Activités Médicales Transversales (AMT)

Politique de protection des données personnelles du laboratoire de biologie médicale.

Version 1.

Fréjus, le 09 août 2024.

Préambule

La présente Politique de protection des données du laboratoire de biologie médicale du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël pour objet de préciser les conditions dans lesquelles votre laboratoire de biologie médicale traite, dans le cadre de son activité de biologie médicale, vos données à caractère personnel et s’inscrit pleinement dans la politique plus globale de protection des données personnelles de l’ensemble des services du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël.

1. Les traitements réalisés par votre laboratoire :

Introduction  

Le laboratoire de biologie médicale du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël opère dans un cadre de fonctionnement coordonné avec tous les laboratoires d’analyse médicales des établissements publics hospitaliers du Var (Centre Hospitalier Intercommunal Brignoles Le Luc, Centre Hospitalier de Draguignan, Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël, Centre Hospitalier de Saint-Tropez, Centre Hospitalier de Hyères, Centre Hospitalier de Pierrefeu et le Centre Hospitalier Intercommunal Toulon La Seyne sur Mer).

Aussi dans le cadre de son activité de biologie médicale, le laboratoire de biologie médicale du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël, qui partage les résultats d’analyses afin de permettre une meilleure prise en charge entre les différents établissements publics de santé mentionnés plus-haut, traite vos données à caractère personnel, en conformité avec la législation en vigueur et notamment le Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et la Loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée (« LIL »).

La présente politique vous fournit des informations sur la façon dont sont traitées vos données à caractère personnel par le laboratoire de biologie médicale du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël en charge de votre dossier et dans le cadre du système d’information du laboratoire des établissements publics hospitaliers du Var.

Cette politique, accessible en laboratoire et sur notre site Internet, est mise à jour régulièrement afin de prendre en compte les évolutions législatives et règlementaires, ainsi que tout changement dans l’organisation du laboratoire ou dans les traitements qu’il réalise.

Qui sommes-nous ? 

Le laboratoire de biologie médicale du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël, dans lequel vous vous êtes rendu ou à qui a été adressé votre prélèvement est responsable du traitement des données à caractère personnel vous concernant.

Quels sont nos engagements ? 

Nous nous engageons à nous conformer à la règlementation applicable pour tous les traitements de données à caractère personnel que nous réalisons. Ainsi, nous nous engageons à respecter les principes suivants :

• Nous traitons vos données à caractère personnel de façon licite, loyale et transparente.
• Nous collectons vos données à caractère personnel pour des finalités spécifiques, explicites et légitimes et ne les traitons pas d’une façon incompatible avec ces finalités.
• Nous nous assurons que les données à caractère personnel sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
• Nous faisons nos meilleurs efforts afin de nous assurer que les données à caractère personnel sont exactes et, si nécessaire, mises à jour. Nous prenons toutes les mesures raisonnables pour nous assurer que les données à caractère personnel inexactes, eu égard aux finalités pour lesquelles elles sont traitées, sont supprimées ou rectifiées sans délai.
• Nous conservons vos données à caractère personnel sous une forme permettant votre identification uniquement pour la durée nécessaire au regard des finalités du traitement.
• Nous garantissons un niveau de sécurité approprié des données à caractère personnel que nous traitons.

Ces engagements se manifestent de la façon suivante :

• Nous respectons votre vie privée.
• Nous garantissons que la protection et la sécurité de vos données à caractère personnel sont au centre de nos préoccupations.
• Nous n’utilisons pas vos données à caractère personnel pour des finalités qui n’auraient pas été portées à votre attention.
• Nous ne considérons pas que vos données à caractère personnel doivent être stockées sans limite de durée.
• Nous travaillons avec des partenaires de confiance qui présentent des garanties suffisantes quant à la mise en œuvre des mesures techniques et organisationnelles de manière à ce que nos traitements répondent aux exigences de la règlementation en vigueur.
• Nous respectons vos droits en tant que personne concernée, et en tant que patient, et faisons nos meilleurs efforts pour répondre à vos requêtes, dès lors que celles-ci sont fondées.

