Hémistiches.Diapason

DiapasonConformité RGPD des données de santé, par Hémistiches

Vos données de santé sont-elles au diapason du RGPD ?

Faites le test de votre dispositif. De dix à seize questions selon votre situation, et votre résultat sur trois axes : l'obligation qui vous incombe, la fragilité de ce que vous avez en place, votre exposition en cas de contrôle ou d'incident.

Faire le test Voir les formules

Moins de six minutesGratuitVos réponses restent dans votre navigateurPrix hors taxes

Le nom

Le diapason donne le la : une note fixe, la même pour tous, sur laquelle chaque instrument s'accorde.

Pour les données de santé, cette note est écrite : le règlement général sur la protection des données, le code de la santé publique, les méthodologies de référence de la CNIL. Elle est la même pour un laboratoire, une start-up de la santé numérique ou une clinique.

Le test mesure l'écart. Il ne vous demande pas si vous êtes conforme. Il regarde ce qu'une autorité de contrôle demande à voir, et ce qui, chez vous, n'est tenu par personne.

Ce que le test passe en revue

Désigner un délégué à la protection des données ne suffit pas. Encore faut-il qu'il soit identifiable par l'autorité, libre dans l'exercice de ses missions et doté des moyens de les exercer. C'est là que la plupart des dispositifs cèdent : non pas sur l'intention, mais sur la structure.

  • Désignation du déléguéObligatoire lorsque l'activité de base implique un traitement à grande échelle de données de santé (art. 37 du RGPD).
  • Indépendance et moyensAucun conflit d'intérêts avec ses autres fonctions, et le temps nécessaire à la mission (art. 38).
  • Coordonnées communiquées à la CNILL'obligation la plus simple, et l'une des plus souvent manquantes (art. 37, § 7).
  • Registre des traitementsLa première pièce demandée lors d'un contrôle (art. 30).
  • Analyses d'impactRequises en cas de risque élevé, fréquent sur des données de santé (art. 35).
  • Recherches et étudesMéthodologie de référence ou autorisation de la CNIL : le fondement commande le calendrier.
  • Hébergement certifiéUn hébergeur titulaire d'un certificat de conformité (art. L. 1111-8 du code de la santé publique).
  • Sous-traitants et transfertsContrats de sous-traitance, garanties hors de l'Union européenne.
  • Violations de donnéesUne procédure qui permet de notifier dans les meilleurs délais, si possible sous soixante-douze heures (art. 33).

Votre dispositif est-il au diapason ?

Des questions sur des faits que vous connaissez. Le parcours s'adapte à votre activité et à ce que vous avez déjà en place.

Comment s'articulent les formules

Construire d'abord, tenir ensuite

La fonction de délégué ne se tient que sur un dispositif déjà construit. Les trois formules s'enchaînent, chacune a son prix, et aucune ne comprend les autres.

  1. Étape 1 · une fois, au démarrage

    Mise en place de la fonction

    À partir de4 500 € HT, une fois

    Le registre, les procédures, la méthode d'analyse d'impact, la gouvernance, la désignation du délégué et sa communication à la CNIL.

    Le détail
  2. Étape 2 · pour chaque étude

    Conformité d'une étude

    À partir de4 500 € HT par étude, + 1 500 à 2 500 € HT par pays d'investigation hors de France

    Chaque étude a son forfait : deux études, deux forfaits. Une étude se déroule le plus souvent dans plusieurs pays de l'Union : chaque pays ajoute son supplément.

    Le détail
  3. Étape 3 · chaque mois, ensuite

    Délégué externalisé

    À partir de650 € HT par mois

    La fonction de délégué, tenue dans la durée, sur le dispositif construit aux étapes 1 et 2.

    Le détail

L'abonnement de délégué ne comprend ni la mise en place de la fonction, ni la conformité de vos études. Il commence une fois l'étape 1 réalisée. Si votre registre et vos procédures existent déjà, leur reprise est vérifiée au préalable, sur devis.

