— Réseaux de périnatalité —
Les réseaux de périnatalité traitent des données parmi les plus sensibles du secteur de la santé : nouveau-nés vulnérables, revues de morbi-mortalité, parcours partagés entre de multiples établissements. Ce guide recense les obligations concrètes qui s'appliquent à votre structure.
Obligation 1 — Documents
Tout réseau de périnatalité, en tant que responsable de traitement, doit tenir un registre documentant l'ensemble de ses activités impliquant des données personnelles. La nature hautement sensible des données traitées — données de santé de nouveau-nés, de femmes enceintes, de décès périnataux — rend cette obligation particulièrement critique.
Registre de traitement
Le registre doit couvrir l'ensemble des activités du réseau impliquant des données à caractère personnel — des professionnels membres aux nouveau-nés suivis, en passant par les données des mères.
Information des personnes
Chaque fois que le réseau collecte des données personnelles — à l'inscription d'une patiente dans un programme de suivi, lors d'une RMM, dans un formulaire — les personnes concernées ou leurs représentants légaux doivent être informés.
Obligation 2 — Analyse d'impact
L'Analyse d'Impact relative à la Protection des Données (AIPD) est obligatoire dès qu'un traitement présente un risque élevé pour les droits et libertés des personnes. Pour les réseaux de périnatalité, les critères déclencheurs sont quasi-systématiquement réunis : données de santé sensibles, personnes vulnérables (nouveau-nés, femmes en périnatalité), partage multi-établissements.
Traitements à risque élevé — Réseaux de périnatalité
Les guidelines de la CNIL retiennent 9 critères. Lorsqu'un traitement remplit au moins 2 d'entre eux, l'AIPD est obligatoire. Dans un réseau de périnatalité, les activités suivantes les cumulent systématiquement — notamment les données de santé de personnes vulnérables, le partage à grande échelle et la surveillance régulière.
Obligation 3 — Partenariats & conventions
Le réseau de périnatalité est au cœur d'un écosystème dense : maternités de niveaux 1, 2 et 3, services de néonatologie, PMI, pédiatres libéraux, CAMSP, HAD, associations de parents. Chaque échange de données avec ces partenaires doit être encadré par une convention ou un contrat spécifique selon la nature de la relation.
Conventions partenariales
Lorsque le réseau et un établissement partenaire traitent conjointement des données — par exemple pour la coordination d'un parcours de soins — une convention de responsabilité conjointe encadrant les rôles de chacun est obligatoire.
Sous-traitants
Tout prestataire ou logiciel qui traite des données pour le compte du réseau est un sous-traitant au sens du RGPD. Un contrat formalisant ses obligations est obligatoire — en particulier pour les hébergeurs de données de santé.
Obligation 4 — Sécurité des données
Les données traitées par un réseau de périnatalité — données de santé de nouveau-nés, d'analyses de décès périnataux, de grossesses à risque — font partie des données les plus sensibles qui existent. Leur protection impose des mesures organisationnelles et techniques rigoureuses.
Habilitations
L'accès aux données du réseau — et en particulier aux données de suivi de nouveau-nés et aux comptes rendus de RMM — doit être strictement encadré selon les fonctions et les besoins réels de chaque personne.
Sensibilisation
Coordinateurs, professionnels de santé impliqués dans les RMM et les parcours de soins, secrétaires : toutes les personnes qui manipulent des données personnelles dans le cadre du réseau doivent être sensibilisées à leurs obligations.
Outils HDS
Tout hébergeur ou logiciel qui stocke ou traite des données de santé au sens du Code de la santé publique doit être certifié Hébergeur de Données de Santé (HDS). C'est un point de vigilance majeur dans les réseaux de périnatalité qui utilisent souvent plusieurs outils partagés entre établissements.
Obligation 5 — Délégué à la Protection des Données
Pour un réseau de périnatalité, la désignation d'un DPO et sa déclaration auprès de la CNIL sont souvent obligatoires — et systématiquement recommandées. La nature des données traitées et l'ampleur des échanges inter-établissements déclenchent régulièrement les critères légaux.
Le RGPD impose la désignation d'un DPO dans trois situations. Pour les réseaux de périnatalité, les deux premiers critères s'appliquent fréquemment — les données de santé de nouveau-nés vulnérables et de femmes enceintes sont par nature sensibles et souvent traitées à grande échelle.
— Passer à l'action —
Le Pack de conformité RGPD est conçu pour accompagner les réseaux de périnatalité de A à Z : audit initial, registre de traitement, documents obligatoires, conventions partenariales, sécurité et plan d'action priorisé.