Journée Innovation & sécurité en santé numérique | 4 | Anne RENARD

on va continuer avec vous mettre un renard donc en prenant la dimension européenne de ces évolutions puisque un règlement européen se prépare alors on l'annonce d'année en année là pour 2016 on y serait presque est-ce qu'il y a vraiment une une Europe consensuelle autour de autour de ces sujets en tout cas c'est en cours la France on est aussi assez fier généralement en France de se positionner en leader donc notamment avec une présidente de la CNIL qui préside également le G29 le groupe des techniques européennes donc on a on a le sentiment qu'on est qu'on est moteur sur le plan des des travaux européens en la matière donc vous allez nous donner quelques éclairages et éclaircissement sur ce plan là effectivement donc pour commencer les enjeux alors peut considérer que là on rentre dans l'informatique et liberté 3.0 on était avec donc la loi de 78 en Informatique et Liberté 1.0 avec la réforme de 2004 en Informatique et Liberté 2.0 et là on entre véritablement dans l'air du numérique avec Informatique et Liberté 3 panzero qui est mis en oeuvre grâce et qui font et qui sera mis en oeuvre grâce à ce projet de de règlement alors les défis et votre défi c'est véritablement la mise en conformité à ce règlement et une mise en conformité qui devrait qui va devoir être faite dès l'origine l'actualité donc c'est cette proposition de règlement européen qui est actuellement au cours de discussion on a prévu donc pour 2015 la sortie d'une version de projet de règlement qui qui fera l'objet enfin qui qui sera le l'objet du consensus entre le Parlement le Conseil et la Commission européenne et le projet devrait être donc adopté pour 2016 donc les tendances c'est vraiment l'informatique et liberté by design et donc être en Informatique et Liberté dès l'origine du traitement et dès le commencement donc on verra dans une première partie le référentiel légal les définitions les enjeux santé la nouvelle donne et les notions fondamentales qui passent justement par cette question de responsabilité donc ce règlement européen sachez qu'il y aura pas nécessité de transposition et donc qui sera qui l'entrera en vigueur deux ans à compter de son adoption le délai c'est 2016 et donc comme je vous l'ai indiqué il devra la situation c'est qu'il y a ce trilogue qui qui sera mis en place et qui va et donc le projet de règlement sera adopté normalement pour 2016 alors donc pour les définitions dans cette proposition de règlement il y a un certain nombre de définitions qui sont modifiées et qui sont vrai véritablement des définitions qui qui sont très importantes comme les deux nacteur personnel la notion de traitement la notion de fichiers et de responsable de traitement vous avez tout un certain nombre de nouvelles définitions et enfin nous avons une définition de donner relatives à la santé alors je vous présente cette définition qui est toute donnée relative à la santé physique ou mentale d'une personne physique qui révèle des informations sur l'état de santé de la vie de personnes donc c'est pas forcément une définition qui peut qui fait preuve d'une grande clarté en sachant qu'effectivement ça a quand même le mérite de présenter une définition de ce qu'est une donnée de santé mais il sera difficile et délicat de distinguer ce qui relève ou non de la caractéristique d'une donnée de santé et tout l'enjeu et toute l'importance c'est justement le traitement de ces données car finalement ces données font partie des données sensibles et donc des données qui relèvent dans le traitement particulier au niveau informatique et liberté et donc vous avez en fait ces données qui sont parmi les données relatives à l'origine raciale ethniques les opinions politiques la religion et on y trouve la donnée de santé le principe concernant cette donnée c'est l'interdiction de la collecte et il y a heureusement des exceptions parmi lesquels donc figure le consentement mais également dans votre cas ou particulièrement le traitement au fin de médecine préventive de médecine du travail de l'appréciation de la capacité de travail du travail du travailleur et de diagnostic médico de soins et traitements de santé la nouvelle donne c'est vraiment une nouvelle forme de propriété on entend par là le fait que il y a le principe de portabilité des données qui est qui est prévue au sein du projet de règlement et à travers ce principe de portabilité on sent les prémices d'une question de la propriété des données en sachant qu'effectivement les données à caractère personnel ne sont ne font pas l'objet d'un droit de propriété à ce stade des textes en revanche la portabilité des données si vous voulez elle elle envisage la possibilité donc pour la personne concernée de demander aux responsables du traitement d'obtenir ces données dans un format facilement utilisable en machine et de pouvoir sans que le responsable du traitement en question puisse se poser transmettre ces données la nouvelle forme de responsabilité passe aussi par le principe d'acomptabilité alors c'est un principe qui ne figure plus en l'état actuel du projet de règlement en tant que tel dans les textes mais en revanche ce projet cette question de la comptabilité c'est vraiment d'avoir un processus dynamique Informatique et Liberté et un processus de mise en conformité dès l'origine du traitement et ça va passer notamment par la question de l'analyse d'impact qui sera imposée notamment lorsque les données à caractère personnel sont des données sensibles et donc à travers cette analyse d'impact il va falloir dès l'origine du traitement bien prévoir toutes les caractéristiques du traitement et à côté de sa mesurer le risque que va présenter ce traitement et prévoir également toutes les mesures qui vont permettre de prévenir ces risques donc finalement il va avoir un très gros travail en amont qui change vraiment par rapport à la réglementation actuelle où finalement ce qui se passe en pratique c'est que les personnes elles mettent en oeuvre un traitement elle se pose ensuite la question de la réglementation Informatique et Liberté souvent ça arrive lorsqu'il y a un contrôle de la CNIL et alors là on se dit bon on va se mettre en conformité donc là vraiment ce qui ressort du projet de règlement c'est qu'il va falloir prouver qu'au préalable on a cherché à se mettre en conformité avec la réglementation Informatique et Liberté dès l'origine donc c'est quelque chose qui va toucher le responsable du traitement au plus haut niveau mais donc également les DSI tout particulièrement lorsque il y aura des développements d'applications informatiques spécifiques les nouvelles responsabilités donc on a le CIL actuellement le Correspondant Informatique et Liberté et le projet de règlement prévoit l'arrivée du délégué à la protection des données et se déléguer à la protection des données en fait un rôle qui est totalement modifié par rapport au rôle du style si vous voulez jusqu'ici le CIL il a un rôle assez passif et vraiment d'assistance dans dans l'accompagnement du responsable du traitement là ce que prévoit le projet de règlement c'est que le délégué à la protection des données va devoir contrôler et s'assurer de la conformité aux règlements donc si vous voulez les pouvoirs et l'implication du délégué à la protection des données va être beaucoup plus importante qu'à l'heure actuelle alors enfin il y a la notion de corresponsabilité qui qui vient être défini dans ce dans cette proposition de règlement on l'attendait depuis un moment parce que c'était pas très clair cette possibilité de correspondabilité qui détermine les moyens qui déterminent les finalités quelles sont les parts dans la détermination des finalités et des moyens ce qu'il faut savoir c'est que que la détermination soit pour pas régal entre deux responsables de traitement ou qu'elles soient de manière inégale dès l'instant où une personne concernée aura subi un dommage chaque responsable de traitement sera responsable de l'entier dommage par ailleurs il faudra nécessairement encadrer par le biais d'une convention cette responsabilité pour terminer je pense qu'on peut en conclure que la directive 95 46 avait 33 articles là on est à plus de 90 articles dans la proposition de règlement européen et je pense que c'est vraiment le signe qui a beaucoup plus d'obligations qui sont à la à la charge des responsables du traitement qui va vraiment falloir dès l'origine se mettre en conformité et être en privacy by design merci

[Applaudissements]