Consentement numérique - Recueil et gestion

1. Définition et enjeux

Qu'est-ce que le consentement numérique ?

Le consentement numérique désigne l'accord explicite de la personne pour que ses données personnelles, notamment de santé, soient collectées, traitées, stockées et partagées dans un environnement numérique. Le RGPD définit le consentement comme :

"Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement."

Les 4 conditions du consentement valable

Pour être valable au sens du RGPD, le consentement doit respecter 4 conditions cumulatives :

• Libre : donné sans contrainte, pression ou influence indue. La personne doit pouvoir refuser sans conséquence négative sur son accompagnement
• Spécifique : donné pour une finalité précise et déterminée (exemple : alimentation de Mon Espace Santé, utilisation de la télémédecine, etc.)
• Éclairé : la personne doit avoir reçu une information claire et complète sur l'utilisation de ses données avant de consentir
• Univoque : exprimé par une action positive claire (case à cocher, signature électronique, etc.). Le silence ou l'inaction ne valent pas consentement

Enjeux pour les ESMS

Pour les établissements et services médico-sociaux, le recueil du consentement concerne plusieurs domaines :

• Alimentation de Mon Espace Santé : dépôt de documents dans l'espace numérique de santé de l'usager
• Utilisation du DUI : dossier usager informatisé et son hébergement
• Partage d'informations : avec partenaires (MDPH, ARS, professionnels de santé)
• Télémédecine et télésanté : téléconsultations, téléexpertise, télésuivi
• Biométrie et géolocalisation : dispositifs de sécurité pour usagers
• Photographies et vidéos : prise et diffusion d'images

Consentement vs autres bases légales

Le consentement n'est pas toujours nécessaire pour traiter des données de santé. Le RGPD prévoit d'autres bases légales :

• Intérêt légitime : pour les activités administratives et de gestion courante de l'établissement
• Obligation légale : pour les déclarations réglementaires (CPOM, rapport d'activité, etc.)
• Mission d'intérêt public : pour l'accompagnement médico-social des usagers
• Sauvegarde des intérêts vitaux : en cas d'urgence vitale

2. Obligations et exigences

Information préalable de la personne

Avant de recueillir le consentement, l'établissement doit informer la personne concernée de manière claire, transparente et compréhensible sur :

• L'identité du responsable du traitement (nom de l'établissement)
• Les coordonnées du Délégué à la Protection des Données (DPO)
• La finalité précise du traitement (pourquoi les données sont collectées)
• Les catégories de données collectées
• Les destinataires des données (qui y aura accès)
• La durée de conservation des données
• L'existence du droit de retirer son consentement à tout moment
• Les droits d'accès, rectification, effacement, limitation et portabilité
• Le droit d'introduire une réclamation auprès de la CNIL

Modalités de recueil du consentement

Le consentement peut être recueilli par différents moyens :

• Formulaire papier : document signé et daté par la personne
• Formulaire numérique : case à cocher non pré-cochée, signature électronique
• Interface web ou application : bouton d'acceptation explicite
• Double opt-in : confirmation par email ou SMS pour validation

Traçabilité du consentement

L'établissement doit être en mesure de démontrer qu'il a obtenu le consentement valable de la personne. Il doit donc conserver :

• La preuve du recueil : formulaire signé, horodatage électronique
• Le contenu de l'information fournie au moment du recueil
• La date et l'heure du consentement
• Le moyen par lequel le consentement a été recueilli
• L'identité de la personne ayant recueilli le consentement (professionnel référent)

Opposition à l'alimentation de Mon Espace Santé

Le dispositif Mon Espace Santé (anciennement DMP - Dossier Médical Partagé) fonctionne sur le principe du consentement présumé avec possibilité d'opposition. L'usager peut :

• S'opposer à la création de son espace (délai de 6 semaines après notification)
• S'opposer à l'alimentation par certains professionnels ou établissements
• Masquer certains documents à certains professionnels
• Fermer son espace à tout moment

Les ESMS doivent respecter les choix exprimés par l'usager dans Mon Espace Santé et ne doivent pas alimenter l'espace en cas d'opposition.

Matrice d'habilitations

La matrice d'habilitations définit qui peut accéder à quelles données dans le DUI. Elle doit être établie en concertation avec l'usager ou son représentant légal et comprendre :

• La liste des professionnels autorisés à accéder au dossier
• Le niveau d'accès de chaque professionnel (lecture seule, modification, suppression)
• Les catégories de données accessibles par profil (administratif, médical, social, etc.)
• Les restrictions spécifiques demandées par l'usager (masquage de certaines informations)
• La durée de validité des habilitations

Droit de retrait du consentement

La personne peut retirer son consentement à tout moment, aussi facilement qu'elle l'a donné. L'établissement doit :

• Informer de l'existence de ce droit lors du recueil du consentement
• Prévoir une procédure simple de retrait (formulaire, email, courrier)
• Traiter la demande de retrait sans délai
• Cesser immédiatement le traitement concerné
• Conserver la trace du retrait

Le retrait du consentement ne remet pas en cause la licéité des traitements effectués avant le retrait.

