ces derniers sont invités à consulter en complément du présent référentiel (1).
3. Objectif(s) poursuivi(s) par le traitement (finalités)
Le traitement mis en œuvre doit répondre à un objectif précis et être justifié au regard des missions et des activités du professionnel de santé.
Il est mis en œuvre afin de permettre l'exercice des activités de prévention, de diagnostic et de soins ainsi que de gestion administrative.
Il permet notamment, pour les besoins de la prise en charge des patients :
- la gestion des rendez-vous ;
- la gestion des dossiers médicaux ;
- la gestion et la tenue des dossiers nécessaires au suivi du patient ;
- le recours aux pratiques de soins à distance requérant des technologies de l'information et de la communication, telles que la télémédecine et le télésoin ;
- les communications entre professionnels identifiés et structures de soins participant à la prise en charge de la personne concernée et à la coordination de celle-ci ;
- l'établissement et la télétransmission des documents destinés à la prise en charge des frais de santé par l'assurance maladie (feuilles de soins, arrêt de travail, protocole de soins électroniques, etc.) ;
- la tenue de la comptabilité.
Les données personnelles de santé ne peuvent être utilisées que dans l'intérêt direct du patient ou de la gestion du cabinet médical, dans les conditions déterminées par la loi, pour les besoins de la santé publique et des obligations des professionnels de santé.
Elles peuvent être réutilisées pour des études lorsqu'elles sont réalisées par les personnels assurant le suivi du patient et destinées à leur usage exclusif. A défaut, elles devront faire l'objet de formalités en application des articles 72 et suivants de la loi Informatique et Libertés relatifs aux traitements à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé.
4. Base(s) légale(s) du traitement
Chaque finalité du traitement doit reposer sur l'une des bases légales fixées par la réglementation (cf. La licéité du traitement : l'essentiel sur les bases légales prévues par le RGPD).
Il appartient au responsable de traitement de déterminer ces bases légales avant toute opération de traitement, après avoir mené une réflexion, qu'il pourra documenter, au regard de sa situation spécifique et du contexte. Ayant un impact sur l'exercice de certains droits, ces bases légales font partie des informations devant être portées à la connaissance des personnes concernées.
Afin d'aider les professionnels de santé dans cette analyse, le présent référentiel propose, à titre indicatif, un choix de base légale pour chaque finalité dans le tableau ci-dessous (2).
			Finalités
			Bases légales envisageables (3)
			La tenue du dossier médical
			Obligation légale
			L'établissement et la télétransmission des documents à destination de l'assurance maladie
			Obligation légale
			La tenue du dossier de prise en charge sanitaire (comme par exemple le dossier de soins infirmiers)
			Obligation légale
			La prise de rendez-vous
			Intérêt légitime
			La tenue de la comptabilité
			Intérêt légitime
			La télémédecine (art. L. 6316-1 du CSP), le télésoin (art. L. 6316-2 du CSP)
			Intérêt légitime
5. Données personnelles concernées
Principe de pertinence, de loyauté et de minimisation des données
Dans un souci de minimisation des données personnelles traitées, le professionnel de santé doit veiller à ne collecter et utiliser que les données pertinentes et nécessaires au regard de ses propres besoins de traitement de gestion médicale et administrative de sa patientèle. Sont en principe considérées comme pertinentes, pour des finalités rappelées ci-dessus, les données suivantes :
a) L'identité et coordonnées du patient (telles que les nom, prénom, date de naissance, adresse postale, adresse électronique et numéro de téléphone) ;
b) L'identifiant national de santé (INS) pour la prise en charge sanitaire ou médico-sociale d'un patient ;
c) Le numéro de sécurité sociale à des fins de facturation et de prise en charge financière des dépenses de santé ;
d) La situation familiale (telle que la situation matrimoniale, le nombre d'enfants) ;
e) La situation professionnelle (telle que la profession, les conditions de travail) ;
f) La santé (telles que le poids, la taille, les antécédents médicaux, les diagnostics médicaux, la thérapie suivie, les traitements prescrits, la nature des actes effectués, les résultats d'examens, des renseignements d'ordre biologique, physiologique et pathologique propres à influencer la réaction du patient à sa prise en charge médicale et tout élément de nature à caractériser la santé du patient et considéré comme pertinent par le professionnel de santé) ;
g) Les informations relatives aux habitudes de vie en fonction du contexte, dès lors qu'elles sont collectées avec l'accord du patient et qu'elles sont nécessaires au diagnostic et aux soins du patient (telles que relatives à la dépendance [seul, en institution, autonome, grabataire], à l'assistance [aide-ménagère, familiale], à l'exercice physique [intensité, fréquence, durée], au régime et comportement alimentaire, aux loisirs) ;
h) Les traces fonctionnelles (celles qui rendent compte des actions métiers des utilisateurs ou des machines au sein du système d'information) et techniques (celles qui rendent compte de l'activité des composants logiciels et matériels utilisés par le système d'information pour assurer la fonctionnalité sollicitée par un utilisateur ou une machine).
Après s'être assuré de la nécessité et de la pertinence des données personnelles qu'il utilise, le professionnel de santé doit par ailleurs vérifier, tout au long de la durée de vie du traitement, la qualité des données qu'il traite. Cela signifie en pratique que conformément à la règlementation, les données doivent être mises à jour.
6. Destinataires et accès aux informations
Peuvent être amenées à accéder aux données des patients pour l'accomplissement de leurs missions et en vertu de dispositions législatives les personnes suivantes :
- les professionnels de santé et les professionnels concourant à la prévention et aux soins, afin d'assurer la continuité des soins dans le respect des dispositions des articles L. 1110-4 et L. 1110-12 du code de la santé publique, y compris via l'accès au dossier médical partagé et à l'espace numérique de santé ;
- les personnes en charge du secrétariat, qui doivent n'avoir accès, dans le respect des dispositions sur le secret professionnel, qu'aux informations nécessaires à l'accomplissement de leurs missions, c'est-à-dire aux informations relatives à la gestion du cabinet et en particulier à la gestion des rendez-vous ainsi qu'à certaines informations à caractère médical dans des conditions strictement limitées à ce qui est nécessaire à l'exercice de leurs missions et sous le contrôle du professionnel de santé ;
- afin de permettre le remboursement des actes, des prestations et leur contrôle, les personnels des organismes d'assurance maladie, qui ont connaissance, dans le cadre de leurs fonctions et pour la durée nécessaire à l'accomplissement de celles-ci, de l'identité de l'assuré, de son numéro de sécurité sociale et de numéro de code des actes et prestations exécutées et des pathologies diagnostiquées dans les conditions définies à l'article L. 161-29 du code de la sécurité sociale ;