Maîtriser le RGPD dans votre EDS [Avis de DPO]
La mise en place d’un entrepôt de données de santé requiert une conformité rigoureuse au RGPD et au référentiel CNIL, fondée sur une gouvernance claire, une documentation complète et des mesures de sécurité élevées. Le DPO en est le garant, assurant transparence et conformité à chaque étape du projet.
RGPD et Entrepôt de données
Les entrepôts de données de santé sont devenus des dispositifs stratégiques pour les établissements de santé, mais leur mise en œuvre implique un respect strict du RGPD.
Entre base légale, gouvernance, sécurité et réutilisation, ce type de traitement soulève des questions techniques et juridiques complexes.
Dans cet article, nous explorons les conditions à remplir pour créer un entrepôt de données conforme, les erreurs à éviter, et les leviers à activer pour garantir sécurité et transparence.
Un guide opérationnel à destination des DPO, RSSI, juristes et responsables de traitement.
Avis de DPO
L’entrepôt de données de santé doit être perçu comme un stockage massif de données pseudonymisées dont la réutilisation devra être justifiée ensuite par des projets de recherche, d’études, de pilotage reposant le plus souvent eux-mêmes sur des fondements d’intérêt public.
Dans le cadre de l’intérêt public, l’EDS doit répondre au référentiel CNIL sur les EDS.
- Un entrepôt de données de santé est un traitement structuré soumis aux exigences du RGPD
- Le référentiel CNIL permet une déclaration de conformité pour les projets d’intérêt public
- L’AIPD, la gouvernance éthique et la documentation sont indispensables
- La pseudonymisation ne suffit pas à exclure le RGPD : les données restent identifiables
- Le DPO doit être intégré dès la conception pour sécuriser l’ensemble du projet
Adequacy dispose d’un module Santé, où le référentiel CNIL d’Entrepôt de Données de Santé est enregistré et utilisable.
Comprendre les entrepôts de données de santé à la lumière du RGPD
Les entrepôts de données de santé (EDS) sont devenus des outils stratégiques pour les établissements de santé souhaitant valoriser leurs données à des fins de pilotage, de recherche ou d'optimisation des soins. Leur mise en place implique néanmoins un encadrement juridique rigoureux, notamment au regard du Règlement général sur la protection des données (RGPD).
Définition d'un entrepôt de données de santé
Un entrepôt de données de santé est un traitement structuré de données à caractère personnel, mis en œuvre par un établissement de santé ou un groupement hospitalier, dans le but de permettre la réutilisation des données collectées au fil du soin¹. Ces données peuvent concerner :
- Le pilotage stratégique
- L'amélioration de la qualité des soins
- L'aide à la décision médicale
- Les études de faisabilité
- La recherche, sous conditions
Ce traitement se distingue d'une base de données traditionnelle par son objectif de réutilisation, son volume, sa structuration à des fins analytiques et son cadre de gouvernance renforcé.
Données de santé : une catégorie de données "sensibles"
Le RGPD (article 9) considère les données relatives à la santé comme des données sensibles, soumises à une interdiction de traitement de principe, sauf exceptions clairement définies². Les entrepôts de données, en raison de la sensibilité des informations qu'ils agrègent (pathologies, traitements, séjours hospitaliers, actes médicaux, etc.), sont donc soumis à un niveau de vigilance élevé.
Les exigences spécifiques du RGPD incluent :
- Un fondement légal solide
- Des mesures de sécurité techniques et organisationnelles adaptées
- Une limitation stricte des finalités
- Une gouvernance transparente
Base légale : les trois régimes applicables
Le traitement des données dans le cadre d'un EDS peut reposer sur plusieurs bases juridiques :
Note importante : La base la plus fréquemment utilisée dans les EDS est la mission d'intérêt public, qui permet de traiter des données sans consentement individuel, dès lors que le traitement est encadré par un dispositif légal ou réglementaire (référentiel CNIL, autorisation).
Finalité et transparence : des éléments à documenter
Chaque finalité d'un EDS doit être :
- Légitime
- Déterminée
- Explicite
- Compatible avec l'intérêt public
Il est impératif d'en informer clairement les personnes concernées via une politique de confidentialité accessible et compréhensible.
Interdictions formelles : Le traitement ne peut en aucun cas servir à des fins commerciales, à la promotion de médicaments ou à l'ajustement de garanties d'assurance (conformément à l'article L.5311-1 du CSP et aux restrictions du référentiel CNIL).
