Dernières actualités : données personnelles

CNIL

Explorez la cartographie des entrepôts de données de santé en France

Le Laboratoire d’innovation numérique de la CNIL (LINC) publie une cartographie des entrepôts de données de santé en France. Cet outil a pour objectif de documenter les initiatives de différents acteurs qui constituent ces bases de données, notamment dans le cadre de la recherche. La CNIL rappelle, dans son article, qu’elle a un rôle de régulateur des données personnelles en général, et en particulier des données de santé. Ainsi, elle accompagne, autorise (dans certaines hypothèses) et contrôle la mise en œuvre de ces entrepôts de données de santé. Devant la multiplication de ces derniers et des organismes souhaitant en constituer, il est apparu particulièrement utile de créer un outil permettant à la fois de comprendre les dynamiques à l’œuvre et d’améliorer la transparence de l’usage des données de santé dans le cadre de la recherche.

Disponible sur: CNIL.fr

Datatilsynet (autorité norvégienne)

Norvège: l’autorité poursuit l’enquête sur l’utilisation de données de santé par des hôpitaux

Depuis le lancement de la solution de dossier médical qui communique entre les différents niveaux de responsabilité appelée « plateforme de santé » en mai 2022, l’autorité norvégienne de protection des données a reçu de nombreux rapports concernant des atteintes à la sécurité des données à caractère personnel (appelés « rapports de déviation »). Au vu de l’envergure du système, l’autorité indique qu’elle s’attendait à ce que certaines déviations se produisent au cours du déploiement, ce qui explique pourquoi elle a choisi, dans un premier temps, de suivre l’évolution de la situation de manière continue. Toutefois, compte tenu du nombre total de non-conformités, où les erreurs sont plus ou moins graves, elle a finalement de procéder à un audit de la plateforme de santé.

En particulier, dans la suite de contrôles réalisés en mai  l’autorité norvégienne a annoncé de nouveaux audits de la plateforme de santé à l’hôpital St. Olavs HF et à la municipalité de Melhus. Lors de ces audits qui auront lieu le 22 et 23 octobre, il s’agira d’éxaminer plus en détail si les mesures techniques et organisationnelles mises en œuvre par les entreprises répondent aux exigences en matière de sécurité des données à caractère personnel. Les thèmes principaux sont la gestion des accès et la gestion des non-conformités, et nous examinerons les responsabilités, les routines, l’organisation technique et la fonction opérationnelle à un niveau plus élevé.

Disponible (en norvégien) sur: datatilsynet.no
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CNIL

La CNIL et le CASD publient de nouvelles fiches pratiques pour les circuits d’appariement avec le SNDS

La CNIL publie un ensemble de fiches pratiques, produites en collaboration avec le Centre d’accès sécurisé aux données (CASD), qui présentent des exemples de circuits d’appariement de données avec le SNDS. Elles complètent ainsi le guide pratique de la CNIL publié en décembre 2020. La CNIL encadre depuis de nombreuses années les appariements de données de santé avec le Système national des données de santé (SNDS), dans le cadre de demandes d’autorisations lorsque l’appariement nécessite le traitement du numéro d’inscription au répertoire ou NIR. Cependant, elle constate régulièrement plusieurs écueils dans les demandes d’autorisation de la part d’organismes publics ou privés qui réalisent des recherches dans le domaine de la santé. Afin d’accompagner les professionnels concernés, la CNIL a ainsi publié en 2020 un guide pratique présentant les circuits les plus classiques, conformes aux obligations légales et à sa position.

En complément à ce guide, la CNIL publie de nouvelles fiches pratiques qui présentent :
* des schémas détaillés, étape par étape, dans le même formalisme que ceux du guide de 2020 ;
* des schémas montrant les différentes « tables de données », produits par le CASD.