Ce que comprend l'abonnement de délégué

  • Tenue et mise à jour du registre des traitements
  • Avis sur vos nouveaux traitements et sur la nécessité d'une analyse d'impact
  • Réponse aux demandes des personnes concernées
  • Qualification et notification des violations de données
  • Point d'avancement périodique et rapport annuel
  • Interlocuteur de la CNIL, assistance en cas de contrôle incluse dans la limite de trois jours par an

Ce qu'il ne comprend pas

  • La mise en place de la fonction, désignation comprise : étape 1
  • La conformité de chaque étude, y compris son analyse d'impact et ses pays d'investigation : étape 2, un forfait par étude et un supplément par pays
  • La rédaction des analyses d'impact et des contrats hors étude : sur devis
  • L'assistance au-delà de trois jours par an, et la procédure de sanction : sur devis
  • 650 € HT par moisJusqu'à une étude en cours
  • 1 200 € HT par moisDe deux à cinq études en cours
  • 2 000 € HT par moisAu-delà de cinq études en cours

Le palier mesure la charge de la fonction de délégué : chaque étude en cours ajoute des traitements à suivre, des demandes et des échanges. Une étude menée dans plusieurs pays compte pour une étude. Le palier ne paie aucun travail sur les études elles-mêmes, qui relève de l'étape 2. Durée initiale de douze mois.

Un exemple, la première année

Un promoteur sans registre lance sa première étude, en France et dans deux autres pays de l'Union : le cas le plus fréquent.

Coût de la première année pour un promoteur qui lance une étude dans trois pays
Étape 1 · mise en place de la fonction4 500 €
Étape 2 · conformité de l'étude4 500 à 8 000 €
Étape 2 · deux pays d'investigation hors de France3 000 à 5 000 €
Étape 3 · délégué, 650 € × 12 mois7 800 €
Première année19 800 à 25 300 € HT

S'y ajoutent les honoraires des correspondants locaux, refacturés à l'identique. Une deuxième étude ajoute son propre forfait de conformité, et fait passer l'abonnement au palier de 1 200 € HT par mois.

Formules

Chaque forfait est défini par écrit : ce qu'il couvre, ce qu'il exclut, le nombre de réunions et de tours de commentaires. Les trois premiers s'enchaînent ; les trois suivants répondent à une situation particulière.

Étape 1 · une fois, au démarrage

Mise en place de la fonction

À partir de

4 500 € HT

Doter la fonction de ce qui lui manque : le registre, les procédures, la méthode d'analyse d'impact, la gouvernance.

  • Registre des traitements établi ou repris (art. 30)
  • Procédure de violation et méthode d'analyse d'impact
  • Désignation du délégué et communication à la CNIL
  • Lettre de mission du délégué et ligne de compte rendu

4 500 € HT jusqu'à dix traitements, 7 500 € HT de onze à vingt-cinq, au-delà sur devis. Hors études et hors audit technique de sécurité.

Étape 2 · pour chaque étude

Conformité d'une étude

À partir de

4 500 € HT par étude

+ 1 500 à 2 500 € HT par pays d'investigation hors de France

Placer une étude sur le bon fondement avant son lancement, et documenter ce que l'autorité, les centres et vos partenaires vous demanderont.

  • Qualification : méthodologie de référence ou autorisation
  • Note d'information des participants, volet données
  • Clauses avec la société de recherche, les centres et les prestataires (art. 28)
  • Analyse d'impact de l'étude

De 4 500 à 8 000 € HT par étude, pour la France et la coordination d'ensemble. Chaque pays d'investigation hors de France : 1 500 à 2 500 € HT ; les règles locales y sont vérifiées par un correspondant du pays, dont les honoraires sont refacturés à l'identique. Un forfait par étude.

Étape 3 · chaque mois, ensuite

Délégué à la protection des données externalisé

À partir de

650 € HT par mois

La fonction de délégué, tenue dans la durée, une fois la fonction mise en place.

  • Registre tenu à jour, avis sur vos nouveaux traitements
  • Demandes des personnes, violations de données
  • Assistance en cas de contrôle de la CNIL, trois jours par an inclus

Ne comprend ni la mise en place (étape 1) ni les études (étape 2). 650 € jusqu'à une étude en cours, 1 200 € de deux à cinq, 2 000 € au-delà ; une étude multi-pays compte pour une. Durée initiale de douze mois. Le détail

Pour commencer

Consultation flash

490 € HT

Déductible du forfait souscrit ensuite

Une heure avec un avocat pour comprendre où en est votre dispositif et savoir par quelle étape commencer.

