Politique de protection des données personnelles

Dispositions générales

Pour le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE, la protection de vos données est une priorité.

Dans un souci de transparence, la présente Politique de « Protection des données personnelles » a pour objectif de vous expliquer pourquoi, en tant qu’usager, vos données personnelles sont collectées et traitées par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE, comment celles-ci sont traitées, quels sont les droits dont vous disposez sur vos données et comment vous pouvez les exercer.

Notre rubrique « données personnelles » vient compléter la présente Politique. Cette rubrique est destinée à vous expliquer pourquoi, en tant qu’internaute, vos données personnelles sont collectées et traitées par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE.

Enfin, notre Politique de « Gestion des Cookies » vous informe des finalités et des conditions d’utilisation de fichiers cookies ou de données de navigation susceptibles d’être déployés sur notre site Internet.

Le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE se réserve le droit de modifier à tout moment la présente Politique de protection des données personnelles. Toute modification prendra effet immédiatement.

Par conséquent, nous vous invitons à consulter régulièrement notre Politique, accessible sur notre site et ce, afin de vous tenir informés de la dernière version en ligne applicable.

Date de la dernière mise à jour : 29/08/2024

Définitions

Qu’est-ce qu’une donnée à caractère personnel ?
Toute information se rapportant à une personne physique identifiée ou identifiable. Une personne peut être identifiée directement (nom, prénom…) et/ou indirectement (numéro d’identification, numéro de téléphone, images…).

Qu’est-ce qu’un traitement de données personnelles ?
Toute opération effectuée sur des données personnelles (collecte, enregistrement, modification, conservation, effacement) sur papier ou informatique.

Responsable de traitement

Le responsable de traitement est la personne morale ou physique qui détermine les finalités et les moyens d’un traitement, c’est à dire l’objectif et la façon de le réaliser. En pratique et en général, il s’agit de la personne morale incarnée par son représentant légal.
Le responsable du traitement de vos données personnelles est le CHU DIJON BOURGOGNE.

Loi applicable et autorité administrative compétente

La présente politique de protection des données personnelles est régie par le Règlement Général sur la Protection des Données personnelles n°2016/679 (« RGPD ») et par la Loi Informatique et Libertés modifiée, sous le contrôle réglementaire de l’autorité française de protection des données personnelles, la CNIL (Commission Nationale de l’Informatique et des Libertés – www.cnil.fr).

Les catégories de données personnelles que nous recueillons

Les données personnelles que vous nous communiquez directement

Nous collectons directement vos données lors de votre prise en charge ou de façon générale, lorsque vous échangez avec le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE de toute autre manière. Par exemple, nous pouvons être amenés à collecter vos données d’identification (nom, prénom, pièce d’identité, Identifiant National de Santé (INS), Numéro de Sécurité Sociale…), les données relatives à votre vie privée (numéro de téléphone, adresse mail, adresse postale, personne de confiance, personne à contacter…), les données relatives à votre vie professionnelle (métier, risques professionnels…), vos données économiques et sociales (moyens de paiement, carte vitale, carte mutuelle), les données relatives à votre santé ou autres données sensibles (diagnostics médicaux, traitements, antécédents médicaux, résultats d’examen, vidéo/photographies, données génétiques, données ethniques, données relatives à votre vie sexuelle…). Parmi les catégories de données traitées figurent notamment vos données d’identification, vos coordonnées et vos données professionnelles.

La communication de vos données personnelles est volontaire, sauf en cas de la sauvegarde de vos intérêts vitaux. Certaines informations sont indispensables au Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE pour traiter votre demande.

Les données personnelles qui nous sont communiquées

Dans le cadre de votre prise en charge, des données nous sont transmises par des organismes tiers, notamment votre médecin traitant ou celui qui vous a adressé au Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE, les organismes d’Assurance Maladie au travers de votre Carte Vitale ou encore les Mutuelles.

