Hébergement de données de santé : du nouveau pour la certification

Les données personnelles relatives à la santé des personnes doivent faire l’objet d’une protection maximale. Il est donc primordial pour les professionnels de santé de savoir que les données qu’ils traitent et dont l’hébergement est confié à un autre professionnel sont en sécurité.

C’est pourquoi il existe, depuis 2018, une certification permettant de s’assurer de la qualité du service d’hébergement.

En 2022, la Délégation du numérique en santé et l’Agence du numérique en santé ont lancé un projet de révision et de modernisation du référentiel d’obtention de cette certification.

Ce projet, approuvé par la Commission nationale de l’informatique et des libertés (CNIL), devra faire l’objet d’une publication par le Gouvernement pour entrer en vigueur. Affaire à suivre…

Certificats de décès : une expérimentation pour les infirmiers

Afin de fluidifier l’activité des professionnels de santé, plusieurs actes, auparavant réservés aux médecins, sont au fil des années ouverts à d’autres professions.

Dans ce cadre, une expérimentation est lancée pour permettre aux infirmiers, sous certaines conditions, de signer des certificats de décès.

Cela sera possible, lorsqu’aucun médecin n’est disponible pour intervenir dans un délai raisonnable auprès d’un patient majeur, décédé à son domicile ou dans un EHPAD.

Trois textes sont publiés concernant cette expérimentation : l’un pour en définir les modalités, le suivant concernant la tarification que les infirmiers pourront appliquer lors de la réalisation de ces actes et le dernier qui désigne les régions dans lesquelles se tiendra l’expérimentation pour une durée de 3 ans.

Répartition des médecins sur le territoire

Le problème des déserts médicaux est récurrent et le Gouvernement cherche constamment des solutions.

Un nouveau texte est donc venu apporter plusieurs modifications concernant l’exercice de l’activité des médecins et leur possibilité d’installation.

On peut noter, par exemple :

• une facilitation du recours aux médecins étrangers ;
• une interdiction pour les hôpitaux, EHPAD et laboratoires de recourir à l’intérim pour embaucher des professionnels médicaux, paramédicaux et socioéducatifs récemment diplômés ;
• une périodicité minimale de 10 ans entre 2 nouvelles installations d’un professionnel pour bénéficier d’aides financières et d’exonérations fiscales.

Le texte prévoit également une optimisation de la gestion des politiques sanitaires locales en renforçant l’importance des « Territoires de santé ». Pour mémoire, ces « Territoires » sont des zones délimitées afin d’optimiser au mieux une offre de soin efficace et cohérente.

Une nouvelle compétence pour les sages-femmes

La pratique de l’interruption volontaire de grossesse (IVG) médicamenteuse avait été ouverte aux sages-femmes en 2016.

Leur palette de compétences est complétée puisqu’elles pourront désormais pratiquer la seconde méthode existante, à savoir l’IVG instrumentale.

Ces interventions ne pourront être réalisées que dans des hôpitaux ou des cliniques.

Les dernières précisions pour la prescription électronique

Attendu depuis 2020, un nouveau texte est venu préciser les conditions de mises en œuvre permettant le recours à la prescription électronique.

Les professionnels de santé devront donc établir leurs prescriptions de façon dématérialisée à partir d’un outil mis à leur disposition par la Caisse nationale de l’assurance maladie (CNAM).

Néanmoins, une prescription papier sera toujours remise au patient, à moins que celui-ci ne demande à recevoir que la version dématérialisée.

Menace cyber : mieux protéger la santé

Les risques liés aux cyberattaques ne faiblissent pas et le domaine de la santé fait partie des secteurs les plus touchés par ces actes de malveillance.

Pour pallier ces risques aux conséquences parfois désastreuses, le Gouvernement a présenté un plan d’action, appelé CaRE qui, par d’importants investissement financiers, doit permettre une meilleure préparation du secteur médical face à ces attaques.

Implantation de certains services spécialisés

Plusieurs textes sont venus encadrer les conditions d’installation et de fonctionnement de certaines activités médicales :

• la médecine d’urgence ;
• les soins critiques ;
• le traitement du cancer ;
• la cardiologie interventionnelle ;
• la psychiatrie ;
• la médecine nucléaire.

Le médecin correspondant : du nouveau en matière de médecine du travail

Par principe, le suivi médical des salariés est réservé aux médecins du travail qui disposent d’une formation et d’un diplôme spécifiques.

Une dérogation est créée afin que les médecins correspondants puissent signer un protocole de collaboration avec les services de prévention et de santé au travail.

Ils devront alors suivre une formation théorique.

Les derniers détails permettant la mise en œuvre de cette pratique ont été publiés.

Quelles conditions pour la recevabilité d’une preuve déloyale ?

Un salarié saisit le juge pour obtenir la résiliation judiciaire de son contrat de travail. La cause ? Le harcèlement moral dont l’employeur serait à l’origine.

Dans ce cadre, les membres de l’instance représentative du personnel diligentent une enquête et un entretien est réalisé. Un entretien que le salarié enregistre et fournit au juge dans le cadre de la procédure.

Le problème ? Cet enregistrement a été obtenu à l’insu des membres de cette instance. La question de sa recevabilité se pose donc.

Le 1^er juge saisi a considéré que cet enregistrement n’était pas absolument indispensable à la défense des intérêts du salarié dans le cadre de ce procès. Et donc, qu’il était déloyal !