3. Mise en œuvre pratique

Formulaires de consentement

Les formulaires de recueil du consentement doivent être clairs, concis et accessibles. Ils doivent comporter :

• Un titre explicite indiquant l'objet du consentement
• Une information complète conforme aux exigences RGPD (voir section Obligations)
• Une case à cocher non pré-cochée pour chaque finalité
• Des cases séparées si plusieurs finalités (pas de consentement groupé)
• La mention du droit de retrait et de la procédure associée
• Un espace pour la signature ou le bouton d'acceptation
• La date de recueil du consentement

Gestion des consentements dans le DUI

Le logiciel DUI doit permettre de gérer les consentements de manière structurée :

• Module dédié pour enregistrer les consentements et oppositions
• Horodatage automatique de chaque consentement ou retrait
• Versioning : conservation de l'historique des modifications
• Alertes : notification aux professionnels en cas d'opposition ou de retrait
• Contrôle d'accès : restriction automatique selon la matrice d'habilitations
• Export : possibilité d'extraire la preuve du consentement

Information et sensibilisation des usagers

L'information des usagers sur leurs droits doit être proactive et continue :

• Livret d'accueil : notice d'information sur la protection des données
• Affichage : affiches visibles dans les espaces communs
• Entretien individuel : explication orale lors de l'admission
• Documents FALC : versions en Facile à Lire et à Comprendre pour personnes en situation de handicap
• Réunions CVS : présentation collective des dispositifs de protection des données

Formation des professionnels

Les professionnels de l'établissement doivent être formés à :

• Expliquer clairement les enjeux du consentement aux usagers
• Recueillir le consentement dans les règles (pas de pression, information complète)
• Vérifier le statut du consentement avant tout partage de données
• Respecter les oppositions et restrictions exprimées
• Tracer les consentements dans le DUI
• Traiter les demandes de retrait de consentement

Cas particuliers : personnes vulnérables

Pour les personnes mineures ou les majeurs protégés, le consentement doit être recueilli auprès :

• Des titulaires de l'autorité parentale pour les mineurs
• Du tuteur pour les majeurs sous tutelle (avec autorisation du juge si nécessaire)
• De la personne concernée ET du curateur pour les majeurs sous curatelle
• De la personne concernée pour les majeurs sous sauvegarde de justice (sauf incapacité)

Néanmoins, l'établissement doit toujours rechercher l'adhésion de la personne accompagnée, même lorsqu'elle n'est pas en capacité juridique de consentir.

4. Cadre réglementaire

Textes européens et nationaux

• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ↗ - Articles 4, 7, 8 et 9 sur le consentement
• Loi n° 78-17 du 6 janvier 1978 modifiée ↗ - Loi Informatique et Libertés
• Article L.1110-4 du Code de la santé publique ↗ - Secret médical et consentement
• Article L.1111-14 du Code de la santé publique ↗ - Mon Espace Santé

Lignes directrices CNIL

• Guide CNIL : Comment recueillir le consentement ? ↗
• RGPD appliqué au secteur de la santé ↗
• Formalités pour les traitements de données de santé ↗

Droits des usagers

Le cadre juridique reconnaît plusieurs droits fondamentaux aux usagers :

• Droit à l'information : être informé de l'utilisation de ses données (article 13 RGPD)
• Droit d'accès : obtenir une copie de ses données (article 15 RGPD)
• Droit de rectification : corriger des données inexactes (article 16 RGPD)
• Droit à l'effacement : demander la suppression de ses données (article 17 RGPD)
• Droit d'opposition : s'opposer à certains traitements (article 21 RGPD)
• Droit à la limitation : limiter temporairement le traitement (article 18 RGPD)
• Droit à la portabilité : récupérer ses données dans un format structuré (article 20 RGPD)

5. Ressources utiles

Sites officiels

Guides et modèles

Outils pratiques

• Registre des traitements CNIL ↗ : pour documenter les consentements recueillis
• Mentions d'information type ↗ : modèles adaptables
• Check-list CNIL pour ESMS ↗ : auto-évaluation de la conformité

Contact

6. Services liés

Conformité et sécurité