Le Règlement Général sur la Protection des Données pour les cabinets dentaires

Le Règlement Général sur la Protection des Données est un règlement européen applicable depuis le 25 mai 2018, pour améliorer la gestion numérique des données des personnes dans l’espace européen.

En résumé…

Le règlement impose que tout traitement de données personnelles respecte des critères assurant aux Européens une protection de leurs données, dans le but de minimiser les utilisations frauduleuses ou indésirables des données personnelles.

Donnée personnelle ?

Une donnée à caractère personnel est constituée par toute information qui se rapporte à une personne physique, identifiée ou même indirectement identifiable (par exemple, par un numéro identifiant ou un recoupement d’informations). Des exemples de données personnelles sont :

le nom d’une personne ;
ses coordonnées, e-mail, numéro de téléphone ;
un numéro de sécurité sociale ;
des coordonnées GPS de localisation ;
des habitudes de consommation…

Suivant cette définition, un cabinet dentaire contient trois principaux fichiers de coordonnées personnelles : le fichier patient, le registre du personnel et le carnet d’adresse des correspondants.

Un traitement ?

Le règlement définit de manière très large les « traitements de données », qui recouvrent quasiment toute opération relative à des données personnelles, de la collecte jusqu’à la destruction. Les traitements seront par exemple :

la collecte des données personnelles d’un patient ;
leur communication à un tiers (correspondant…) ;
l’envoi d’e-mails, de courriers, de SMS ;
la sauvegarde des données ;
l’accueil téléphonique assisté et la prise de rendez-vous via un outil comme Telppy.

Les obligations

Le RGPD prévoit certaines obligations sur tout traitement des données à caractère personnel :

Transparence : les données doivent être traitées de manière loyale, licite et transparente. Les personnes concernées doivent être informées sur le traitement de manière claire.
Limitation des finalités : les données ne doivent pas être réutilisées pour une finalité incompatible avec la finalité initiale prévue.
Minimisation des données : les données doivent être pertinentes, adéquates et limitées à ce qui est nécessaire au regard des finalités des traitements.
Exactitude des données : les données traitées doivent être exactes et mises à jour régulièrement (rectification, voire effacement).
Limitation de la conservation : les données ne devraient être conservées que pendant la durée nécessaire aux finalités pour lesquelles elles sont traitées.
Sécurité, intégrité et confidentialité : les données doivent être sécurisées au moyen de mesures techniques ou organisationnelles. Il est dès lors obligatoire que les personnels du cabinet dentaire utilisent des mots de passe suffisamment sécurisés.

Le responsable de traitement doit être en mesure de démontrer le respect de ces principes.

Le cas des données de santé

Le consentement à l’utilisation des données

Les données de santé constituent une catégorie particulière de données à caractère personnel, car il s’agit de données sensibles. Elles sont protégées de manière accrue.

Il est interdit pour des acteurs purement commerciaux de traiter des données de santé hors cadre autorisé. Il est toutefois autorisé pour les professionnels de santé dans le cadre de leur métier.

Selon l’article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée, le consentement du patient à l’utilisation de ses données n’est pas requis pour les « traitements nécessaires aux fins de… l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé ». Dès lors, il ne semble pas nécessaire de demander le consentement du patient quant à la collecte de ses données dès lors que celles-ci sont bien utilisées pour les soins au patient.

La suppression des données personnelles

Le RGPD impose que les données personnelles ne soient conservées que le temps nécessaire aux traitements prévus, puis supprimées. La personne dispose également d’un droit à l’effacement.

Des réglementations supplémentaires s’appliquent au dossier médical. Il convient de distinguer :

Les données constituant le dossier médico-légal — radiographies, état du patient, identité, liste des soins, correspondances… que le praticien doit conserver longtemps (souvent évoqué : 20 ans). Le patient ne pourra pas toujours obtenir la suppression de ces données au titre du seul « droit à l’oubli ».
Les données personnelles non essentielles — coordonnées, photo d’identité non indispensable… devraient être supprimées dès lors que leur utilisation n’est plus justifiable, ou si le patient l’exige.

La mise en œuvre

Les acteurs

Le responsable de traitement — dans un cabinet dentaire, le responsable de la structure. Cette responsabilité ne peut pas être déchargée sur un tiers externe (y compris Telppy).
Le DPO / pilote — interlocuteur RGPD ; l’obligation de le nommer ne concerne pas tous les cabinets.
Les sous-traitants — par exemple un éditeur logiciel, un hébergeur ou un outil d’accueil téléphonique comme Telppy. Le responsable doit s’assurer que les sous-traitants mettent en œuvre des moyens suffisants pour respecter le RGPD.

Les registres

Le registre des traitements — finalités, données, acteurs, mesures de protection, délais de destruction.
Le registre des violations — pertes, vols… à consigner et signaler à la CNIL le cas échéant.

Affichage obligatoire

Afin d’informer les patients, vous devez apposer une mention dans le cabinet. Un modèle est disponible sur le site de la CNIL.

Voir aussi la politique de confidentialité Telppy et les mentions légales.