À retenir
Le RGPD impose une lecture fine des traitements mis en œuvre via un EDS. Le choix de la base légale, la définition de la finalité, la nature des données et la gouvernance sont autant de facteurs déterminants pour assurer la conformité.
Mettre en œuvre un entrepôt de données conforme au RGPD
La création et l'exploitation d'un entrepôt de données de santé (EDS) nécessitent une démarche structurée, conforme aux exigences du RGPD et aux recommandations de la CNIL³. De la gouvernance à la documentation, chaque étape doit permettre de garantir la licéité, la sécurité et la traçabilité des traitements mis en œuvre.
Cadre juridique : conformité ou autorisation ?
La CNIL propose un référentiel spécifique pour encadrer la création d'un EDS dans un cadre de mission d'intérêt public⁴. Si le projet est strictement conforme à ce référentiel, une déclaration de conformité suffit. Dans le cas contraire, une demande d'autorisation doit être adressée à la CNIL (article 66 III de la loi "Informatique et Libertés").
Tableau de synthèse des procédures
Documentation obligatoire
Quel que soit le régime, la documentation RGPD est un pilier central de la conformité. Le responsable de traitement doit tenir à jour :
- Un registre des activités de traitement (article 30 RGPD)
- Une analyse d'impact sur la vie privée (AIPD) (article 35 RGPD)
- Un dossier de gouvernance précisant les instances en charge du pilotage et de la validation
- Les protocoles de sécurité et d'habilitation
Important : Ces documents doivent être disponibles à tout moment en cas de contrôle, et actualisés en cas d'évolution du périmètre de l'entrepôt.
Gouvernance recommandée
Une gouvernance solide est essentielle. Le référentiel CNIL impose la mise en place :
Structure de gouvernance obligatoire
| Instance | Rôle | Responsabilités |
|---|---|---|
| Comité de pilotage | Orientations stratégiques | Définit les orientations stratégiques et tient un inventaire exhaustif des données |
| Comité scientifique et éthique | Évaluation des demandes | Évalue chaque demande de réutilisation des données et valide les projets de recherche |
| DPO | Conformité RGPD | Garant de la conformité et conseil méthodologique |
| DIM | Information médicale | Expertise technique et validation des aspects médicaux |
| Instance | Rôle | Responsabilités |
|---|---|---|
| Comité de pilotage | Orientations stratégiques | Définit les orientations stratégiques et tient un inventaire exhaustif des données |
| Instance | Rôle | Responsabilités |
|---|---|---|
| Comité scientifique et éthique | Évaluation des demandes | Évalue chaque demande de réutilisation des données et valide les projets de recherche |
| Instance | Rôle | Responsabilités |
|---|---|---|
| DPO | Conformité RGPD | Garant de la conformité et conseil méthodologique |
| Instance | Rôle | Responsabilités |
|---|---|---|
| DIM | Information médicale | Expertise technique et validation des aspects médicaux |
Exigence : Ces instances doivent être formalisées, et leurs rôles clairement documentés.
Cycle de vie des étapes de mise en conformité
Concernant l’information aux personnes concernées et la nécessité de disposer d’un portail de transparence, lire l'article du cabinet d'Aumans Avocats.
Liste de contrôle – Lancement d'un entrepôt
Le rôle clé du DPO
Le DPO est à la fois garant de la conformité et soutien méthodologique, voici les missions du DPO dans le cadre d'un EDS :
- Valide les finalités et la base légale
- Coordonne la réalisation de l'AIPD
- S'assure du respect des droits des personnes
- Conseille sur les mesures de minimisation et de pseudonymisation
Conseil : Il est impératif d'intégrer le DPO dès la phase de conception de l'entrepôt.
Sécurité, anonymisation et réutilisation des données : exigences et limites
La mise en œuvre d'un entrepôt de données de santé implique un haut niveau d'exigence en matière de sécurité, de maîtrise des risques et de respect des droits fondamentaux. Le RGPD impose un encadrement strict sur la gestion des accès, la réutilisation des données et la garantie de la confidentialité, particulièrement lorsqu'il s'agit de données de santé.
Sécurité des données : des obligations précises
L'article 32 du RGPD impose aux responsables de traitement de mettre en place des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté aux risques.
