En juillet 2022, un juge allemand interrogeait la Cour de Justice de l’UE quant à savoir si des frais pouvaient être facturés au patient demandant la copie de son dossier médical. La même problématique préoccupait professionnels et établissements de santé français. Le Code de la Santé Publique fixe en effet des délais particuliers pour la transmission des dossiers médicaux (8 jours pour les informations de …
En savoir plus
Considérée comme une règle essentielle à la démocratie, à telle point qu’elle fut érigée en devoir pour le Gouvernement, en 2012, la transparence cède du terrain, en pratique, et ce dans un objectif de conciliation avec les droits des tiers et les impératifs de l’action publique. Le Conseil d’Etat autrichien a ainsi limité la portée de l’obligation, pour le responsable de traitement, d’expliquer la logique …
En savoir plus
Voilà une décision de l’APD berlinoise qui aurait pu relever du cas d’école, mais qui in fine a débouché sur une amende de 215 000,00 euros (https://www.datenschutz-berlin.de/pressemitteilung/informationen-ueber-beschaeftigte-in-der-probezeit/). Pour sélectionner les salariés dont la période d’essai pourrait se terminer favorablement, l’employeur n’a pas hésité à collecter des données relatives à la santé mentale des salariés, ainsi qu’à la probabilité de les voir adhérer à un syndicat. …
En savoir plus
La personne concernée peut-elle délier le responsable de traitement de son obligation de sécurité? Une comparaison avec un sujet proche, celui du secret professionnel, devrait conduire à une réponse négative (Crim., 8 avril 1998, n° 97-83656). La CADA, dans un avis un chouïa plus récent, avait rappelé que le choix du patient de recevoir par email son dossier médical n’exonérait pas l’hôpital de ses obligations …
En savoir plus
En janvier 2018, la CNIL avait distingué trois types de données de santé: par nature, par croisement ou par destination. Près de six ans plus tard, on peut se demander si cette distinction a toujours un sens, alors que les décisions des juridictions et autorités de protection des données se contredisent, divergent ou multiplient les exceptions lorsqu’il s’agit de qualifier une donnée comme étant relative …
En savoir plus
Ne nous mentons pas. Pour bon nombre de ses détracteurs, le RGPD se résume à beaucoup de paperasses et des dépenses – et non des investissements – dans la cybersécurité. Voilà une décision de l’APD belge établissant clairement que la sécurité ne se limite pas au « cyber » et que le pragmatisme peut garder de la « procédurite ». En l’occurrence, le responsable de traitement poursuivi avait de …
En savoir plus
Alors que la CNIL a récemment indiqué que sa doctrine en termes de cookies n’avait pas induit de « fatigue du consentement« , l’autorité de protection des données italienne a admis, dans une décision du 2 mars 2023, que le recueil du consentement, en matière de recherche dans le domaine de la santé, introduisait nécessairement et systématiquement un biais scientifique (GPDP, 2 mars 2023, CHU Città della …
En savoir plus
Ils avaient pour certains été désignés OIV, pour d’autres OSE et plus encore sont en passe de devenir des entités sinon essentielles, à tout le moins importantes. Les établissements de santé sont probablement en passe de tous être considérés comme des responsables de « traitements critiques ». Durant l’été, la CNIL a publié un projet de recommandation relative à la sécurité de ces traitements. Sont notamment concernés …
En savoir plus
La sécurité des soins suppose de pouvoir garantir qu’une personne est bel et bien le patient connu du système d’information. Les règles d’identitovigilance, désormais posées par le référentiel national d’identitovigilance, ont été élaborées à cette fin. Elles restent toutefois d’application délicate. Le Graal de l’identité qualifiée – supposant notamment le recours à « un dispositif à haut degré de confiance » – est en effet loin d’être …
En savoir plus
En cas de manquement RGPD, le responsable peut-il s’exonérer de sa responsabilité? Difficilement, voire quasiment pas, au regard du principe de responsabilité. Conséquence directe, le caractère non-intentionnel, involontaire de la violation est sans effet (AEPD, Free Energy, n° PS-00099-2022 ; Délibération de la formation restreinte n° SAN-2022-023 du 19 décembre 2022). De la même façon, les faits commis par un membre du personnel, sans instruction …
En savoir plus