Dans quel contexte s’inscrit ce partenariat avec GPLExpert ?
Carine Moulay : Comme toute entreprise traitant des données à caractère personnel, le Groupe Almaviva Santé est tenu de se mettre en conformité avec le RGPD. Or il s’agit d’un chantier complexe, qui induit de nombreux changements. Nous avons donc souhaité bénéficier d’un accompagnement expert. GPLExpert cochait toutes les cases : il dispose d’équipes rompues à la mise en application du RGPD, collabore étroitement avec des juristes, et connaît parfaitement le secteur de la santé. Surtout, nous avions déjà collaboré par le passé et pouvions capitaliser sur sa connaissance du Groupe. Il a d’ailleurs, une fois de plus, fait preuve d’un grand professionnalisme en nous faisant des propositions pertinentes.

Justement, en quoi a consisté cet accompagnement expert ?
Carine Moulay : Après avoir assisté la direction d’Almaviva Santé dans l’appropriation du RGPD, GPLExpert est intervenu avec succès auprès de deux sites pilotes, la Clinique Générale de Marignane et la Clinique Arago Paris. La démarche devait ensuite être généralisée à l’échelle du Groupe. Plutôt que de nous imposer une prestation de deux ans lui permettant d’accompagner chacune de nos cliniques, GPLExpert nous a orienté vers un transfert de compétences pour internaliser la fonction DPO, alors même que cette option lui était moins favorable. Deux postes ont finalement été créés, afin de couvrir les zones d’implantation de nos établissements et faciliter les interventions en proximité : un DPO pour la région Sud, et un autre pour l’Ile-de-France. Tous deux ont été rapidement opérationnels grâce à l’appui de GPLExpert : trois mois après leur entrée en fonction, ils ont pu accompagner nos cliniques en toute autonomie.

Pourriez-vous nous décrire le soutien méthodologique apporté par GPLExpert ?
Vincent Lermigny : GPLExpert nous a accompagné à la fois sur le plan théorique et pratique. Le cabinet de conseil a ainsi pu nous transmettre l’ensemble de ses outils méthodologiques, développés sur la base des préconisations de la CNIL et maintes fois éprouvés sur le terrain. Cette approche s’articule autour de quatre grandes étapes : une formation des équipes de direction et d’encadrement sur le volet règlementaire, illustrée par de nombreux cas concrets ; une phase d’audit pour effectuer la cartographie des données, identifier leurs principaux processus de traitement et mesurer les écarts par rapport aux dispositions du RGPD ; l’élaboration d’un plan d’actions priorisées avec des échéances précises ; et enfin une réévaluation pour identifier les éventuelles mesures correctives. 

Où en êtes-vous aujourd’hui ?
Vincent Lermigny : Chaque DPO déroule progressivement ces quatre phases auprès des 17 cliniques dont il a la charge. Six mois sont en moyenne nécessaires par établissement, mais l’imbrication des calendriers devrait nous permettre d’avoir finalisé la démarche pour l’ensemble des cliniques du Groupe d’ici la fin de l’année 2020. Cela dit, comme toute démarche qualité, le RGPD s’inscrit dans la durée : il sera parfois nécessaire de réactualiser les registres de traitement et de réaliser de nouvelles études d’impact. En nous conseillant d’internaliser la fonction DPO, GPLExpert avait donc véritablement notre intérêt à cœur et a su s’affirmer comme un partenaire de confiance.

Plus d'informations : https://gplexpert.com


 

C’est là une modification radicale.
En effet, nous étions jusqu’ici dans un processus de déclaration et d’autorisation : le responsable du traitement devait réaliser des formalités préalables auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL). Désormais la logique de conformité prend le pas sur la logique déclarative : il convient de prendre l’ensemble des mesures techniques et organisationnelles visant à garantir le respect de la réglementation, mais aussi et surtout de pouvoir démontrer cette conformité en cas de contrôle. Cette responsabilisation nouvelle, ou accountability, s’applique par ailleurs à toute la chaîne. Elle concerne donc aussi bien le responsable du traitement, c’est-à-dire celui qui détermine les moyens et la finalité du traitement, mais aussi les sous-traitants qui l’effectuent pour le compte du premier et qui n’étaient, jusque-là, que peu responsabilisés. De la même manière, ces sous-traitants sont désormais tenus à une obligation de transparence et de traçabilité en cas de faille de sécurité, et à une obligation d’assistance et de conseil envers les donneurs d’ordre. Il nous faudra donc faire évoluer les contrats signés avec l’ensemble de nos partenaires.

Qu’en est-il des données traitées hors de l’Europe ?
Le RGPD s’applique dès lors que les données traitées sont celles de citoyens européens, y compris lorsque les data centers sont situés hors d’Europe. La société qui effectue le traitement n’en sera pas moins soumise au droit européen. Les données de santé représentent toutefois un cas particulier, puisqu’il est interdit de les traiter en-dehors des frontières européennes. Confronté à la domination réelle des GAFA, le législateur a donc souhaité renforcer la souveraineté européenne, anticipant la montée en puissance des technologies Big Data et des algorithmes d’intelligence artificielle.

Vous avez mentionné la nécessaire recontractualisation avec tous vos partenaires. Comment vous y préparez-vous ?
La CNIL a élaboré un ensemble de clauses conformes avec les nouvelles exigences du RGPD, qu’il s’agit désormais d’intégrer avec nos partenaires. Nous y travaillons activement puisque, d’un point de vue juridique, le RGPD est entré en vigueur le 25 mai. Nous pouvons toutefois être amenés à négocier avec des multinationales qui, pour limiter les risques financiers, seraient tentées de proposer des clauses les dégageant de leurs responsabilités. Or un établissement public de santé n’a pas toujours les compétences juridiques pour déterminer si une clause est conforme ou pas à l’esprit de la loi. Fort heureusement, le cadre posé par le RGPD est clair ; une clause dégageant un sous-traitant de ses responsabilités pourrait être jugée abusive. 
 
Comment alors revoir tous les contrats ?
La CNIL elle-même a admis qu’un certain temps de latence sera ici nécessaire. Le RGPD, et tous les changements qu’il implique en termes de protection des données personnelles, s’appliquent depuis le 25 mai. Mais cette révolution culturelle ne se fera pas du jour au lendemain, notamment en ce qui concerne le concept de responsabilisation. Les établissements de santé sont déjà sensibilisés à la nécessité de protéger les données personnelles de santé. D’un point de vue déontologique, ils sont même en avance par rapport à d’autres secteurs, comme la banque. Mais intégrer, de manière générique, les clauses du RGPD dans tous les contrats ne sera assurément pas une tâche aisée. Les prochains mois seront donc déterminants pour mettre en place une dynamique vertueuse fédérant toute la chaîne de traitement des données personnelles.
 
*Lauréat du Prix « DPO le plus actif », décerné par le Journal du Net le 12 décembre 2017 pour la première édition de la Nuit du Data Protection Officer.

Article publié dans le numéro 41 d'Hospitalia, magazine à consulter en intégralité ici.