Les établissements de santé sont soumis comme toute entreprise au règlement général sur la protection des données, entré en application le 25 mai 2018, pour les données personnelles qu’ils traitent, comme les données de ressources humaines, et pour les données de santé qu’ils génèrent et traitent également. Mais ils ont ceci de particulier qu’ils ont pour obligation de nommer un délégué à la protection des données ou data protection officer (DPO), justement parce qu’ils traitent de données de santé, considérées comme des données sensibles. Les établissements publics de santé sont tous concernés par cette obligation ; les établissements privés le sont aussi parce qu’ils mettent en œuvre un traitement de données sensibles “à grande échelle”. La Commission nationale de l’informatique et des libertés (Cnil), auprès de qui doivent être déclarés les DPO, comptabilise ainsi, à mi-novembre, 3 858 établissements hospitaliers, publics et privés, ayant désigné un DPO, sachant que cette fonction peut être mutualisée, au sein par exemple d’un groupement hospitalier de territoire (GHT) ou d’un groupement d’intérêt économique (GIE), ou qu’un même DPO travaille parfois pour plusieurs centres hospitaliers. Qui sont-ils ? Disposent-ils des moyens nécessaires à leur mission ?
La fonction de DPO a pour particularité de devoir maîtriser autant l’IT que les sujets juridiques tout en ayant des capacités organisationnelles au vu de la charge de travail et de communication, que ce soit auprès d’un réseau de relais, auprès des métiers ou des décideurs. Les DPO du centre hospitalier d’Aix-en-Provence et des GHT 44, Lille Métropole Flandre Intérieure et d’Armor, interrogés par mind Health, occupaient tous la fonction de responsable de la sécurité des systèmes d’information (RSSI) avant d’hériter du poste de DPO. Celui du groupe privé Ramsay Santé vient de la direction des systèmes d’information (DSI), où il officiait comme directeur projets et méthodes. “Le DPO travaille au croisement des fonctions technique, juridique et organisationnelle. J’appartiens à la première catégorie, ayant un background d’ingénierie informatique”, indique Arnaud Vandesmet qui a intégré la Générale de Santé en 2010, laquelle a fusionné avec Ramsay Santé en 2015. Il a été nommé DPO en mars 2018, soit “assez tardivement par rapport aux échéances du RGPD. Pour autant, un comité de pilotage avait déjà été constitué sur le sujet qui n’attendait plus que la nomination d’un DPO pour piloter l’ensemble”. Le plus souvent, les DPO ont été nommés à la date désormais symbolique du 25 mai 2018. Guillaume Deraedt, DPO du GHT Lille Métropole Flandre Intérieure, a une formation “d’ingénieur pure souche” et officiait comme RSSI et correspondant Informatique et libertés (CIL) pour le CHU de Lille depuis quatorze ans. Cédric Cartau, DPO du GHT 44, est un informaticien, soit “le plus mauvais profil qui existe pour un DPO, avait-il déclaré sur le 7e congrès national de la sécurité des systèmes d’information de santé, en mai 2019.