Jour 1

I - Comprendre le cadre légal et réglementaire

• Définitions et notions clés ;
• Cartographie des processus « exploitant » et traitements de données associés.

  II - Obligations au titre du RGPD et de la loi Informatique & Libertés

• Principes de protection des données ;
• Relations entre responsables de traitement et sous-traitants ;
• Formalités préalables auprès de la CNIL.

  III - Application concrète aux activités exploitant

Pharmacovigilance (PV)

• Exemples de questions abordées :
  • Quand et comment « anonymiser » les données PV que je traite ?
  • Puis-je traiter les données génétiques ou relatives à l’origine ethnique des patients ?
  • Comment gérer les notifications émanant des patients ?
  • Puis-je recueillir des cas PV à partir de forums tiers sur internet ?

Information médicale

• Exemples de questions abordées :
  • Doit-on obtenir le consentement du demandeur pour traiter ses données ?
  • Comment réagir en cas de demande d’information médicale associée à une notification PV ou une réclamation ?
  • Comment réagir lorsque le demandeur refuse d’être contacté pour un complément d’information PV ?
  • Comment réagir si le demandeur s’oppose au traitement de ses données ou demande leur effacement ?

Accès dérogatoires

• Exemples de questions abordées :
  • Quels accès dérogatoires sont couverts par les référentiels CNIL RS-003 et RS-004 ?
  • Comment mettre en conformité un AP/AC exploité par un prestataire et non le laboratoire ?
  • Conventions avec les établissements : quels modèles utiliser ?
  • AP/AC adossés à des registres ou cohortes (par ex. BNDMR) : quels points d’attention ?

Promotion

• Exemples de questions abordées :
  • Promotion et manifestations professionnelles : 2 activités et de nombreux traitements de données associés.
  • Qu’est-ce qu’un profilage et sous quelles conditions est-il possible ?
  • Comment gérer la distinction entre information promotionnelle et non-promotionnelle au regard de la protection des données ?
  • Le consentement des professionnels de santé est-il requis pour l’envoi de communications non sollicitées (mailings postaux, emailings, phoning, faxing, etc.) ?

Jour 2 (matinée)

IV - Outils de la conformité

• Registre des traitements ;
• Analyses d’impact sur la protection des données (AIPD) ;
• Gestion des violations de données.

  V - Anticiper les inspections ANSM et les contrôles CNIL

• Questions soulevées par l’ANSM :
  • Quelles sont les questions « données personnelles » habituellement soulevées ?
• Contrôles CNIL :
  • Pourquoi et comment la CNIL contrôle-t-elle ?
  • Quelles sont les suites possibles d’un contrôle ?