RGPD

Le RGPD (règlement général sur la protection des données, règlement (UE) 2016/679 (nouvel onglet)) encadre tout traitement de données personnelles dans l’Union européenne. Il s’applique depuis le 25 mai 2018 à toute personne qui traite de telles données, y compris un ostéopathe seul dans son cabinet.

Quelles notions retenir ?

L’article 4 du règlement pose les définitions :

• Donnée à caractère personnel : toute information sur une personne identifiée ou identifiable (nom, téléphone, date de naissance…).
• Traitement : toute opération sur ces données (collecte, enregistrement, consultation, envoi, effacement).
• Données concernant la santé : les données sur la santé physique ou mentale d’une personne, y compris les soins reçus, qui révèlent son état de santé. Le motif de consultation, l’anamnèse ou un schéma corporel en font partie.
• Responsable de traitement : celui qui décide des finalités et des moyens, ici l’ostéopathe.
• Sous-traitant : celui qui traite les données pour son compte, comme l’éditeur d’un logiciel en ligne.

Pourquoi les données de santé sont-elles à part ?

L’article 9 interdit en principe leur traitement, puis prévoit des exceptions. L’une d’elles couvre le traitement nécessaire à la prise en charge sanitaire, sous la responsabilité d’un professionnel soumis au secret. C’est la base retenue par la CNIL dans son référentiel pour les cabinets médicaux et paramédicaux (nouvel onglet) ; les ostéopathes n’y sont pas cités, mais il sert de repère.

Quels principes appliquer au cabinet ?

L’article 5 fixe sept principes : licéité, loyauté et transparence ; finalités déterminées ; minimisation des données ; exactitude ; durée de conservation limitée ; sécurité et confidentialité ; responsabilité, c’est-à-dire être capable de démontrer le respect des règles. Concrètement :

• informer les patients de l’usage de leurs données (art. 13) ;
• tenir un registre des traitements (art. 30) : l’exemption des structures de moins de 250 personnes ne joue pas pour les données de santé ;
• choisir des prestataires qui présentent des garanties et signer avec eux un contrat (art. 28) ;
• répondre aux demandes d’accès dans un délai d’un mois, prolongeable de deux mois (art. 12).

Piège : le RGPD ne remplace pas le secret professionnel. Les deux s’appliquent en même temps.

Dans L’Ostéopathe, vous êtes responsable du traitement des données de vos patients et L’Ostéopathe agit comme sous-traitant ; ce qui est en place et ce qui reste à publier (accord de sous-traitance, liste des sous-traitants ultérieurs) figure sur la page Sécurité. Pour le cadre réglementaire d’ensemble, voir le hub Réglementation de l’ostéopathie.