Il y a des pertes de données informatisées moins spectaculaires qu’un piratage. Effacer par erreur des éléments non sauvegardés, égarer une clé USB renfermant des données patient… sont des incidents qui guettent le médecin en dehors de tout acte malveillant. Doit-il les signaler aux patients ?

C’est l’une des questions que soulève la plus récente fiche RGPD du projet de formation e-santé Wallonie.  

Le principe général veut qu’il y ait signalement à l’Autorité de protection des données (l’instance qui a remplacé la Commission de la protection de la vie privée) des violations de données, accidentelles ou mal intentionnées, dès qu’il y a risque d’atteinte à la vie privée des patients. Une violation désigne une brèche de sécurité qui fait que la disponibilité, l’intégrité ou la confidentialité de données personnelles est compromise. La notification doit intervenir dans les 3 jours calendrier après constat de la fuite.

Il n’est demandé de prévenir le ou les patients concernés que quand l’incident implique un risque élevé de conséquences pour leur vie privée. Le cas échéant, cet avertissement doit être donné « sans retard déraisonnable ». Si un portable perdu était verrouillé par un mot de passe très sûr, ses contenus fortement cryptés et un back up récemment effectué, on peut estimer que ce risque est mesuré.

La fiche conseille notamment aux médecins d’établir une procédure afin de réagir correctement et rapidement à l’incident.

> www.autoriteprotectiondonnees.be