Politique relative à la gestion des données personnelles
1- Préambule
Le Règlement (EU) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données, autrement appelé le Règlement Général sur la Protection des Données (RGPD) fixe le cadre juridique applicable aux traitements de données à caractère personnel. Ce nouveau cadre a nécessité une modification de la loi n°78-17 du 6 janvier 1978.
Le RGPD renforce les droits et les obligations des responsables de traitements, des sous-traitants, des personnes concernées et des destinataires des données.
Pour une bonne compréhension de la présente politique, il est précisé que :
- Le « responsable de traitement » s’entend de l’autorité qui détermine les finalités et les moyens d’un traitement de données à caractère personnel. Au titre de la présente politique, le responsable de traitement est l’EHPAD – Les Pradels.
- Le « sous-traitant » s’entend de toute personnes physique ou morale, qui traite des données à caractère personnel pour le compte de l’EHPAD. Il s’agit donc en pratique des prestataires et partenaires avec lesquels l’EHPAD travaille et qui interviennent sur les données personnelles fournies par l’EHPAD.
- Les « personnes concernées » sont les personnes physiques qui peuvent être identifiées ou identifiables dont les données à caractère personnel font l’objet d’une collecte par le responsable de traitement.
- Les « destinataires » des données s’entendent des personnes physiques ou morales qui reçoivent communication des données à caractère personnel, qu’il s’agisse ou non d’un tiers. Les destinataires des données peuvent donc être aussi bien des agents de l’EHPAD que des organismes extérieurs (partenaires institutionnels, prestataires externes…).
- Le « traitement » s’entend comme toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou ensemble de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou tout autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.
- Le « consentement » de la personne concernée s’entend comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.
Le RGPD, en son article 12, impose que les personnes concernées soient informées de leurs droits de manière concise, transparente, compréhensible et aisément accessible.
2- Objet
Pour satisfaire à l’exécution des missions lui incombant, l’EHPAD est tenu de mettre en œuvre et d’exploiter des traitements de données à caractère personnel relatifs aux personnes concernées.
3- Portée
La présente politique de protection des données à caractère personnel ne porte que sir les traitements dont l’EHPAD est qualifié de responsable de traitement, c’est-à-dire lorsqu’il en définit les finalités et les moyens associés. Elle ne vise donc pas les traitements qui ne seraient pas créés ou exploités par l’EHPAD.
Le traitement de données à caractère personnel peut être géré directement par l’EHPAD ou par le biais d’un sous-traitant spécifiquement désigné par lui.
Cette politique est indépendante de tout autre document pouvant s’appliquer au sein de la relation contractuelle entre l’EHPAD et les personnes concernées.
4- Principes généraux
Aucun traitement n’es mis en œuvre au sein de l’EHPAD concernant des données à caractère personnel des résidents s’il ne répond pas aux principes généraux du RGPD.
Tout nouveau traitement sera porté à la connaissance des personnes concernées.
5- Collecte des données à caractère personnel
Typologie de données.
L’EHPAD collecte uniquement les données à caractère personnel nécessaires au respect d’une obligation légale à laquelle il est soumis, à l’exécution d’un contrat aucun il est parti ou pour l’exercice de ses missions.
Origine des données.
Les données des personnes concernées sont principalement issues des données collectées directement via différents moyens dont des formulaires type Cerfa ou interne à l’EHPAD, les entretiens oraux en face à face ou les demandes écrites.
Certaines données peuvent être obligatoires et conditionnent les suites réservées à la demande.
6- Type de données collectées
L’EHPAD est amené à collectée les données personnelles suivantes :
- Données d’identification (nom, prénom, âge, adresse postale, adresse électronique, téléphone),
- Données sensibles (numéro d’inscription au répertoire, données de santé),
- Données bancaires (pour la facturation),
- Données filiation (données concernant la famille),
- Données sur les éventuelles mesures de protection juridique
7- Finalités et bases légales
À titre principal, les traitements effectués par l’EHPAD ont notamment pour bases légales le respect d’une obligation légal à laquelle il est soumis, l’exécution de missions relevant de l’exercice de ses compétences et l’exécution d’un contrat auquel il est parti.
À titre accessoire, les traitements effectués par l’EHPAD résultent de nécessités aux fins des intérêts légitimes poursuivis par celui-ci et à défaut, du consentement de la personne concernée au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques qui seront définies au cas par cas.
Les résidents sont informés que la collecte de leurs données à caractère personnel est nécessaire à l’un des cas énumérés ci avant.
8- Destinataires des données
L’EHPAD s’assure que les données à caractère personnel ne soient accessibles qu’à des destinataires internes ou externes autorisés en vertu de la règlementation en vigueur ou d’un contrat.
Destinataires internes
- Le personnel habilité de l’EHPAD
Destinataires externes
- Le personnel habilité des sous-traitants,
- Le trésor public,
- La Caisse d’Allocations Familiales (CAF),
- Le Département,
- Les professionnels de santé,
- Les juridictions administratives et judiciaires
Les données à caractère personnel pourront être communiquées à toute autorité légalement habilitée à en connaitre, dans ce cas, l’EHPAD n’est pas responsable :
- Des conditions dans lesquelles les personnels de ces autorités ont accès et exploitent les données,
- De la mise en œuvre d’un nouveau traitement le cas échéant.
