Avec le vote de la loi du 20 juin 2018 modifiant la loi relative à l’informatique et aux libertés pour l’adapter au RGPD, les mesures relatives aux données de santé et au nouveau SNDS (système national des données de santé) ont été nombreuses.
Elles ont notamment conduit à la réécriture complète du chapitre IX de la loi relative à l’informatique et aux libertés. En conséquence, le décret du 20 octobre 2005 qui définit la mise en œuvre de nombreuses mesures liées à la CNIL a été modifié cet été : un décret de modification daté du 1er août 2018 a été publié le 3 août 2018.
Le comité d’audit du système national des données de santé défini par décret
La loi du 20 juin 2018 a créé un comité d’audit chargé de contrôler le bon fonctionnement du système national des données de santé. Le décret du 1er août 2018 en précise la composition : au moins 10 personnes en font partie, dont une personne représentant les acteurs privés du domaine de la santé.
Ce comité d’audit doit siéger au moins deux fois par an. En fonction des décisions prises par le comité, le président fixe les audits à mener chaque année sur l’ensemble des systèmes de données impliqués dans le fonctionnement du système national des données de santé.
Le décret précise que les audits doivent être réalisés par des prestataires indépendants, pouvant impliquer un médecin si des données médicales individuelles sont en jeu. Une charte d’audit doit encore être définie par arrêté. Le texte précise les modalités selon lesquelles l’audit peut être mené, sachant que l’entité auditée peut faire valoir son droit d’opposition à l’audit.
Les auditeurs ne rendent pas leur rapport directement à la CNIL. Ils le transmettent d’abord à l’entité auditée qui peut faire ses propres retours sur son contenu dans un délai d’un mois. Un nouveau rapport est écrit en fonction des réponses apportées par l’entité auditée. Ce rapport définitif est envoyé au président du comité d’audit et au président de la CNIL.
Le président du comité d’audit rend compte, chaque année, de l’activité du comité devant le ministre des affaires sociales et de la santé. Il présente les conclusions et recommandations formulées au cours des audits.
Le décret précise bien d’autres dispositions relatives à la protection des données en général que nous présenterons dans de futures publications.