Comment collectons-nous vos données à caractère personnel ? 

Nous collectons vos données soit :

– directement auprès de vous (à l’occasion de votre venue dans le laboratoire du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël),

– indirectement lorsque vos données nous ont été confiées par :

• les professionnels de santé des services de votre hospitalisation du Centre Hospitalier Intercommunal de Fréjus et/ou des établissements publics hospitaliers du Var qui a/ont réalisé votre prélèvement pour votre prise en charge.
• les professionnels de santé extérieurs à l’établissement qui ont réalisé les prélèvements pour votre prise en charge.

Pour quelles finalités vos données sont-elles traitées ? Quels types de données traitons-nous et pour quelle durée ?

Nous vous rappelons qu’une donnée à caractère personnel est une information se rapportant à une personne physique identifiée ou identifiable (la « personne concernée »), tels que vos nom et prénom, votre adresse postale ou encore des données de santé.

• Vous êtes un(e) patient(e) :

Ci-dessous la liste de finalités pour lesquelles nous traitons vos données à caractère personnel, la base légale sur laquelle se fondent les différents traitements, les catégories de données traitées, et leur durée de conservation :

Finalités de l’activité de traitement : Gestion de l’examen de biologie médicale et gestion du laboratoire (aux fins de la réalisation de vos analyses, l’interprétation et la transmission de vos résultats et la gestion administrative du laboratoire)

Base légale : Exécution du contrat / Obligation légale pour la tenue et la conservation du dossier médical

Catégories de données personnelles : Données d’identification*, données de santé* et numéro de sécurité sociale.

Durée de conservation : 20 ans.

Finalités de l’activité de traitement : Gestion des rendez-vous via les services de Doctolib®

Base légale : Intérêt légitime du responsable du traitement ou d’un tiers.

Catégories de données personnelles : Données d’identification*, données de santé* et numéro de sécurité sociale.

Durée de conservation : 5 ans.

Finalités de l’activité de traitement : Identification des résidus de prélèvement biologiques d’intérêt pour les besoins de programmes de recherches scientifiques ou de contrôles qualité

Base légale : Intérêt légitime (mise à disposition de données pour permettre la progression des connaissances scientifiques et médicales)

Catégories de données personnelles : Données de santé

Durée de conservation (base active) ** :  Non applicable (les données sont anonymisées à bref délai)

Finalités de l’activité de traitement : Anonymisation des données en vue de leur réutilisation à des fins de recherches scientifiques ou de contrôles qualité

Base légale : Intérêt légitime (mise en place de garanties spécifiques relatives aux traitements à des fins de recherches scientifiques ou de contrôle qualité)

Catégories de données personnelles : Données d’identification, données de santé associées à vos résidus d’échantillons biologiques

Durée de conservation (base active) ** : Non applicable (les données sont anonymisées)

Finalités de l’activité de traitement : Collecte de données complémentaires à celles collectées dans le cadre du soin, pour identifier des résidus de prélèvements d’intérêts pour les besoins de programmes de recherches scientifiques ou de contrôle qualité

Base légale : Consentement

Catégories de données personnelles : Données de santé

Durée de conservation (base active) ** : Non applicable (les données sont anonymisées)

Finalités de l’activité de traitement : Réalisation d’études de faisabilité pour des programmes de recherche

Base légale : Intérêt légitime (réponse à une demande pour conduire un projet de recherche)

Catégories de données personnelles : Données de santé

Durée de conservation (base active) ** : Non applicable (les données sont anonymisées)

Finalités de l’activité de traitement : Recrutement de patients pour leur participation à une cohorte dans le cadre d’une étude clinique.

Base légale : Consentement

Catégories de données personnelles : Données d’identification, données de santé

Durée de conservation (base active) ** :

• Si vous participez à l’étude : 15 ans après la fin de cette étude conformément aux dispositions légales applicables
• Si vous ne participez pas à l’étude : le laboratoire détruira vos données à la fin de la période de recrutement de l’étude.