9- Durée de conservation
Les données à caractère personnel collectées par l’EHPAD sont conservées pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées et dans la limite des délais de prescription applicables.
10- Droits des personnes concernées
Droit d’accès
Les personnes concernées disposent d’un droit d’accès à leurs données personnelles, ce dernier étant condition au respect des règles suivantes :
- la demande doit émaner de la personne elle-même ou de son représentant légal, accompagné d’un titre d’identité
- la demande doit être formulée par écrit à l’adresse suivant, CDG46 – Service Protection des données personnelles, 12 avenue Charles Pillat, 46090 PRADINES ou par mail à dpd@cdg46.fr.
Les personnes concernées ont le droit de demander une copie de leurs données à caractère personnel faisant l’objet du traitement auprès de l’EHPAD.
Toute demande de copie des données formulée par voie électronique à l’adresse dpd@cdg46.fr pourra faire l’objet d’une réponse sous une forme électronique d’usage courant, sauf demande contraire.
Les personnes concernées sont enfin informées que ce droit d’accès ne peut porter sur des informations ou données confidentielles ou encore pour lesquelles la loi n’autorise pas la communication.
Le droit d’accès ne doit pas être exercé de manière abusive, c’est-à-dire réalisé de manière régulière dans le seul but de perturber le bon fonctionnement du service concerné
Droit de rectification
Les personnes concernées peuvent demander à l’EHPAD la rectification des données à caractère personnel les concernant qui seraient inexactes.
Compte tenu des finalités du traitement, elles peuvent obtenir que les données incomplètes soient complétées.
Droit à l’effacement
Le droit à l’effacement des personnes concernées ne sera pas applicable dans les cas où le traitement est mis en œuvre pour exécuter une mission de service public ou relevant de l’exercice des compétences de l’EHPAD, ou encore pour répondre à une obligation légale.
En dehors de ces situations, les personnes concernées pourront demander l’effacement de leurs données dans les cas limitatifs suivants :
- les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière ;
- lorsque la personne intéressée retire le consentement sur lequel est fondé le traitement et qu’il n’existe pas d’autre fondement juridique au traitement ;
- la personne concernée s’oppose à un traitement fondé par l’exécution d’une mission d’intérêt public ou nécessaire aux fins des intérêts légitimes poursuivis par l’établissement, et qu’il n’existe pas de motif légitime impérieux pour le traitement ;
- les données à caractère personnel ont fait l’objet d’un traitement illicite ;
- les données à caractère personnel doivent être effacées pour respecter une obligation légale prévue par le droit de l’Union Européenne ou par le droit français.
Conformément à la législation sur la protection des données à caractère personnel, les personnes intéressées sont informées qu’il s’agit d’un droit individuel qui ne peut être exercé que relativement à ses propres informations : pour des raisons de sécurité, le service gestionnaire vérifiera donc l’identité de la personne concernée afin d’éviter toute communication d’informations confidentielles la concernant à une autre personne que la personne concernée.
Droits à la limitation du traitement
Les personnes concernées ont le droit d’obtenir la limitation du traitement opéré par l’EHPAD dans les cas limitatifs suivants :
- lorsque l’exactitude des données à caractère personnel est contestée par la personne concernée, pendant une durée permettant à l’EHPAD de vérifier celle-ci ;
- lorsque le responsable de traitement n’a plus besoin des données à caractère personnel aux fins du traitement mais que celles-ci sont encore nécessaires à la personne concernée pour la constatation, l’exercice ou la défense de droits en justice ;
- lorsque la personne concernée s’est opposée au traitement, pendant la vérification portant sur le point de savoir si les motifs légitimes poursuivis par l’EHPAD prévalent sur ceux de la personne concernée.
Droit à la portabilité des données
Les personnes concernées peuvent demander à exercer leur droit à la portabilité de leurs données, soit en demandant à les recevoir elles-mêmes, soit en demandant leur transmission directe à un autre responsable de traitement lorsque cela est techniquement possible, lorsque le traitement est fondé sur le consentement de la personne et lorsqu’il est effectué à l’aide de procédés automatisés.
Sont toutefois exclus de l’exercice de ce droit les traitements nécessaires à l’exécution d’une mission d’intérêt public ou relevant de l’exercice d’une compétence de l’EHPAD.
Ce droit ne peut en tout état de cause porter atteinte aux droits et libertés de tiers.
Droit d’opposition
Les personnes concernées ont le droit de s’opposer à tout moment, pour des raisons tenant à leur situation particulière, au traitement de leurs données à caractère personnel fondé sur l’exercice d’une mission de service public ou relevant de l’exercice des compétences de l’EHPAD ou qui s’avère nécessaire aux fins des intérêts légitimes poursuivis par l’EHPAD.
