Connexion
Webmail Blog
AccueilLoi sur la Protection des données (LPD)

Loi sur la Protection des données (LPD)

Mise à jour le 21.08.2023

 

Ceci est une version simplifiée et non exhaustive des démarches à faire pour une mise en conformité de la pratique des cabinets médicaux à la nouvelle législation sur la protection des données. Elle vise à donner aux médecins une information succincte et accessible sur les principaux changements de la nouvelle loi sur la protection des données pour leur activité médicale. Nous précisons ici que la FMH a traité de manière approfondie le sujet et que notre démarche vise à compléter ce travail, afin de faciliter le quotidien de nos membres. Nous vous encourageons à consulter les informations de la FMH pour de plus amples informations.

Bon à savoir et documents utiles

Les principes fondamentaux paraphrasés. Ces paraphrases sont reprises de David Vasella, “La nouvelle loi sur la protection des données et sa mise en œuvre” in : TREX 2021 pp. 278-283.

  • Ne traite pas les données en secret.
  • Dis aux intéressés à quelles fins tu les utilises et tiens-toi à cette règle.
  • N’utilise pas plus de données que nécessaires.
  • Si les intéressés eux-mêmes peuvent procéder à leurs propres configurations, paramètre-les de façon que le moins possible de données soient utilisées sans l’intervention de la personne concernée.
  • Planifie ton traitement de données en temps utile.
  • Corrige les données erronées et efface celles qui ne servent plus à rien.
  • Assure-toi de la sécurité des données, notamment contre tout accès non autorisé au sein et hors de ton organisation.
  • N’entreprends rien que tu ne puisses accepter en tant qu’intéressé.

Liste des documents utiles

 

 

De quoi s’agit-il ?

La nouvelle loi sur la protection des données (nLPD) et ses nouvelles ordonnances d’application [1] entreront en vigueur le 1er septembre 2023. La révision totale adapte la LPD aux nouvelles conditions technologiques et sociales. En particulier, la transparence du traitement des données sera améliorée et l’auto-détermination des personnes concernées à l’égard de leurs données sera renforcée. Elle vise aussi à responsabiliser les responsables du traitement des données (voir définition ci-dessous) en les incitant notamment à prendre en considération les enjeux de protection des données imposés par le législateur.

[1] Nouvelle ordonnance sur la protection des données (OPDo) & nouvelle ordonnance sur les certifications en matière de protection des données (OCPD).

I. Définitions et principes fondamentaux

Que sont les données personnelles ?

Les données personnelles sont «  toutes les informations concernant une personne, qui permettent de l’identifier ou de contribuer à l’identifier.» (art. 5 let. a nLPD). Certaines données personnelles sont qualifiées de données personnelles sensibles ou données sensibles. La Loi énumère de manière exhaustive les données personnelles sensibles ( art. 5 let. c nLPD).

Ce sont :

  • les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales ;
  • les données sur la santé, la sphère intime ou l’origine raciale ou ethnique ;
  • les données génétiques ;
  • les données biométriques identifiant une personne physique de manière univoque ;
  • les données sur des poursuites ou sanctions pénales et administratives ;
  • les données sur des mesures d’aide sociale;

Ex. de données personnelles (dont sensibles) traitées par les cabinets médicaux :

  • les données de base et les coordonnées de la patientèle, du personnel, des personnes de contact, des prestataires de services ou d’autres établissements de santé : p. ex. nom, adresse électronique, numéro de téléphone, numéro AVS, date de naissance, etc.
  • les saisies et enregistrements relatifs au déroulement d’un traitement, à la description des symptômes, aux diagnostics, aux ordonnances, aux réactions, aux résultats de laboratoire, aux radiographies, aux médicaments ;
  • le statut d’assurances sociales ;
  • les données relatives à la sphère intime, telles que l’état de santé, la vie sexuelle ou affective ;
  • les données relatives au personnel et aux rapports de travail, y compris les évaluations des performances et les décomptes de salaire.

!! Les données anonymes ne sont pas soumises à la nLPD !!.

Qui traite des données personnelles ?

Le responsable du traitement de données: la personne privée qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données personnelles; c’est à dire celui qui décide du traitement de données personnelles et des principales conditions auxquelles ce traitement obéit (p. ex. nombre de données, personnes autorisées à les traiter, durée de conservation des données, destinataires). Ce responsable peut déléguer le traitement à des sous-traitants (ex. Caisse des médecins), il n’en reste pas moins responsable aux yeux de la loi et doit s’assurer d’avoir pris toutes les précautions nécessaires avec son sous-traitant !

! Les médecins ou leurs cabinets médicaux sont les responsables du traitement des données !

Le sous-traitant : celui qui traite des données personnelles pour le compte du responsable du traitement ; le fournisseur qui stocke les données. Ex: le logiciel médical, l’hébergeur de site Web, de cloud, l’entreprise ou le service qui gère les outils informatiques.

Le destinataire : tous ceux auxquels des données sont transférées par le responsable du traitement (ex. assureurs, confrères, laboratoires, hôpitaux, autorités cantonales, etc.).

Les organes fédéraux :  ceux-ci ne concernent pas directement les médecins.

Quelle est la personne dont on traite les données ?

La personne concernée : la personne physique dont les données personnelles font l’objet d’un traitement ; en général le patient, ça peut être aussi les employés ou toute autre personne rendue identifiable par les données traitées.

 

II. Le traitement des données personnelles à proprement parler

Qu’est-ce que le traitement ?

Toute opération relative à des données personnelles, indépendamment des moyens et procédés utilisés (art. 5 let. d nLPD). Liste non exhaustive:

  • collecte
  • enregistrement
  • conservation
  • utilisation
  • modification
  • communication : le fait de transmettre des données personnelles ou de les rendre accessibles. C’est une opération délicate qui requière une attention particulière (art.5 let. e nLPD)
  • archivage
  • effacement
  • destruction
  • etc.

Cela s’applique à toutes les données, électroniques ou non. Par exemple, consulter une analyse de laboratoire dans un dossier papier d’un patient est un traitement de données.

Quels en sont les principes fondamentaux ?

  • Licéité : le traitement ne doit pas violer une norme impérative du droit de la protection des données (comme traiter les données en violation du devoir d’obtenir le consentement de la personne concernée) ou de la protection de la personnalité (comme le droit à l’image, le droit au respect de la vie privée). (art. 6 al. 1 nLPD)
  • Bonne foi : le traitement doit être effectué de manière loyale, honnête et digne de confiance (art. 6 al. 2 nLPD). Aucune donnée ne doit être traitée à l’insu de la personne concernée ou contre sa volonté.
  • Proportionnel :  le traitement doit être nécessaire, apte à produire les résultats escomptés, et raisonnable du point de vue de la personne concernée (art. 6 al. 2 nLPD)
  • Finalités et reconnaissabilité : il ne faut récolter les données personnelles que pour des finalités déterminées et reconnaissables pour la personne concernée et tout traitement ultérieur doit être compatible avec ces finalités (art. 6 al. 3 nLPD)
  • Exactitude : il faut s’assurer que les données traitées sont exactes sinon les modifier, les corriger (art. 6 al. 5 nLPD)
  • Sécurité des données : le responsable du traitement doit prendre des mesures techniques et organisationnelles adéquates (art. 5 let. h et 8 nLPD, art. 1 ss OPDo)