Finalités de l’activité de traitement : Envoi d’enquêtes de satisfaction

Base légale : Intérêt légitime (amélioration des services rendus)

Catégories de données personnelles : Données d’identification*

Durée de conservation (base active) ** :  Durée de l’enquête

Finalités de l’activité de traitement : Vidéosurveillance et vidéoprotection

Base légale : Intérêt légitime (sécurité des biens et des personnes, gestion du flux patient)

Catégories de données personnelles : Enregistrements vidéo

Durée de conservation (base active) : 7 jours

 * Sont par exemple considérées comme des données d’identification le nom et le prénom, et comme des données de santé les résultats biologiques ;

** A l’expiration de la durée de conservation en base active, les données peuvent être conservées en archivage intermédiaire pour des durées plus longues, notamment si leur conservation est exigée par le code de la santé publique ou pour préserver les droits et intérêts du laboratoire du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël lorsque des durées de prescription plus longues sont prévues.

• Vous êtes un client ou un fournisseur :

Finalités de l’activité de traitement : Gestion des clients

Base légale : Exécution du contrat

Catégories de données personnelles : Données d’identification*, données d’ordre professionnel

Finalités de l’activité de traitement : Gestion des fournisseurs

Base légale : Exécution du contrat

Catégories de données personnelles : Données d’identification, données d’ordre professionnel

Durée de conservation (base active) ** :  10 ans à compter de la fin de la relation contractuelle

Finalités de l’activité de traitement : Envoi d’enquêtes de satisfaction

Base légale : Intérêt légitime (amélioration des services rendus)

Catégories de données personnelles : Données d’identification

Durée de conservation (base active) ** :  Durée de l’enquête

* Sont par exemple considérées comme des données d’identification le nom et le prénom, et comme des données de santé les résultats biologiques ;

** A l’expiration de la durée de conservation en base active, les données peuvent être conservées en archivage intermédiaire pour des durées plus longues, notamment si leur conservation est exigée par le code de la santé publique ou pour préserver les droits et intérêts du laboratoire du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël lorsque des durées de prescription plus longues sont prévues.

Qui peut accéder à vos données à caractère personnel ? 

Vos données ne seront communiquées qu’aux membres habilités ayant besoin de les connaître :

–  du laboratoire de biologie médicale du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël ;

– des laboratoire d’analyses médicales des établissements publics hospitaliers du Var dans le cadre du fonctionnement coordonné (Centre Hospitalier Intercommunal Brignoles Le Luc, Centre Hospitalier de Draguignan, Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël, Centre Hospitalier de Saint-Tropez, Centre Hospitalier de Hyères, Centre Hospitalier de Pierrefeu et le Centre Hospitalier Intercommunal Toulon La Seyne sur Mer).

Vos données pourront également être communiquées aux destinataires suivants :

• le laboratoire de biologie médicale, l’établissement de santé, le professionnel de santé prescripteur (sauf opposition de votre part) à la demande desquels nous avons réalisé les prélèvements et analyses ;
• les organismes payeurs ;
• les laboratoires de biologie médicale de référence auxquels, si nécessaire, sont adressés vos prélèvements aux fins d’analyses ;
• les sous-traitants, prestataires de confiance du laboratoire de biologie médicale, chargés notamment de l’informatique ou du recouvrement des créances ;
• les promoteurs et/ou CRO pour les projets de recherche scientifique, de contrôle qualité ou d’études statistiques ;
• dans le cadre de la vidéosurveillance, le personnel autorisé du site concerné, ainsi que les autorités compétentes en cas d’instruction.
• Les autorités sanitaires notamment dans le cadre des maladies à déclaration obligatoire (Laboé-SI, ARS, etc.) :

Si vous êtes un patient faisant l’objet d’un signalement tel que mentionné à l’article R.3113-1 du CSP, notamment une maladie justifiant une intervention urgente locale, nationale, ou internationale, vos données pourront être , après pseudonymisation, transmises à votre Agence Régionale de Santé (ARS) ; pour en savoir plus sur le traitement de vos données personnelles par votre ARS, et sa mission d’intérêt public, vous pouvez consulter la politique de protection des données de l’ARS ;

Sauf opposition de votre part pour des motifs légitimes, vos résultats pourront être transférés à votre Dossier Médical Partagé (DMP), avec diffusion des résultats via la Messagerie Sécurisé de Santé (MSSanté), un service public proposé afin d’améliorer votre suivi au sein du laboratoire et, par la suite, partager vos informations médicales auprès des praticiens de votre choix ; pour en savoir plus sur ce traitement, vous pouvez consulter la politique de protection des données de « Mon Espace Santé ».

