Registre, DPO et violations de données
Référentiel BTS — BC4 / C4.7. Voir aussi BC3 / C3.6 « Se prémunir et réagir face aux incidents numériques ».
L'essentiel : trois obligations concrètes pèsent sur la structure — tenir un registre de ses traitements, désigner un DPO lorsque c'est requis, et documenter puis notifier les violations de données.
Objectif
À la fin de cette page, vous savez :
- dire ce que contient un registre des traitements et comment le construire ;
- savoir quand un DPO est obligatoire et ce qu'il fait ;
- qualifier une violation de données et déclencher la bonne réaction.
1. Le registre des traitements
C'est la pièce maîtresse de la « responsabilité » : le document qui permet de prouver qu'on sait ce qu'on fait des données. Il est demandé en premier en cas de contrôle de la CNIL.
Une ligne par traitement. Pour un cabinet d'orthoprothèse, la liste tient en une dizaine de lignes :
| Traitement | Finalité | Personnes | Données | Destinataires | Durée |
|---|---|---|---|---|---|
| Dossier patient | Prise en soins, suivi de l'appareillage | Patients | Identité, INS, santé, mesures, modèles 3D, photos | Équipe, prescripteur | Voir politique d'archivage |
| Facturation / télétransmission | Facturer, être remboursé | Patients | Identité, NIR, droits, codes LPP | AMO, AMC, SCOR | Durée légale comptable |
| Rendez-vous | Organiser l'activité | Patients | Identité, coordonnées | Équipe | Durée du suivi |
| Gestion du personnel | Paie, contrats, planning | Salariés | Identité, contrat, paie | Comptable, URSSAF | Durées légales sociales |
| Fournisseurs / achats | Commandes, comptabilité | Contacts pro | Coordonnées professionnelles | Comptable | 10 ans (pièces) |
| Recrutement | Sélectionner | Candidats | CV, lettre | Dirigeant | Quelques mois |
| Vidéosurveillance (si présente) | Sécurité des locaux | Patients, salariés, visiteurs | Images | Dirigeant, forces de l'ordre sur réquisition | Quelques semaines |
À chaque ligne, on ajoute utilement : la base légale, les mesures de sécurité, et les éventuels transferts hors Union européenne.
Le registre vit : on le met à jour à chaque nouveau logiciel, nouveau prestataire, nouvel usage. Un registre écrit une fois en 2019 et jamais rouvert ne prouve rien.
2. Le délégué à la protection des données (DPO)
Obligatoire notamment lorsque l'activité principale conduit à un traitement à grande échelle de données sensibles. Pour un cabinet d'orthoprothèse de quelques personnes, la désignation n'est en général pas obligatoire — mais elle est recommandée, et une structure plus importante, un réseau ou un groupe d'établissements relèvera souvent de l'obligation.
Le DPO peut être interne ou externe (mutualisé entre plusieurs structures, ce qui est fréquent et économique). Il informe et conseille, contrôle le respect des règles, coopère avec la CNIL et sert de point de contact pour les personnes.
Il n'est pas le responsable de traitement : la responsabilité reste au dirigeant. Et il doit disposer des moyens et de l'indépendance nécessaires — on ne nomme pas DPO la personne qui décide des traitements.
Quand il n'y a pas de DPO, il faut malgré tout désigner un référent identifié dans l'équipe. Sinon, personne ne tient le registre et personne ne répond aux demandes.
3. L'analyse d'impact (AIPD)
Une analyse d'impact relative à la protection des données est requise lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les personnes — ce qui vise notamment les traitements à grande échelle de données de santé.
Un cabinet de taille modeste n'y est généralement pas tenu pour son dossier patient courant, mais la question se pose sérieusement en cas de nouveau dispositif : plateforme de télésuivi, base de modèles 3D mutualisée, outil d'analyse de marche connecté, recherche. En cas de doute : la CNIL publie des listes de traitements nécessitant ou non une AIPD.
4. Les violations de données
Définition : une violation, c'est toute atteinte à la confidentialité (accès ou divulgation non autorisés), à l'intégrité (altération) ou à la disponibilité (perte, destruction) de données personnelles — accidentelle ou illicite.
Le mot important est accidentelle : il n'y a pas besoin d'un pirate.
| Événement | Violation ? | Type |
|---|---|---|
| Compte rendu envoyé au mauvais patient | Oui | Confidentialité |
| Ordinateur portable non chiffré volé | Oui | Confidentialité |
| Rançongiciel chiffrant les dossiers | Oui | Disponibilité (+ confidentialité si exfiltration) |
| Classeur de dossiers papier perdu | Oui | Confidentialité |
| Serveur en panne, données intactes, restaurées en 2 h | Non (incident technique) | — |
| Salarié consultant un dossier sans motif | Oui | Confidentialité |
| Suppression accidentelle sans sauvegarde | Oui | Disponibilité |
Ce qu'il faut faire
- Documenter toutes les violations dans un registre des violations — y compris celles qu'on ne notifie pas. Ce registre doit pouvoir être présenté à la CNIL.
- Évaluer le risque pour les personnes : nature des données (santé = risque élevé par défaut), nombre de personnes, facilité d'identification, conséquences possibles.
- Notifier la CNIL sous 72 h dès lors que le risque n'est pas négligeable. En cas de retard, motiver. Une notification peut être complétée ensuite.
- Informer les personnes concernées sans délai si le risque est élevé : leur dire ce qui s'est passé, quelles données, quelles conséquences possibles, ce qu'elles peuvent faire, et qui contacter.
- Prendre les mesures correctives, et les consigner.
Le registre des violations note pour chaque événement : date de survenue et de découverte, nature, données et personnes touchées, conséquences, mesures prises, décision de notifier ou non et sa justification.
À retenir
- Registre des traitements : une ligne par traitement, mis à jour, présentable à tout moment.
- DPO : souvent non obligatoire en petit cabinet, toujours utile ; à défaut, un référent désigné.
- AIPD : pour les traitements à risque élevé — à examiner avant tout nouveau dispositif.
- Violation = confidentialité, intégrité ou disponibilité, y compris par accident.
- Toutes les violations se documentent ; celles à risque se notifient à la CNIL sous 72 h ; celles à risque élevé s'annoncent aux patients.
Exercice proposé
Construisez le registre des traitements du cabinet fictif « Orthopédie du Val » (4 salariés, logiciel métier hébergé, comptable externe, pas de vidéosurveillance). Six lignes suffisent.
Puis qualifiez ces trois événements et indiquez, pour chacun, ce que vous inscrivez au registre des violations et si vous notifiez : (a) une clé USB contenant 40 dossiers patients est perdue dans le train ; (b) le serveur redémarre après une coupure, rien n'est perdu ; (c) une stagiaire a consulté le dossier de son oncle.