Ce que demande le critère
Le prestataire organise la protection des données à caractère personnel. Le référentiel précise :
- le prestataire gère des données à caractère personnel ;
- il met en place des mesures permettant l'application du règlement général sur la protection des données (RGPD) ;
- le principe de minimisation des données collectées est appliqué.
Ce que l'auditeur vérifie
L'auditeur s'entretient avec la direction et examine les documents.
Les preuves à préparer
- La procédure mise en place pour protéger les données à caractère personnel.
À qui il s'applique
À tous les prestataires.
Points de vigilance
Les deux sections qui suivent sont des conseils de la rédaction, déduits du critère. Elles ne reprennent pas des exigences du référentiel.
- Des données de santé. Le dossier d'un usager contient des données concernant la santé, que le RGPD range parmi les données sensibles (article 9). Le règlement impose notamment un registre des traitements (article 30), l'information des personnes (article 13), des mesures de sécurité adaptées (article 32), une durée de conservation limitée (article 5) et un contrat avec chaque sous-traitant (article 28). L'hébergement des données de santé obéit en plus à des règles propres (voir « HDS » dans le lexique).
- La minimisation. Ne collecter que ce qui sert à la prestation : c'est le point que le référentiel cite expressément. Relisez vos formulaires d'ouverture de dossier avec cette question.
- Les appareils qui gardent des données. Des données restées dans un appareil remis à un autre usager lui seraient communiquées : la remise à zéro que le référentiel exige entre deux usagers (critère 3.4.8) protège donc aussi les données.
- Les sous-traitants. Logiciel métier, hébergeur, prestataire de télésuivi : l'article 28 du RGPD impose un contrat avec chacun d'eux, qui fixe ce qu'il peut faire des données.
Par où commencer
- Dressez le registre des traitements (article 30 du RGPD) : quelles données, pour quoi, qui y accède, combien de temps, où elles sont hébergées.
- Relisez les formulaires de collecte et retirez ce qui n'est pas nécessaire.
- Vérifiez les contrats de vos sous-traitants informatiques.
- Rédigez la procédure de protection des données, qui renvoie au registre et aux mesures de sécurité en place.
- Informez les usagers de leurs droits dans les documents remis à l'ouverture du dossier.