Dans le cadre du RGPD, pour piloter la gouvernance des données personnelles et protéger les droits fondamentaux des personnes concernées (patients, usagers, personnels, agents…), les établissements et service du médico-social ont besoin d'un véritable chef d’orchestre : le délégué à la protection des données personnelles (DPO). Le DPO doit connaître les caractéristiques-clés de son établissement pour pouvoir adapter ses actions.
Le DPO peut être interne ou externe à l’établissement et mutualisé entre plusieurs établissements. Pour réunir l’ensemble des compétences attendues et soutenir le DPO, certains établissements ont choisi de créer un comité ou une cellule appelée à se réunir régulièrement regroupant plusieurs catégories de personnes : le DPO, le RSSI, un juriste, un médecin, du temps de secrétariat, etc.
Le responsable de traitement met en œuvre des mesures techniques et organisationnelles appropriées afin d’être en mesure de démontrer et garantir que le traitement est effectué conformément au RGPD. Ces mesures sont réexaminées et actualisées si le DPO et le responsable de traitement le jugent nécessaire.
La documentation interne doit permettre d’attester de la conformité aux grands principes du RGPD (licéité et transparence, minimisation des données, respect des droits, etc.). Il faudra désormais tenir à jour une documentation interne afin de pouvoir rendre compte à la CNIL en cas de contrôle : registre, mentions d’information, preuves du recueil du consentement, contrats avec les sous-traitants.
La désignation d’un DPO est obligatoire en cas de traitement à grande échelle. Les établissements privés sanitaires et médico-sociaux sont ainsi clairement concernés par le critère du traitement à grande échelle de catégories particulières de données, en l’occurrence des données de santé.
S’agissant de la notion de grande échelle, le RGPD prend l’exemple d’un traitement par un hôpital des données de patients dans le cadre du déroulement normal de ses activités. Par opposition, un traitement de données de même nature, mais par un médecin exerçant à titre individuel, ne constituera pas un traitement à grande échelle.