Plus précisément, c’est parce que d’autres éléments (notamment le rapport d’enquête établi en lien avec l’inspecteur et le médecin du travail) laissent supposer l’existence d’un tel harcèlement que cet enregistrement déloyal n’est pas recevable.

« Tout à fait ! » confirme le 2^d juge : si une preuve illicite ou déloyale peut être recevable en justice, c’est à la seule condition qu’elle soit absolument indispensable à l’exercice du droit invoqué et que l’atteinte soit proportionnée au but poursuivi. Ce qui n’était pas le cas ici…

L’enregistrement n’est donc pas recevable.

La CNIL sanctionne les manquements au RGPD…

En ce début d’année 2024, la CNIL a annoncé avoir sanctionné plusieurs sociétés pour divers manquements au RGPD.

Voici les exemples les plus marquants des manquements constatés :

• une durée de conservation des données de 10 ans, à l’issue de laquelle les comptes utilisateurs étaient désactivés, mais non supprimés… ce qui aboutissait à conserver les données pour une durée indéterminée ;
• une information des personnes via une politique de confidentialité incomplète et obsolète ;
• des règles de complexité des mots de passe des comptes utilisateurs insuffisamment robustes. Près de 50 000 mots de passe étaient conservés en clair dans la base de données et associés à l’adresse électronique et l’identifiant des utilisateurs. En ce qui concerne les mots de passe qui étaient stockés sous une forme hachée, la fonction de hachage utilisée était obsolète (SHA-1) ;
• un dépôt de cookies d’un service d’analyse d’audience d’un important moteur de recherche sur le terminal de l’utilisateur sans son accord : une pratique qui a concerné chaque visiteur du site web, soit plusieurs centaines de milliers de personnes ;
• malgré l’absence de tout consentement exprimé sur le bandeau de cookies, une vingtaine de cookies poursuivant des finalités publicitaires étaient tout de même déposés sur le terminal de l’internaute ;
• la mise en place un système de surveillance de l’activité et des performances des salariés excessivement intrusif, ainsi que l’utilisation de la vidéosurveillance sans information et insuffisamment sécurisée.

… s’intéresse aux moyens donnés aux DPO…

Pour l’année 2023, la CNIL avait annoncé que l’un de ses axes de contrôles principaux seraient de vérifier le rôle exact et les moyens confiés par les organismes à leurs délégués à la protection des données (DPO).

Voici le bilan de ces contrôles :

• en ce qui concerne les points positifs :
  • les organismes ont bien pris en compte les obligations liées aux missions du DPO et ce dernier est souvent associé aux décisions en lien avec les données personnelles ;
  • le DPO dispose généralement de moyens suffisants à l’accomplissement de ses missions ;
• en ce qui concerne les points négatifs ayant donné lieu à sanctions :
  • l’existence de conflits d’intérêts entre les missions du DPO et d’autres tâches qui lui sont affectées ;
  • l’absence d’association du DPO aux problématiques liées à la protection des données ;
  • un manque de visibilité sur les fonctions du DPO pour les collaborateurs de l’organisme.

… et fait des annonces pour le cloud !

Étant très sollicitée sur l’usage du « cloud », la CNIL vient de publier 2 fiches pour éclairer les organismes sur le sujet :

• « Les pratiques de chiffrement dans l’informatique en nuage (cloud) public » : la CNIL y expose les différentes techniques de chiffrement des données utilisées et qui peuvent impacter le client en le rendant plus ou moins dépendant de son fournisseur ;
• « Les outils de sécurisation d’applications web dans l’informatique en nuage (cloud) » : la CNIL y présente les différents produits de sécurité nécessaires pour sécuriser un cloud et les points de vigilance à connaître pour chacun d’entre eux.

Dépôt tardif de déclaration = risque maxi !

Pour rappel, le prélèvement à la source de l’impôt sur le revenu (IR), applicable depuis le 1^er janvier 2019, consiste, pour les salariés, à prélever l’impôt directement sur les rémunérations qui leur sont versées.

Bien que ce prélèvement ait vocation à rendre contemporain le paiement de l’impôt et le versement des revenus, il ne dispense pas les particuliers de leur obligation déclarative.

Ainsi, chaque année au printemps, les revenus perçus l’année précédente doivent être déclarés à l’administration fiscale, ce qui lui permet de calculer le montant total de l’impôt dû.

Dans le cadre d’un litige opposant un particulier à l’administration, la question de la base de calcul de la majoration pour dépôt tardif de la déclaration d’IR a été soumise au juge.

Pour mémoire, en cas de dépôt tardif de la déclaration d’impôt sur le revenu, une majoration peut être prononcée par l’administration fiscale à hauteur de :

• 10 % si les démarches de régularisation sont effectuées avant la mise en demeure adressée par l’administration fiscale ;
• 20 % lorsque la déclaration a été déposée dans les 30 jours qui suivent la réception de la mise en demeure de l’administration ;
• 40 % lorsque la déclaration n'a pas été déposée dans les 30 jours qui suivent la réception de la mise en demeure ;
• 80 % si l'administration fiscale découvre l’existence d’une activité occulte.

Concrètement, il a été demandé au juge si cette majoration devait s’appliquer à la totalité de l’impôt dû ou sur le seul reliquat restant à devoir après déduction des prélèvements à la source déjà réalisés au cours de l’année ?

Sa réponse est très claire : en cas de manquement à une obligation déclarative au titre de l’IR, les majorations applicables sont calculées sur le montant des droits dû tel que mentionné au rôle (donc sur la totalité de l’impôt dû), sans déduction des éventuels acomptes et prélèvements déjà versés.