Protection des données personnelles

1 — Introduction

2 — Définitions

• “Autorité de contrôle” désigne la Commission Nationale de l’Informatique et des Libertés (CNIL) ou toute autre autorité de contrôle compétente ;
  
• “Compte Lifen” désigne un compte permettant à un utilisateur de se connecter à Lifen de manière authentifiée et sécurisée ;
• “DPO” désigne le Délégué à la protection des données à caractère personnel, conformément à l’article 37 du RGPD ;
• “Données à caractère personnel” désigne les informations qui concernent des personnes physiques, identifiées ou identifiables, directement ou indirectement, dont l’Utilisateur est le Responsable du traitement, et qui sont traitées par Lifen pour le compte du Client ;
• “Données de santé à caractère personnel” désigne les Données à caractère personnel, relatives à la santé physique ou mentale d’une personne physique, comprenant notamment les données produites à l’occasion des activités de prévention, de diagnostic, de soin ou de dispensation de médicaments d’un Professionnel de santé et tout élément de nature à caractériser la santé d’une personne physique ;
• “Patient” désigne les personnes concernées par les documents médicaux, les questionnaires médicaux ;
• “Prestataire d’éditique” désigne le prestataire d’éditique, la société Corus, avec laquelle Honestica a conclu un contrat le 23 octobre 2018, ou tout autre prestataire assurant l’impression, la mise sous pli, et l’envoi par voie postale des comptes rendus en version papier.
• “Loi” désigne toutes les lois et réglementations applicables aux traitements des Données à caractère personnel ;
• “Professionnel de santé” désigne tout professionnel de santé exerçant au sein d’une structure libérale ou d’un établissement de santé, enregistré auprès de son ordre professionnel ou de son autorité d’enregistrement ;
• “Responsable du traitement” désigne la personne physique ou morale, qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens des traitements des données à caractère personnel ;
• “Sous-traitant” désigne la personne physique ou morale, qui traite des Données à caractère personnel pour le compte du Responsable du traitement ;
• “Sous-traitant de second rang” désigne un Sous-traitant tiers mandaté par Lifen qui, dans le cadre de la prestation de services pour le compte de Lifen, est autorisé à traiter des Données à caractère personnel ;
• “Traitements” désigne toute opération ou ensemble d’opérations, effectuées ou non à l’aide de procédés automatisés, et appliquées à des Données ou des ensembles de Données à caractère personnel ;

3 — Qui traite vos données personnelles ?

• L’Établissement de santé, pour les Données personnelles de santé collectées. Lifen agit comme Sous-traitant. Cela signifie que Lifen, en sa qualité de Sous-traitant, ne traite ces Données personnelles que surinstruction de l’Établissement de santé. En tant que Responsable du traitement,l’Établissement de santé effectue les formalités nécessaires auprès del’Autorité de contrôle pour utiliser les services de Lifen. Lorsque Lifen n’est pas tenue de faire ces formalités, Lifen a néanmoins mis en place les mesures de sécurité et de confidentialité propres à garantir la protection de vos Données personnelles.
  

• - L’hébergement et les services d’hébergement associés des Données personnelles traitées sont effectués auprès d’hébergeurs certifiés Hébergeurs de Données de Santé par le Ministre de la Santé, la société AWS et la société Microsoft France (Azure) ;
  
  - L’impression, la mise sous pli, et l’envoi par voie postale des notes d’information patient qui nécessitent un envoi papier sont effectués par la société Corus.
  

4 — À quelles fins vos données sont -elles traitées ?

• - Constituer des cohortes, monocentriques ou multicentriques, dans le cadre de projets de recherche portés par les Responsables du traitement ;
  - Extraire des comptes rendus médicaux de l’Établissement les données pertinentes (les « Variables d’intérêt ») définies par le Responsable du traitement l’aide d’algorithme d’intelligence artificielle ;
  - Structurer des données extraites selon le protocole de recherche ;
  - Faciliter l’exploitation des données médicales pseudonymisées à des fins cliniques ou de recherche à l’aide d’outils logiciels ;
  - Constituer des tableaux de bord avec des données permettant le suivi des cohortes ;
  - Fournir une interface de visualisation de données anonymisées et pseudonymisées permettant l’analyse des résultats ;
  - Permettre la traçabilité entre le Patient et ses données pseudonymisées afin que le Responsable du traitement soit en mesure d’identifier le Patient à partir des données pseudonymisées, lorsque cela est nécessaire ;
  - Suivre l'usage et le fonctionnement des services Lifen ;
  - Permettre une meilleure navigation sur le Site.
  

5 — Quelles sont les données traitées ?

• Des données personnelles de contact (nom, prénom, date de naissance, email, numéro de mobile, adresse postale) ;‍
  
• Des données personnelles à caractère sensible (données de santé) que sont par exemple, les comptes rendus médicaux, les questionnaires médicaux, contenant notamment les Variables d’intérêt propres aux projets comme les antécédents, l’histoire de la maladie et les parcours de soin détaillés y figurant ;‍
  
• Des données personnelles de traçabilité et de navigation sur le site (adresse IP, cookies, logs…).
  

6 — Que fait Lifen de vos données ?

