Par Haas Avocats
A l’instar des convictions religieuses ou de l’orientation sexuelle des personnes, les données de santé sont des données personnelles dites sensibles qui méritent, à ce titre, de bénéficier d’une protection renforcée. C’est ainsi qu’un régime de traitement à part entière de ces données est prévu par le Règlement général de protection des données[1].
Avec la tenue prochaine des Jeux paralympiques 2024 à Paris, la question particulière des données relatives au handicap des sportifs doit intéresser les responsables de traitement qui y seront confrontés, sans compter les clubs ou éducateurs sportifs qui sont déjà amenés à collecter ces données.
D’autant que pas moins de 18% de la population française se trouve être en situation de handicap[2]. 12 millions de citoyens sont ainsi potentiellement concernés par le traitement de leurs données de santé.
Face à un tel enjeu, la CNIL a récemment indiqué les bonnes pratiques à adopter pour se conformer aux exigences règlementaires en matière de traitement des données sensibles.
Les données relatives à une situation de handicap sont des données de santé
Le RGPD énonce clairement l’appartenance des données permettant d’identifier un handicap à la catégorie de données de santé. En effet, une donnée de santé « comprend toute information concernant une maladie, un handicap, ou un risque de maladie »[3]. A cet égard l’ensemble des données révélant l’état de santé d’une personne, qu’il soit physique ou psychique, doit bénéficier du régime de protection renforcée dédié aux données sensibles.
Par ailleurs, il faut aussi prendre en considération que cette révélation de l’état de santé pourrait également être indirecte, à l’image d’une situation de handicap qui serait déduite du croisement des données de la personne concernée avec d’autres informations[4].
Par conséquent, le régime d’interdiction du traitement des données sensibles doit être appliqué, sauf à pouvoir justifier d’une exception légalement prévue par le RGPD.
Dans quels cas les données de santé peuvent-elle être collectées ?
D’une manière générale, le responsable de traitement doit respecter le principe de minimisation gouvernant chaque traitement de données personnelles. En ce sens, il ne doit collecter que les informations adéquates, pertinentes, et strictement nécessaires au regard de la finalité de traitement déterminée[5].
Dans le cas du sportif en situation de handicap, le traitement de ses données de santé pourrait être justifié tant par la délivrance ou le renouvellement d’une licence sportive, que par la détection des futurs champions paralympiques à l’occasion du programme national « La relève » organisé par le Comité paralympique et sportif français[6] (CPSF).
Peu importe l’objectif visé, chaque acteur de l’écosystème sportif amené à collecter et traiter ce type de données doit apprécier au cas par cas l’étendue de la collecte au regard de la finalité suivie. En tout état de cause, l’intérêt du sportif doit gouverner l’utilisation de ses données de santé.
Plus spécifiquement, afin de collecter des données dites sensibles, le responsable de traitement doit s’assurer que l’une des exceptions au principe de l’interdiction du traitement des données sensibles puisse être identifiée[7].
A cet égard, un certain nombre de cas d’usage, dans lesquels la collecte des données sensibles est possible, sont listés par le RGPD. Il peut notamment s’agir simplement :
- De solliciter le consentement du sportif concerné à la révélation de son handicap, à partir du moment où ce consentement est libre et dépourvu de toute contrainte ;
- De faire résulter la collecte d’un motif d’intérêt public prévu par une disposition légale ; ou encore
- De porter sur des données rendues publiques par le sportif lui-même.
Enfin, en cas de traitement à large échelle, la CNIL conseille de mener une analyse d’impact relative à la protection des données afin de construire un traitement conforme au RGPD et respectueux de la vie privée.
En outre, pour aider les responsables de traitement à mettre en place une collecte licite des données relatives à un handicap, le Comité paralympique et sportif français travaille à des documents types (tel qu’un formulaire de recueil du consentement par exemple).
Ainsi, pour éviter de se rendre coupable d’un traitement illicite de données, la CNIL encourage le responsable de traitement amené à collecter des données sensibles à adopter les bonnes pratiques, à savoir :
- S’assurer de la nécessité de son traitement au regard de la finalité poursuivie ;
- S’assurer de la légalité du traitement, au regard de la base légale invoquée pour traiter des données sensibles.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Avec son département e-santé, le Cabinet HAAS Avocats accompagne à la fois les professionnels de santé mais également les entreprises spécialisées dans ce secteur afin de les assister dans la sécurisation juridique du déploiement d’intelligences artificielles, de traitements de données et autres services en lien avec le numérique. Pour nous contacter, cliquez ici.
[1] Article 9 du RGPD
[2] Stratégie nationale – Sport et handicaps (2020-2024) p.11
[3] Considérant 35 du RGPD
[4] La CNIL donne l’exemple de la photographie d’un sportif en situation de handicap dans un journal ayant pour objectif de promouvoir le parasport
[5] Article 5§1.c du RGPD
[6] Ce programme a été lancé en 2019 par le CPSF pour détecter les individus âgés de 16 à 35 ans qui auraient un potentiel de performance dans un ou plusieurs sports paralympiques et qui ne seraient pas encore intégrés dans un circuit de compétition
[7] Article 9§2 du RGPD