Nous faisons nos meilleurs efforts afin de nous assurer que le nombre de ces personnes reste aussi restreint que possible.

Nous ne fournissons à nos prestataires de confiance que les informations dont ils ont strictement besoin afin de fournir le service et ces derniers ne peuvent en aucune mesure utiliser vos données à caractère personnel pour d’autres finalités.

Nous faisons toujours nos meilleurs efforts afin de nous assurer que tous les prestataires de confiance, avec lesquels nous travaillons, maintiennent la sécurité de vos données.

Nous nous assurons également que, lorsque nos relations avec un prestataire de confiance arrivent à leur terme, ledit prestataire supprime vos données à caractère personnel sans délai.

Nous sélectionnons nos prestataires de confiance avec un grand soin, en nous assurant qu’ils présentent les garanties suffisantes, notamment en matière d’expertise, de fiabilité et de ressources, pour implémenter les mesures techniques et organisationnelles à même de répondre aux exigences de la législation applicable, notamment en termes de sécurité. A cet égard, nous nous assurons que nos prestataires de confiance traitent les données à caractère personnel uniquement à partir de nos instructions documentées. Nous nous assurons également que leur personnel s’est engagé à respecter la confidentialité ou soit soumis à une obligation légale appropriée de confidentialité.

Quelles garanties en cas de transfert des données hors Union européenne ?

Lorsque les données personnelles vous concernant ont été confiées au laboratoire du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël par un correspondant situé hors de l’Union européenne, qui a lui-même réalisé votre prélèvement, les résultats lui sont communiqués par nos soins de manière sécurisée et leur transfert est réalisé dans le respect des articles 45 et suivants du RGPD.

Quelles sont vos droits, en qualité de personne concernée ?

Vous disposez, selon les cas, d’un droit d’accès, d’opposition, de rectification et d’effacement, ainsi qu’un droit à la limitation du traitement de ces données.

• Le droit d’accès vous permet de demander à un organisme s’il détient des données sur vous et à ce qu’il vous les communique afin d’en vérifier le contenu.
• Le droit d’opposition vous permet de vous opposer, pour motifs légitimes, à ce que vos données soient utilisées par un organisme pour un objectif précis. En cas de prospection commerciale, vous pouvez vous opposer au traitement sans motif légitime.
• Le droit de rectification vous permet de demander la rectification des informations inexactes ou incomplètes vous concernant. Il permet ainsi d’éviter qu’un organisme n’utilise ou ne diffuse des informations erronées sur vous.
• Le droit d’effacement vous permet de demander à un organisme l’effacement de données à caractère personnel vous concernant. Il est néanmoins à noter que, dans le cadre du respect de nos obligations légales et de la constatation, de l’exercice ou de la défense de droits en justice, nous ne pouvons effacer le contenu de votre dossier médical.
• Le droit à la limitation du traitement vous permet de demander à un organisme de geler temporairement l’utilisation de certaines de vos données à caractère personnel.

Vous disposez également du droit de définir les directives relatives au sort de vos données à caractère personnel après votre décès, et notamment des directives quant à la conservation, l’effacement et communication de ces données. Nous vous rappelons que vous pouvez modifier ou révoquer ces directives à tout moment.

Pour plus d’informations concernant vos droits, consultez le site cnil.fr.

Vous pouvez exercer vos droits soit :

• Par courriel à l’adresse électronique du DPO du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël : dpo@chi-fsr.fr
• Par courrier postal à l’adresse du Centre Hospitalier Intercommunal de Fréjus Saint-Raphaël, Délégué à la protection des données personnelles (DPO), 240 Avenue de Saint-Lambert, CS 90110, 83608 FREJUS CEDEX.

Si vous estimez, notamment après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL.