décembre 2018

Flash Info – CNIL – Ordonnance n°2018-1125 du 10 décembre 2018

2018-12-13T23:42:10+00:0013 décembre 2018|Actualités|

L’ordonnance n° 2018-1125 du 12 décembre 2018, parue au Journal officiel du 13 décembre 2018, vient réécrire l’ensemble de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 pour être en conformité avec le RGPD.

Cette ordonnance était d’ailleurs très attendue : l’article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles avait donné au gouvernement jusqu’à la fin de l’année 2018 pour réécrire par voie d’ordonnance la loi informatique et liberté.

La Commission nationale de l’informatique et des libertés (CNIL) a examiné le projet d’ordonnance lors de sa séance plénière du 15 novembre 2018. 

L’ordonnance réécrit l’ensemble de la loi du 6 janvier 1978 afin de simplifier sa mise en œuvre et apporter les corrections formelles nécessaires à la cohérence avec le droit de l’Union européenne relatif à la protection des données à caractère personnel. Elle procède à la mise en cohérence avec les changements résultant de la loi du 6 janvier 1978 de l’ensemble des dispositions législatives applicables à la protection des données à caractère personnel, codifiées ou non.  Elle adapte et étend à l’outre-mer les dispositions de la loi informatique et liberté.

L’entrée en vigueur de l’ordonnance sera concomitante avec celle du décret modifiant le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi du 6 janvier 1978, dans sa rédaction résultant de la présente ordonnance, et au plus tard le 1er juin 2019.

Télécharger le PDF

novembre 2018

Flash Info – Formation – Protection des données personnelles en santé

2018-12-13T23:35:35+00:0029 novembre 2018|Actualités|

Pour aider les délégués à la protection des données, les personnes en charge de traitements de données personnelles, le Cabinet a conçu un cycle de formation sur la protection des données personnelles dans le secteur de la santé .
Ce cycle permet notamment d’aborder les spécificités du secteur : hébergement de données de santé, la recherche clinique, Numéro d’Identification au Répertoire (NIR).
Les sessions de formation intègrent les modules de formation, labellisés par la CNIL le 21 mai 2018.
Ces sessions sont également un espace de partages d’expériences. Le nombre volontairement limité de participants facilite les échanges. Elles se dérouleront au cours du 1er semestre 2019.
Le Cabinet est un organisme de formation « DataDocké », permettant une prise en charge par les financeurs de la formation professionnelle.
Télécharger le PDF

octobre 2018

Flash Info – CNIL – Délibérations du 20 septembre 2018 – DPO

2018-12-11T15:41:02+00:0011 octobre 2018|Actualités|

Les deux délibérations de la CNIL du 20 septembre 2018 relatives aux référentiels de certification du délégué à la protection des données (DPO) sont parues au Journal officiel de ce jour. La première concerne le référentiel d’agrément des organismes de certification des DPO (Délibération n°2018-317), la seconde porte sur le référentiel de certification des compétences du DPO (Délibération n° 2018-318).

Ces parutions font suite à la consultation publique de la CNIL en juin 2018.

Les conditions préalables pour le candidat à la certification ont été revues tenant compte du caractère récent de la fonction de DPO. Le candidat devra ainsi pouvoir justifier d’au moins 2 années d’expérience dans des projets, activités ou tâches en lien avec les missions de DPO ou justifier d’au moins 2 années d’expérience et avoir suivi une formation d’au moins 35 h en matière de protection des données personnelles.

Le référentiel a été complété avec la connaissance du cadre juridique relatif à la sous-traitance. En revanche, a disparu l’exigence de l’identification de l’existence de réglementation sectorielle qui fixe des conditions spécifiques au traitement de données.

Ce dispositif doit faire l’objet d’une évaluation dans un délai maximum de deux ans éventuellement pour adapter  les exigences du référentiel.

A ce jour, cette certification n’est pas obligatoire pour être DPO.

Télécharger le PDF

 

Télécharger le PDF

août 2018

Flash Info – CNIL – Décret n°2018-687 du 1er août 2018

2018-08-05T18:51:46+00:005 août 2018|Actualités|

Le décret n°2018-687 du 1er août 2018 pris en application de la loi n°78-17 du 6 janvier 1978, modifiée par la loi n°2018-493 du 20 juin 2018 relative à la protection des données personnelles, paru au Journal officiel du 3 août, est entré en vigueur le 4 août 2018.

Ce décret précise les mesures d’application de la loi n°2018-493 du 20 juin 2018 et la mise en conformité du décret n°2005-1309 du 20 octobre 2005 avec le RGPD.

Les points à retenir

–          Définition des conditions dans lesquelles soit la CNIL soit l’organisme national d’accréditation pour les organismes certificateurs se conforment au RGPD et la loi Informatique et Liberté modifiée

–          Fixation des conditions de délégation de signature du président de la CNIL et du vice-président délégué

–          Précision sur la composition du comité d’audit du système national des données de santé (SNDS), sur les règles de fonctionnement et modalités d’audit

–          Conditions dans lesquelles les membres et agents réalisant des opérations en ligne sous une identité d’emprunt procèdent à leurs constatations

–          Définition de la procédure d’urgence contradictoire appliquée par la formation restreinte saisi par le président de la CNIL

–          Conditions dans lesquelles il peut être dérogé aux droits des personnes concernées notamment dans le cadre des traitements à des fins de recherche scientifique quand l’exercice de ces droits risquerait de rendre impossible ou d’entraver sérieusement la réalisation des finalités spécifiques et où de telles dérogations sont nécessaires pour atteindre ces finalités

–          Liste de traitements et catégories de traitements autorisés à déroger au droit à la communication d’une violation de données, dont les traitements de données de santé quand la notification d’une divulgation ou un accès non autorisé est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique au regard du volume de données concernées par la violation et les informations relatives à la vie privée qu’elles comportent (adresse, composition de la famille)

Ce décret achève également la transposition de la directive relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI.

Télécharger le PDF

juillet 2018

Flash Info – CNIL – Publication des méthodologies de référence

2018-12-11T15:45:32+00:0013 juillet 2018|Actualités|

Sont parues au Journal officiel de ce jour les méthodologies de référence relative aux traitements de données à caractère personnel mis en œuvre dans le domaine de la santé.

Les MR001 et MR003 relatives aux recherches impliquant la personne humaine ont été mises à jour notamment pour tenir compte du Règlement Général sur la Protection des Données (RGPD).

Très attendues, les MR004, MR005 et MR006 sont publiées pour la première fois.

La MR004 concerne les recherches n’impliquant pas la personne humaine et présentant un caractère d’intérêt public.

La MR005 encadre l’accès par les établissements de santé et les fédérations aux données du PMSI et des résumés de passage aux urgences et mises à disposition sur la plateforme sécurisée de l’ATIH.

La MR006 vient encadrer l’accès pour le compte des personnes produisant ou commercialisant des produits de santé aux données du PMSI centralisées et mises à disposition par l’ATIH par l’intermédiaire d’une solution sécurisée.

Télécharger le PDF

 

Télécharger le PDF

 

Télécharger le PDF

 

Télécharger le PDF

 

Télécharger le PDF