Sur les points de non-conformité au référentiel concerné

Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions du référentiel « entrepôt de données dans le domaine de la santé », à l’exception :

• des modalités d’information des personnes concernées ;
• de certaines mesures de sécurité.

En dehors de ces points, qui font l’objet d’un examen spécifique dans la présente autorisation, ce traitement devra respecter le cadre prévu par le référentiel « entrepôt de données dans le domaine de la santé ».

Sur la finalité du traitement, sa licéité et les conditions permettant de traiter des données concernant la santé

Le traitement envisagé a pour finalité la constitution d’un entrepôt de données à caractère personnel comprenant notamment des données de santé, dénommé « EREBIA ».

Ce dernier a pour finalités :

• la production d’indicateurs et le pilotage stratégique, tel que des bilans d’activité, des évaluations de la qualité et de la pertinence de la prise en charge ou encore le calcul d’indicateurs ;
• l’amélioration de la qualité de l’information médicale ou l’optimisation du codage dans le cadre du programme de médicalisation des systèmes d’information (PMSI) ;
• le fonctionnement d’outils d’aide au diagnostic médical ou à la prise en charge ;
• la réalisation d’étude de faisabilité (pré-screening) ;
• la réalisation d’études, recherches et d’évaluations dans le domaine de la santé.

Sur l’information des personnes

S’agissant des professionnels de santé n’exerçant plus au sein de l’établissement dont les données ont été collectées antérieurement à la constitution de l’entrepôt :

Les professionnels de santé dont les coordonnées figurent dans le dossier administratif géré par le CHU de Dijon Bourgogne recevront une information individuelle comportant l’ensemble des mentions prévues par le RGPD.

En application de l’article 69 de la loi « informatique et libertés » et de l’article 14-5-b) du RGPD, l’obligation d’information individuelle de la personne concernée peut faire l’objet d’exceptions, notamment dans l’hypothèse où la fourniture d’une telle information exigerait des efforts disproportionnés.

En pareil cas, le responsable de traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles.

En l’espèce, il sera fait exception au principe d’information individuelle s’agissant des professionnels de santé n’exerçant plus au sein de l’établissement et dont les coordonnées ne figurent pas dans le dossier administratif géré par le CHU de Dijon Bourgogne.

Des mesures appropriées seront mises en œuvre, telles que la diffusion d’une information comportant l’ensemble des mentions prévues par le RGPD sur le site web du responsable de traitement, sur les réseaux sociaux ainsi que par la publication d’un article dans une presse locale.

Sur la sécurité des données et la traçabilité des actions

Le dossier de demande mentionne que le traitement envisagé est conforme à la plupart des mesures de sécurité prévues dans le référentiel « entrepôt de données dans le domaine de la santé », à l’exception de certaines d’entre elles qui ont été précisément identifiées. Pour ces dernières, la non-conformité a été dûment justifiée et compensée par la mise en œuvre de mesures techniques et organisationnelles à l’état de l’art, à l’exception de l’authentification multifacteur dont la mise en place est prévue d’ici la fin de l’année 2024. Elle devra être effective préalablement à la mise en œuvre du traitement.

Les mesures de sécurité, qui devront être opérationnelles lors de la mise en œuvre du traitement, devront répondre aux exigences prévues par les articles 5,1, f) et 32 du RGPD compte tenu des risques identifiés par le responsable de traitement. Il appartiendra au responsable de traitement de procéder à une réévaluation régulière des risques pour les personnes concernées et une mise à jour, le cas échéant, de ces mesures de sécurité.