• - En priorité à ne communiquer les données demandées par l’autorité demandeuse que sur accord du Responsable de traitement ;
  
• - A communiquer dans les meilleurs délais au Responsable de traitement tout élément d’information sur la portée des saisies et/ou sur les personnes concernées par les données saisies.
  

• - Superviser les Traitements ;
  
• - Avoir procédé aux formalités déclaratives auprès de la CNIL nécessaires aux Traitements auxquels il procède via l’utilisation de Lifen.
  

• - Procéder aux Traitements qui lui sont confiés, uniquement dans le cadre des finalités faisant l’objet des Traitements ;
  
• - Tenir un registre des activités de Traitements ;
  
• - Mettre à la disposition du Responsable du traitement, toutes les informations nécessaires pour démontrer le respect des obligations à sa charge ;
  
• - Communiquer l’extrait de son registre des activités de Traitements correspondant au traitement relevant de la responsabilité du Responsable du traitement, sur demande écrite de ce dernier ;
  
• - Faire respecter le secret professionnel le plus absolu concernant les Données de santé à caractère personnel qui transitent par Lifen aux personnes placées sous sa responsabilité ou aux prestataires susceptibles d’intervenir dans l’exécution. Lifen est tenu, en application du RGPD, d’informer le Responsable de Traitement si une de ses instructions constitue une violation de la Loi.
  

Sous-traitant de second rang

7 — Protection de vos données et durée de conservation

Sécurité

• - La pseudonymisation et / ou le chiffrement des connexions et des Données personnelles ;
  
• - La capacité de garantir la confidentialité, l’intégrité, la disponibilité et la résilience permanentes des systèmes et services de Traitements ;
  
• - La possibilité de rétablir la disponibilité et l’accès aux Données à caractère personnel dans des délais appropriés, en cas d’incident physique ou technique ;
  
• - L’hébergement des Données personnelles de santé auprès d’hébergeurs de données de santé certifiés ;
  
• - Les mesures appropriées pour protéger les Données personnelles contre toute perte, utilisation détournée, accès non autorisé, divulgation, altération ou destruction ;
  
• - La traçabilité des accès ;
  
• - Un processus pour tester, analyser et évaluer régulièrement l’efficacité des mesures techniques et organisationnelles, pour assurer la sécurité des Traitements ;
  

• - Toutes les Données à caractère personnel traitées par Lifen sont hébergées, c’est-à-dire stockées de façon durable ou ponctuelle pour les besoins des traitements, auprès d’un hébergeur de données de santé certifié ;
  
• - L’ensemble des Données à caractère personnel traitées par Lifen sont sauvegardées sur un système assurant leur redondance et dont l’hébergement est assuré par un hébergeur de données de santé certifié sur les mêmes lieux d’hébergement ;
  
• - L’ensemble des connexions au serveur sont chiffrées selon le protocole HTTPS. L’ensemble des Données de santé à caractère personnel sont stockées et chiffrées dans une base de données “données de santé” ;
  
• - Conformément aux dispositions de l’article L.1110-4 du Code de la santé publique, au décret n°2007-960 du 15 mai 2007 dit « décret confidentialité » et aux recommandations de l’ANS, notamment le « Référentiel d’authentification des acteurs de santé », Lifen a mis en place un système d’authentification forte des Personnels habilités ;
  
• - Les accès aux traces fonctionnelles et aux Données à caractère personnel font l’objet d’une traçabilité et d’une journalisation conformément aux principes de la PGSSI-S. Lifen s’engage, sur demande, à donner accès cette traçabilité au Responsable de traitement ;
  
• - Les notes d’informations transmises par voie postale sont transmises au Prestataire  d’éditique, par un serveur FTP sécurisé avec restriction d’IP.
  

Zones géographiques

• - La société Amazon Web Services EMEA SARL, société à responsabilité limitée immatriculée au Registre du commerce et des sociétés de Luxembourg sous le numéro de B186284, dont le siège social est situé au 38, avenue John F. Kennedy, L – 1855 Luxembourg, dont les espaces de stockage sont situés à Paris. Dans ce cadre les Données à caractère personnel transitent sur les serveurs du site AWS de Dublin sans y être stockées.
  
  - La  société Microsoft France SAS (Azure), société par action simplifiée immatriculée au Registre du commerce et des sociétés de Nanterre sous le numéro 327 733 184, dont le siège social est situé au 39 quai du Président Roosevelt, 92130 Issy-Les-Moulineaux, dont les espaces de stockage sont situés en France. Dans ce cadre, les Données à caractère personnel peuvent transiter sur des serveurs de l’hébergeur en Union européenne.
  
  

Durées de conservation

• - Détruire les Données à caractère personnel ;
  
• - Restituer les Données à caractère personnel au Responsable du traitement ;
  
• - Archiver les données à caractère personnel après leur anonymisation.
  

8 — Quels sont vos droits et comment les exercer ?

• - les données vous concernant contenues dans la base vous soient présentées ;
  ‍
  -  une information soit corrigée ;
  ‍
  - vos données soient supprimées de la base de recueil ;
  ‍
  -  le Traitement de ces données dans le cadre du Projet d’étude soit limité ;
  
  - le Traitement de ces données dans le cadre du Projet d’étude soit arrêté.
  

9 — À qui adresser vos demandes ?

10 — Autres engagements

11 — Modification de la Charte