Absence de formalité préalable pour la mission de recherche de médecin
Dans le cadre de cette mission, les CPTS recueillent des données sur les personnes par le bais de formulaire/questionnaire afin de mettre en contact les patients avec un médecin de la CPTS. Ce traitement ne nécessite pas d’autorisation préalable de la CNIL.
D’après les articles 44, 1°, et 65, 1°, de la loi « informatique et libertés », en ce qu’il est mis en œuvre « aux fins de la médecine préventive, des diagnostics médicaux, de l’administration de soins ou de traitements, ou de la gestion de services de santé et mis en œuvre par un membre d’une profession de santé, ou par une autre personne à laquelle s’impose en raison de ses fonctions l’obligation de secret professionnel dont l’atteinte est réprimée par l’article 226-13 du code pénal », ce type de traitement entre dans le cadre de la prise en charge des personnes concernées.
Toutefois, la CPTS a l’obligation de pouvoir démontrer à tout moment le respect des règles relatives à la protection des données grâce notamment à :
- la tenue d’un registre des activités de traitement ;
- la réalisation, le cas échéant, d’une analyse d’impact relative à la protection des données (AIPD) ; l’information des personnes concernées par le traitement (Exemples : https://www.cnil.fr/fr/rgpd-exemples-de-mentions-dinformation ; Guide pratique sur la protection des données personnelles rédigé par le CNOM avec la CNIL et le guide pédagogique « Comment mettre en place le RGPD dans les services ? » rédigé par l’Unaf avec la CNIL).
Enfin, concernant le document de recueil des données, il est important de noter que :
- les zones de commentaires libres doivent être limitées au strict nécessaire, voire supprimées. Il est recommandé de pré-renseigner ces zones de champs libres avec une information spécifique sur la manière de remplir afin que seules les données strictement nécessaires à la recherche soient collectées
- le document doit être transmis et conservé de manière sécurisée. Sa durée de conservation devra être limitée (voir notamment en ce sens le Guide de la sécurité des données personnelle publié par la CNIL).