Ces données ne sont dès lors plus traitées par l’EHPAD, sous réserve qu’il ne démontre des motifs légitimes et impérieux pour le traitement supérieur aux intérêts des intéressés ou pour la constatation, l’exercice ou la défense de droits en justice.
Les personnes concernées peuvent également s’opposer au traitement de leurs données à caractère personnel à des fins d’actions de communication. Les données ne sont en ce cas plus traitées par l’EHPAD.
Décision individuelle automatisée
Les personnes concernées ont le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé, sauf s’il est fondé sur son consentement explicite, qu’il est nécessaire à la conclusion ou à l’exécution d’un contrat conclu avec l’EHPAD, ou qu’il est autorisé par le droit interne ou européen.
Droit post mortem
Les personnes concernées sont informées qu’elles disposent du droit de formuler des directives concernant la conservation, l’effacement et la communication de leurs données post-mortem. La communication de directives spécifiques post-mortem et l’exercice de leurs droits s’effectuent par courrier électronique à l’adresse dpd@cdg46.fr ou par courrier postal à l’adresse suivante : CDG46- Service protection des données, 12 avenue Charles Pillat, 46090 PRADINES, accompagné d’une copie d’un titre d’identité.
11- Minimisation des données collectées
Les données à caractère personnel sont collectées de manière adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
12- Droit d'usage
L’EHPAD se voit reconnaître par les personnes concernées un droit d’usage et de traitement de leurs données à caractère personnel pour les finalités exposées ci-dessus.
Toutefois, les données enrichies qui sont le fruit d’un travail de traitement et d’analyse de l’EHPAD, autrement appelées les données enrichies, demeurent la propriété exclusive de ce dernier.
13- Sous-traitance
L’EHPAD informe les personnes concernées qu’il pourra faire intervenir tout sous-traitant de son choix dans le cadre du traitement de leurs données à caractère personnel.
Dans ce cas, l’EHPAD s’assure du respect par le sous-traitant de ses obligations en vertu du RGPD et lui impose les mêmes obligations en matière de protection des données qu’à lui-même.
En ce sens, l’EHPAD se réserve le droit de procéder à un audit auprès de ses sous-traitants afin de s’assurer du respect des dispositions du RGPD.
14- Sécurité
Il appartient à l’EHPAD de définir et de mettre en œuvre les mesures techniques de sécurité, physique ou logique, qu’il estime appropriées pour lutter contre la destruction, la perte, l’altération ou la divulgation non autorisée des données de manière accidentelle ou illicite.
15- Violation de données
En cas de violation de données à caractère personnel, l’EHPAD s’engage à en notifier la teneur à la CNIL dans les conditions prescrites par le RGPD.
Si ladite violation fait porter un risque élevé pour les droits et libertés des personnes concernées et que les données n’ont pas été protégées, l’EHPAD :
- en avisera les personnes concernées dans les conditions prescrites par le RGPD ;
- et leur communiquera les informations et recommandations nécessaires.
16- Délégué.e à la protection des données
L’EHPAD a désigné une déléguée à la protection des données.
Les coordonnées de la déléguée à la protection des données sont les suivantes :
- Nom : CDG46 – Service Protection des données personnelles
- Adresse e-mail : dpd@cdg46.fr
- Tél : 0532280018
Si les personnes concernées souhaitent obtenir une information particulière ou souhaitent poser une question particulière, il leur est possible de saisir la déléguée à la protection des données qui leur donnera une réponse dans un délai raisonnable au regard de la question posée ou de l’information requise.
En cas de problème rencontré avec le traitement de leurs données à caractère personnel, les personnes intéressées peuvent également saisir la déléguée à la protection des données.
17- Registre des traitements
L’EHPAD, en tant que responsable du traitement, s’engage à tenir à jour un registre de toutes les activités de traitement effectuées.
Ce registre est un document ou applicatif permettant de recenser l’ensemble des traitements mis en œuvre par lui, en tant que responsable du traitement.
L’EHPAD s’engage à fournir à l’autorité de contrôle, à première demande, les renseignements permettant à ladite autorité de vérifier la conformité des traitements à la réglementation informatique et libertés en vigueur.
18- Droit d’introduire une réclamation auprès de la Cnil
Les personnes concernées sont informées de leur droit d’introduire une réclamation auprès d’une autorité de contrôle, à savoir la Commission Nationale Informatique et Libertés (CNIL), si elles estiment que les traitements de données à caractère personnel les concernant ne sont pas conformes à la réglementation européenne de protection des données, à l’adresse suivante :
CNIL – Service des plaintes
3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07
Tél : 01 53 73 22 22
26 Évolution
La présente politique peut être modifiée ou aménagée à tout moment en cas d’évolution légale ou jurisprudentielle, ou au regard des décisions et recommandations de la CNIL.
19- Pour plus d'informations
Pour toutes informations complémentaires, il est possible de contacter les services suivants :
- le délégué à la protection des données : dpd@cdg46.fr
- le site de la CNIL cnil.fr