la Cnil rassure et alerte face aux arnaques
Quelques jours avant l’entrée en application du règlement européen de protection des données (RGPD), le 25 mai, la Commission nationale de l’informatique et des libertés (Cnil) appelle une nouvelle fois à la vigilance face « aux agissements de sociétés promettant de manière peu scrupuleuse une mise en conformité « clé en main » au RGPD ». Leur technique : insister sur les sanctions financières encourues, se présenter comme « labellisées », « certifiées » ou « recommandées » par la Cnil, puis se contenter de vous adresser une simple documentation ou vous proposer un simple échange verbal. Or, rappelle la Cnil, la mise en conformité au RGPD nécessite plus que cela, « la désignation d’une personne qualifiée en protection des données personnelles pour identifier les actions à mettre en place et assurer leur suivi dans le temps ».
Le RGPD vise à renforcer les droits des citoyens européens dans la protection de leurs données personnelles, mais aussi à sécuriser les données au sein des entreprises. Les données de santé contenues dans les dossiers patients sont considérées comme « à risque » et les cabinets dentaires doivent donc assurer leur protection optimale à chaque instant et être en mesure de la démontrer en documentant leur conformité. Toutes les démarches à effectuer sont regroupées sur le site de la Cnil. La commission propose notamment un schéma d’organisation simple : désigner « un pilote » chargé de mener à bien ce projet (ce sera le praticien le plus souvent) et de recenser de façon précise le traitement des données personnelles au sein du cabinet en élaborant un « registre des traitements » (téléchargeable sur cnil.fr).
À partir de cet état des lieux, vous devrez principalement : revoir les modalités d’exercice des droits des patients (droit d’accès, de rectification, droit à la portabilité des données, retrait du consentement, droit à l’oubli…), vérifier les mesures de sécurité mises en place pour préserver ces données (vol, incendie…) et en revoir les modalités de conservation. Il faudra également constituer et regrouper les actions et documents réalisés à chaque étape et les actualiser régulièrement afin d’assurer une protection des données en continu. La même démarche, en somme, que dans le cadre du document unique concernant les risques professionnels. La CNSD rappelle également sur son site Internet les procédures qu’il convient de mettre en place.
Acter un changement d’état d’esprit
Quant à la date du 25 mai, « il ne faut pas la voir comme une date couperet, synonyme d’une intervention massive de la Cnil, rassure Isabelle Falque-Pierrotin, sa présidente, dans l’édition des Échos du 15 mai. Le fait qu’un bon nombre d’entreprises ne soient pas 100 % conformes n’est pas très grave. L’important est que l’ensemble des acteurs actent le changement d’état d’esprit et lancent un plan pour décliner les nouvelles obligations dans leurs différents processus. (…) La date du début des sanctions n’est pas actée. Il n’y aura pas d’automatisme et nous examinerons au cas par cas, afin de savoir si l’entreprise s’est effectivement préoccupée de la protection des données personnelles ».
Commentaires