Auto-évaluation informatique et RGPD

Ce que le cabinet doit avoir écrit avant tout contrôle.

• Le traitement des informations confidentielles du cabinet est-il décrit par une procédure interne écrite, même succincte ?

  Oui, une procédure écrite existeLes pratiques sont établies mais rien n’est écritNon
• Si le cabinet réunit plusieurs praticiens, un délégué à la protection des données a-t-il été désigné ?

  La désignation vise les grands cabinets réunissant plusieurs praticiens.

  Oui, un délégué est désigné et connu de l’équipeDésigné, mais l’équipe ne le sait pasNonCabinet à praticien unique
• L’impact d’une perte, d’un vol ou d’une détérioration des données a-t-il été étudié ?

  Oui, les conséquences ont été envisagées et consignéesLe sujet a été abordé, sans trace écriteNon

Information, accès, rectification, effacement, portabilité.

• Les patients sont-ils informés du traitement de leurs données, par affichage ou notice ?

  Oui, une information est accessible au patientInformation orale seulementNon
• Une demande d’accès au dossier est-elle traitée dans le délai d’un mois ?

  Le délai peut être prolongé de deux mois si le patient en est informé dans le premier mois.

  Oui, dans le moisAu-delà d’un mois, sans en informer le patientNon
• La première copie du dossier est-elle remise gratuitement ?

  Oui, gratuiteDes frais sont demandés systématiquementNon
• Une demande formulée par voie électronique reçoit-elle une réponse sous forme électronique d’usage courant ?

  OuiSelon les casNon

Durée de conservation, archivage, restitution, incidents.

• Une durée de conservation des données est-elle fixée, et les modalités d’archivage organisées ?

  Oui, durée fixée et archivage organiséLes données sont archivées sans durée définieNon
• Les sauvegardes sont-elles régulières, et leur restauration a-t-elle déjà été testée ?

  Oui, sauvegardes régulières et restauration testéeSauvegardes régulières, jamais testéesNon
• Savez-vous à qui signaler un incident de sécurité touchant des données personnelles ?

  Oui, CNIL et signalement des incidents de sécurité des systèmes d’information de santéL’un des deux seulementNon

Éditeur de logiciel, hébergeur - et les démarchages abusifs.

• Le contrat avec l’éditeur de logiciel ou l’hébergeur comporte-t-il des clauses de conformité au RGPD ?

  Oui, clauses vérifiéesContrat signé, clauses non vérifiéesNon
• Les données de santé hébergées à l’extérieur le sont-elles chez un hébergeur certifié données de santé ?

  Oui, hébergeur certifiéHébergement externe, certification non vérifiéeNonAucune donnée hébergée à l’extérieur
• L’équipe sait-elle reconnaître les démarchages abusifs à la « mise en conformité RGPD » ?

  Les CDF signalent régulièrement ces démarchages auprès de leurs adhérents.

  Oui, la consigne est passéeSujet évoqué sans consigne claireNon