Disponible sur: CNIL.fr

ICO (autorité anglaise)

Déclaration de l’ICO en réponse à la cyberattaque de Synnovis

Le 3 juin, Synnovis, un laboratoire de pathologie qui traite les tests sanguins pour le compte d’un certain nombre d’organisations du NHS (« National Health Service »), principalement dans le sud-est de Londres, a été victime d’une cyberattaque. Le NHS a été informé qu’un groupe de cybercriminels a publié hier soir des données qui, selon eux, appartiennent à Synnovis et ont été volées dans le cadre de cette attaque. La National Crime Agency et le National Cyber Security Centre s’efforcent de vérifier le plus rapidement possible les données contenues dans les fichiers publiés.

Nous comprenons que les gens puissent être préoccupés par cette affaire et au fur et à mesure que de nouvelles informations seront disponibles grâce à l’enquête complète de Synnovis, le NHS continuera d’informer les patients et le public sur cette page web. Un service d’assistance téléphonique a été mis en place pour répondre aux questions. Dès que nous aurons plus d’informations sur la fuite de données et sur la nature de ces données, nous les publierons d’abord sur cette page. Les patients doivent continuer à se rendre à leurs rendez-vous et à accéder aux soins urgents comme d’habitude.

En réaction, un porte-parole de l’ICO a déclaré :
« Bien que nous continuions à enquêter sur cette affaire, nous sommes conscients de la sensibilité de certaines des informations en question et de l’inquiétude qu’elles ont pu susciter. « Nous conseillons vivement à toute personne préoccupée par la manière dont ses données ont été traitées de consulter notre site web pour obtenir des conseils et de l’aide, ainsi que de visiter le site web de NHS ».

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

ICO (autorité anglaise)

L’ICO enquête sur la violation des données de 23andMe avec son homologue canadien

L’Information Commissioner’s Office (ICO) et le Commissariat à la protection de la vie privée du Canada (CPVP) ont lancé une enquête conjointe sur la violation de données qui s’est produite en octobre 2023 au sein de la société mondiale de tests génétiques directs aux consommateurs 23andMe, qui est dépositaire d’informations personnelles très sensibles, notamment d’informations génétiques qui ne changent pas avec le temps. Ces données peuvent révéler des informations sur une personne et les membres de sa famille, notamment sur leur santé, leur origine ethnique et leurs liens biologiques. C’est pourquoi la confiance du public dans ces services est essentielle.

L’enquête conjointe reflète l’engagement des régulateurs à collaborer à la protection du droit fondamental à la vie privée des individus dans toutes les juridictions.

Elle examinera :
1- L’étendue des informations exposées lors de la violation et les préjudices potentiels pour les personnes affectées ;
2- Si 23andMe disposait de garanties suffisantes pour protéger les informations hautement sensibles qu’elle contrôlait ; et
3- Si l’entreprise a notifié de manière adéquate la violation aux deux régulateurs et aux personnes concernées, comme l’exigent les lois canadienne et britannique sur la protection des données.

Disponible (en anglais) sur: ico.org.uk
Cette courte introduction est susceptible d’avoir été traduite de manière automatisée.

CNIL

Essais cliniques décentralisés : lancement d’une phase pilote par la DGS, la DGOS, l’ANSM et la CNIL

Afin d’accompagner les promoteurs dans la conception de leurs projets de recherches cliniques décentralisés, la DGS, la DGOS, l’ANSM et la CNIL mettent en place une phase pilote, de janvier à septembre 2024. Dans ce cadre, 20 projets seront sélectionnés et bénéficieront d’un soutien ciblé. L’objectif est d’apporter des réponses concrètes aux difficultés rencontrées dès la phase de conception de leur recherche, comportant un ou des éléments décentralisés. Les promoteurs pourront ainsi obtenir des réponses aux questions précises qu’ils se posent pour un projet de recherche donné, avant de soumettre leur projet finalisé pour avis et/ou autorisation du comité de protection des personnes (CPP), de l’ANSM et en amont de la réalisation d’une formalité auprès de la CNIL. Les réponses apportées ne préjugeront en rien des décisions rendues par ces instances lors de leur saisine respective.

