Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia - 270

DOCTR INE
données, des informations
concernant l'état de santé de la
personne concernée ;
■ celles qui deviennent des
données de santé en raison de
leur destination, c'est-à-dire de
l'utilisation qui en est faite au
plan médical.
Cette interprétation de la Cnil,
que nous ferons ici nôtre, reprend
donc le principe d'une définition
polyforme, compilant la définition
propre à la nature de la donnée et
la définition propre à l'environnement
de la donnée (comment,
par qui et à quelle fin la donnée
est collectée), à l'instar de ce que
la réglementation propre à la santé
publique fait également.
Fondement d'un traitement
de données de santé
Compte tenu de sa particularité,
la donnée de santé fait l'objet d'un
régime spécifique, tant au sein du
RGPD que de la loi Informatique
et libertés. En effet, par principe,
le traitement d'une telle donnée
est interdit, sauf exceptions. Ces
exceptions sont détaillées par
le RGPD et précisées par la loi
Informatique et libertés.
De manière générale, en application
du principe de licéité, les
traitements de données doivent
se fonder sur un ou plusieurs des
fondements listés à l'article 6 du
RGPD (consentement, exécution
d'un contrat, respect d'une obligation
légale, etc.). Toutefois, parce
que les données de santé sont
des données sensibles, l'article
9.1 prévoit expressément que les
traitements de données sensibles,
dont les données de santé, sont
par principe interdits. Cependant,
de nombreuses exceptions à cette
interdiction sont prévues :
■ article 9.2 du RGPD. Le traitement
de donnée de santé est
autorisé quand :
■ la personne a donné explicitement
son consentement ; ou
■ le traitement est nécessaire aux
fins de l'exécution des obligations
et de l'exercice des droits
270
propres au responsable du traitement;
ou
■ le traitement est nécessaire à la
sauvegarde des intérêts vitaux
de la personne concernée; ou
■ le traitement est effectué, dans le
cadre de leurs activités légitimes
et moyennant
les
garanties
appropriées, par une fondation,
une association ou tout autre
organisme à but non lucratif et
poursuivant une finalité politique,
philosophique, religieuse
ou syndicale,
conditions ; ou
sous
certaines
■ le traitement porte sur des
données à caractère personnel
qui sont manifestement rendues
publiques par la personne
concernée ; ou
■ le traitement est nécessaire aux
fins de la médecine préventive
ou de la médecine du travail,
de l'appréciation de la capacité
de travail du travailleur, de
diagnostics médicaux, de la
prise en charge sanitaire ou
sociale, ou de la gestion des
systèmes et des services de
soins de santé ou de protection
sociale, à condition que le secret
professionnel s'applique ; ou
■ le traitement est nécessaire pour
des motifs d'intérêt public dans
le domaine de la santé publique,
tels que la protection contre
les menaces
l'exécution des condamnations
pénales ou des mesures de
sûreté ; ou
■ portent sur des données génétiques
ou
sur
biométriques
des données
nécessaires
à
l'authentification ou au contrôle
de l'identité des personnes.
■ article 44 de la loi Informatique
et libertés.
■ les traitements statistiques
réalisés par l'Insee, après avis du
Conseil national de l'information
statistique ;
■ les traitements conformes aux
règlements types mis en œuvre
par les employeurs ou les administrations
et qui portent sur des
données biométriques strictement
nécessaires au contrôle de
l'accès aux lieux de travail, ainsi
qu'aux appareils et aux applications
utilisés dans le cadre des
missions confiées aux salariés,
aux agents, aux stagiaires ou
aux prestataires ;
■ les traitements portant sur la
réutilisation des
informations
publiques figurant dans les décisions
de justice, sous réserve
que ces traitements n'aient
ni pour objet, ni pour effet de
permettre la réidentification des
personnes concernées ;
transfrontalières
graves pesant sur la santé, ou
aux fins de garantir des normes
élevées de qualité et de sécurité
des soins de santé et des
médicaments ou des dispositifs
médicaux, sur la base du droit
de l'Union ou du droit de l'État
membre.
■ article 6.3 de la loi Informatique
et libertés. Traitements justifiés
par l'intérêt public et autorisés
par décret en Conseil d'État,
pris après avis motivé et publié
de la Cnil, mis en œuvre pour
l'État et qui :
■ intéressent la sûreté de l'État,
la défense ou la sécurité
publique ou qui ont pour objet
la prévention, la recherche, la
constatation ou la poursuite
des
infractions
pénales
EXPERTISES JUILLET 2021
ou
■ les traitements nécessaires à
la recherche publique, sous
réserve que des motifs d'intérêt
public importants les rendent
nécessaires, après avis motivé et
publié de la Cnil ;
■ les traitements nécessaires aux
fins de la médecine préventive,
des diagnostics médicaux, de
l'administration de soins ou de
traitements ou de la gestion de
services de santé et qui sont mis
en œuvre par un membre d'une
profession de santé ou par une
autre personne à laquelle s'impose,
en raison de ses fonctions,
l'obligation de secret médical.
■ articles 64 et suivants de la
loi Informatique et libertés.
Notamment les traitements
suivants :
■ les traitements mis en œuvre
pour l'exercice de leurs missions
Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Juillet/Août 2021 - N°470 - Le mensuel du droit de l'informatique et du multimédia