  • Lecture préalable de votre résultat
  • Visio de soixante minutes
  • Note d'orientation écrite : vigilances, priorités, étapes suivantes

Visio sous dix jours. Hors analyse de documents et avis écrit engageant une position juridique.

Si vous avez déjà un délégué

Revue de la désignation

À partir de

1 900 € HT

Savoir si la désignation de votre délégué interne tient : la personne, ses fonctions, ses moyens, sa visibilité auprès de l'autorité, et ce qu'il faut corriger.

  • Examen de la désignation et de sa communication à la CNIL
  • Analyse des cumuls de fonctions (art. 38, § 6)
  • Note signée, corrections par ordre de priorité

De 1 900 à 2 900 € HT selon le nombre de fonctions cumulées. Hors registre et analyses d'impact.

Si une situation est ouverte

Contrôle, plainte ou violation

Sur devis

Inclus dans l'abonnement de délégué, dans la limite de trois jours par an

Une situation ouverte se traite tôt, avant que les positions ne se figent.

  • Assistance lors d'un contrôle ou d'une demande de la CNIL
  • Qualification et notification d'une violation
  • Réponse à une plainte ou à une demande d'exercice de droits

Engagement de moyens : aucun résultat ne peut être garanti. Il ne s'agit pas d'une représentation en justice.

Prix hors taxes. La taxe sur la valeur ajoutée au taux de 20 % s'y ajoute pour les clients établis en France ; pour un client professionnel établi dans un autre État membre, elle est autoliquidée par le preneur. En cas d'accord, la formule retenue fait l'objet d'une convention d'honoraires signée avant toute intervention, qui fixe le périmètre, ses exclusions et les modalités de détermination du prix. Elle est précédée d'une vérification des conflits d'intérêts.

Périmètre du conseil. Le cabinet intervient en droit français et en droit de l'Union européenne tel qu'il est applicable en France. Il n'émet pas d'avis sur les droits nationaux des autres États membres ni sur les droits non européens ; une question relevant d'un droit étranger est traitée, le cas échéant, avec un correspondant local, sur devis distinct.

Et pour toute votre fonction juridique ? Diapason couvre la protection des données de santé. Pour les contrats, la vie sociale, la réglementation et le reste de la fonction juridique : Cadence, la direction juridique externalisée d'Hémistiches.

Portrait de François Césure

Qui donne le la

« J'ai été plus de dix ans directeur juridique dans l'industrie de santé avant d'être avocat, et je suis délégué à la protection des données certifié. Je sais ce qu'une autorité demande à voir, et ce qu'il en coûte quand personne n'a tenu les pièces. »
François Césure
  • AvocatBarreau de Paris, depuis 2012
  • Délégué à la protection des donnéescertifié
  • Directeur juridiqueplus de dix ans, industrie de santé

Le cadre

Ce qui est posé avant toute mission

  • Le test n'est pas une consultationLe résultat est une pré-analyse indicative, établie à partir de vos seules réponses. Il n'établit pas le régime juridique applicable à vos traitements. La consultation commence avec l'avocat, dans le cadre d'une convention d'honoraires.
  • Un seul interlocuteurLa fonction de délégué, le conseil et l'assistance en cas de contrôle de la CNIL sont assurés par le même avocat, qui connaît vos traitements.
  • Une obligation de moyensAucun résultat n'est garanti, et en particulier pas la conformité elle-même, qui dépend aussi de vos traitements, de vos équipes et de vos prestataires. L'engagement porte sur un périmètre, une méthode et des délais convenus par écrit.
  • Un prix par étape, confirmé par écritMise en place, études, abonnement de délégué : chaque étape a son prix et son périmètre, écrits avant de commencer. Aucun travail supplémentaire sans votre accord.
  • Vérification des conflits d'intérêtsAvant toute mission. S'il en existe un, vous le savez, et le dossier n'est pas ouvert.
  • Vos réponses restent chez vousLe questionnaire fonctionne dans votre navigateur. Seuls votre adresse électronique et le résumé de votre résultat me sont transmis.