Ambulance et RGPD : quelles obligations pour les entreprises de transport sanitaire ?
Le secteur du transport sanitaire est directement concerné par les enjeux de protection des données personnelles. Une entreprise d’ambulances collecte et traite en effet de nombreuses informations concernant ses patients, ses salariés, ses partenaires et parfois les établissements de santé avec lesquels elle travaille. Parmi ces informations, certaines sont particulièrement sensibles : les données de santé.
Comment protéger les données des patients transportés ? Quelles sont les obligations d’une entreprise d’ambulances ?
Le Règlement général sur la protection des données (RGPD) impose aux entreprises de transport sanitaire de mettre en place une véritable démarche de conformité. Cette démarche concerne aussi bien les aspects juridiques que les pratiques quotidiennes, les outils informatiques et la sécurité des informations.
Ambulance et RGPD : pourquoi les entreprises de transport sanitaire sont concernées ?
Le RGPD s’applique aux organismes qui traitent des données à caractère personnel. Une entreprise d’ambulances est donc concernée dès lors qu’elle collecte, consulte, conserve ou transmet des informations permettant d’identifier une personne.
Dans le cadre d’un transport sanitaire, les données traitées peuvent notamment comprendre :
- nom et prénom du patient
- coordonnées personnelles
- date de naissance
- adresse
- numéro de sécurité sociale
- informations relatives à la prise en charge
- informations médicales ou données de santé
- informations concernant l’établissement de départ ou de destination
- prescriptions ou documents nécessaires au transport
- informations de facturation
- données relatives aux accompagnants
- informations concernant les salariés et conducteurs ambulanciers
La CNIL rappelle que les données relatives à la santé font partie des données particulièrement sensibles et nécessitent des mesures de protection adaptées. Elle recommande notamment de mettre en place des mesures de sécurité appropriées pour garantir leur confidentialité.
Pour une société d’ambulances, la conformité RGPD ne se limite donc pas à la présence d’une politique de confidentialité sur son site internet. Elle concerne l’ensemble du fonctionnement de l’entreprise.
Les données de santé : un enjeu majeur pour les ambulances
Le transport sanitaire implique fréquemment la manipulation d’informations permettant de connaître l’état de santé d’un patient.
Ces données peuvent être nécessaires à la bonne réalisation du transport : destination, nature de la prise en charge, informations indispensables à la continuité des soins ou documents transmis à l’établissement de santé.
La réglementation impose toutefois de limiter l’accès aux informations aux personnes qui en ont réellement besoin.
Le Code de la santé publique prévoit notamment que les informations couvertes par le secret professionnel doivent rester confidentielles. Les échanges d’informations concernant une personne prise en charge doivent répondre à des conditions précises et, notamment, être nécessaires à la coordination ou à la continuité des soins.
Pour une entreprise d’ambulances, cela signifie concrètement qu’il est essentiel de définir qui peut accéder à quelles informations.
Quelles données une ambulance peut-elle collecter ?
Le principe du RGPD est de ne collecter que les données nécessaires à une finalité déterminée.
Une entreprise de transport sanitaire doit donc s’interroger sur chaque catégorie de données collectée :
- Pourquoi cette donnée est-elle collectée ?
- Est-elle réellement nécessaire ?
- Qui peut y accéder ?
- Combien de temps doit-elle être conservée ?
- Avec qui est-elle transmise ?
Cette réflexion permet notamment d’éviter la collecte excessive d’informations.
La CNIL recommande de cartographier les traitements afin d'identifier les données traitées, les personnes concernées, les finalités et les éventuels sous-traitants.
Pour une entreprise d’ambulances, cette cartographie peut par exemple couvrir :
- la gestion des transports sanitaires
- la gestion des dossiers patients
- la transmission d’informations aux établissements de santé
- la facturation et les relations avec les organismes concernés
- la gestion des salariés
- la vidéosurveillance éventuelle des locaux
- la géolocalisation des véhicules
- la gestion du site internet
- la messagerie électronique
- les logiciels métiers
- la gestion des fournisseurs et partenaires
Cette cartographie constitue une base importante pour construire le registre des activités de traitement.
Les logiciels utilisés par les ambulances et le RGPD
Le choix des logiciels est également un élément central de la conformité.
Avant d’intégrer un nouvel outil, une entreprise d’ambulances devrait notamment vérifier :
- quelles données sont collectées
- où les données sont hébergées
- qui peut y accéder
- comment les données sont sécurisées
- combien de temps elles sont conservées
- si le fournisseur fait appel à d’autres sous-traitants
- quelles garanties contractuelles sont proposées
- comment les données sont récupérées ou supprimées à la fin du contrat
Lorsqu’un prestataire traite des données personnelles pour le compte de l’entreprise, il peut avoir la qualité de sous-traitant au sens du RGPD.
La CNIL rappelle que les relations entre responsable de traitement et sous-traitant doivent être encadrées par un contrat répondant aux exigences de l’article 28 du RGPD.
Ambulance RGPD : faut-il désigner un DPO ?
La désignation d’un DPO, ou délégué à la protection des données, dépend de la situation de chaque organisme.
Le fait de traiter des données de santé ne signifie pas automatiquement, dans tous les cas, que toute entreprise d’ambulances doit obligatoirement désigner un DPO. L’analyse doit être réalisée au regard des critères prévus par le RGPD et de l’organisation réelle des traitements.
Même lorsqu’une désignation n’est pas obligatoire, disposer d’une personne compétente sur les questions de protection des données peut faciliter le pilotage de la conformité.
Pour une entreprise d’ambulances, cette fonction peut notamment contribuer à :
- suivre le registre des traitements
- analyser les nouveaux logiciels
- accompagner les équipes
- gérer les demandes d’exercice des droits
- suivre les incidents
- contrôler les contrats des sous-traitants
- actualiser les procédures
- sensibiliser les salariés
Lorsque les ressources internes sont limitées, l’accompagnement par un DPO externe peut constituer une solution pour structurer cette démarche.
Pourquoi faire accompagner sa conformité RGPD ?
Pour une entreprise de transport sanitaire, la conformité RGPD doit être conciliée avec les contraintes opérationnelles du quotidien.
Les dirigeants et équipes administratives n’ont pas nécessairement le temps ou les compétences juridiques et techniques nécessaires pour piloter seuls l’ensemble des obligations.
C’est notamment pour cette raison que nous accompagnons les organismes sanitaires et médico-sociaux dans leur démarche de conformité RGPD.
Pour une entreprise d’ambulances, l’objectif est de disposer d’une démarche adaptée à ses réalités : gestion des patients, salariés, véhicules, outils numériques, partenaires et échanges avec les établissements de santé.
Vous souhaitez obtenir plus d’informations sur notre accompagnement ? Remplissez le formulaire de contact ci-dessous, nous vous recontacterons sous 48h maximum 👇