La CNIL précise néanmoins que ces questions ne pourront concerner qu’un projet de recherche :

  • national ou international n’impliquant pas une première administration à l’homme.
  • concernant un médicament, un dispositif médical ou un dispositif médical de diagnostic in vitro (essais cliniques, études de performance, investigations cliniques) ;
  • en cours de conception (donc avant la soumission du projet de recherche sur le SIRIPH2G ou sur le CTIS) ou en cours de mise en œuvre (moyennant le dépôt d’une demande de modification substantielle auprès des autorités compétentes).

Disponible sur: CNIL.fr

GPDP (autorité italienne)

La vérification d’un vaccin non obligatoire ne justifie pas le traitement de données de santé

Dans un communiqué de presse publié ce 28 mai 2024, l’autorité italienne annonce avoir envoyé une demande d’information à la région des Pouilles sur le projet de loi introduisant l’obligation pour les élèves des collèges, lycées et universités de présenter un certificat de vaccination contre le virus du papillome (HPV) pour s’inscrire aux cours de formation correspondants, rappelant au passage que le règlement européen établit une interdiction générale de traitement des données de santé, sauf dérogations spécifiques.  L’autorité souligne également que, sur la base de la législation sectorielle, le certificat de vaccination ne peut être demandé par le personnel de l’école que dans les cas de vaccinations obligatoires.

L’autorité annonce enfin que « compte tenu de la sensibilité particulière de l’initiative, qui concerne également des élèves mineurs, la Garante a donc invité la Région à fournir, dans un délai de 30 jours, toute information utile à l’appréciation du dossier ».

Disponible (en italien) sur: gpdp.it
Cette courte introduction est susceptible d’avoir été traduire de manière automatisée

CNIL

Participez à la concertation sur les référentiels santé et faites connaître vos priorités

La CNIL souhaite faire évoluer les référentiels « santé » en concertation avec les acteurs concernés. Elle lance ainsi une consultation, ouverte jusqu’au 12 juillet 2024, pour recueillir votre avis et construire collectivement les référentiels de demain. Pour répondre à vos questions, un webinaire sera également organisé le 21 mai.

Disponible sur: CNIL.fr

CNIL

Parasport : la collecte des données concernant la situation de handicap du sportif

Les acteurs de l’écosystème du sport sont amenés, dans certaines circonstances, à traiter des données personnelles indiquant qu’un sportif est en situation de handicap, notamment afin d’adapter la pratique sportive des personnes concernées. Ces données font l’objet d’une protection renforcée. En effet, d’après l’article L. 114 du code de l’action sociale et des familles, constitue un handicap « toute limitation d’activité ou restriction de participation à la vie en société subie dans son environnement par une personne en raison d’une altération substantielle, durable ou définitive d’une ou plusieurs fonctions physiques, sensorielles, mentales, cognitives ou psychiques, d’un polyhandicap ou d’un trouble de santé invalidant ». Or, les données concernant la santé (relative à la santé physique ou mentale passée, présente ou future, actuelle ou potentielle, d’une personne) sont des données sensibles, au même titre que les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, etc. (art. 9.1 du RGPD).

Disponible sur: CNIL.fr

HAAS Avocats

Un accès au dossier patient informatisé surveillé par la CNIL !

Un accès au dossier patient informatisé surveillé par la CNIL !

Par Haas Avocats

Plusieurs établissements de santé ont été mis en demeure par la CNIL de mettre en place les mesures nécessaires pour garantir la sécurité du dossier patient informatisé (DPI), soulignant, en adéquation avec le principe de minimisation[1], que les données des patients ne doivent être accessibles qu’aux personnes justifiant le besoin d’en avoir connaissance.

Disponible sur: haas-avocats.com

Retour en haut