Les données personnelles que nous collectons automatiquement

Nous collectons automatiquement certaines informations vous concernant dans le cadre des actes de téléconsultations ou de la vidéoprotection.

Les objectifs du traitement de vos données personnelles

Les données que le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE collecte sont nécessaires pour nous permettre de répondre aux finalités suivantes :

• La prise en charge en tant qu’usager, dès la prise de rendez-vous jusqu’à la réalisation de vos consultations ;
• Les exigences de santé publique, d’épidémiologie et de qualité de soins ;
• Les vigilances sanitaires ;
• Les statistiques d’activités du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE ;
• Les recherches scientifiques ;
• Le financement des soins ;
• L’établissement, l’exercice ou la défense de réclamations légales contre le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE ;
• L’envoi des communications et d’informations du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE à votre attention (newsletter, confirmation des rendez-vous, etc.) ;
• La gestion des demandes d’exercice des droits RGPD ;
• La protection des biens et des personnes par la vidéoprotection.

De façon générale, le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE ne traite aucune de vos données à des fins incompatibles avec celles pour lesquelles elles ont été collectées, sauf accord préalable de votre part.

Les fondements juridiques justifiant le traitement

Dans tous les cas, le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE collecte vos données à caractère personnel et vos données de santé, uniquement lorsque leur collecte et leur traitement reposent sur un fondement juridique.

L’intérêt public

Certaines de vos données sont traitées dans le cadre de l’exécution d’une mission d’intérêt public dont est investi le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE.
Certains traitements sont nécessaires aux fins de diagnostics médicaux, de la prise en charge sanitaire ou sociale, ou de la gestion des systèmes et des services de soins de santé ou de protection sociale.
Vos données peuvent également être traitées pour des motifs d’intérêt public dans le domaine de la santé publique.
Enfin, certains traitements sont nécessaires à des fins de recherche scientifique ou historique ou à des fins statistiques.

La sauvegarde des intérêts vitaux

Vos données sont susceptibles d’être traitées à des fins de sauvegarde de vos intérêts vitaux ou de ceux d’une autre personne physique.

Le respect d’une obligation légale à laquelle est soumis le CHU DIJON BOURGOGNE

Certaines de vos données sont traitées par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE pour répondre à ses obligations légales, notamment la constitution du dossier médical, la gestion des demandes des droits RGPD des personnes concernées.

Votre consentement

Certains traitements sont basés sur votre consentement préalable, qui pourra être retiré à tout moment, sans aucun préjudice sur votre prise en charge. Vous pouvez revenir sur votre choix et retirer votre consentement sans toutefois remettre en cause la légalité du traitement reposant sur le consentement et mis en œuvre avant le retrait.

Les intérêts légitimes du CHU DIJON BOURGOGNE

Le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE pourra traiter vos données personnelles aux fins de poursuite de son intérêt légitime notamment, pour répondre à vos demandes, pour améliorer la qualité des soins, assurer la sécurité des biens et des personnes. En outre, le CHU DIJON BOURGOGNE est susceptible de traiter certaines de vos données lorsque le traitement est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice ou chaque fois que des juridictions agissent dans le cadre de leur fonction juridictionnelle.

Les durées de conservation

Nous recueillons et utilisons les données personnelles vous concernant pour les finalités principales décrites ci-dessus. Nous conservons vos données personnelles uniquement pendant la durée nécessaire à la satisfaction des différentes finalités, sauf dans les cas où la loi nous autorise ou exige de les conserver plus longtemps.

En matière de prise en charge des patients, le CHU DIJON BOURGOGNE pourra conserver votre dossier médical, sauf les cas particuliers (Article R1112-7 du Code de la santé publique), pendant la durée de la prise en charge opérationnelle du patient, puis 20 ans à compter de la date du dernier séjour ou de la dernière consultation externe du patient dans l’établissement. Lorsque la durée de conservation s’achève avant le 28ème anniversaire de son titulaire, la conservation du dossier est prorogée jusqu’à cette date. Le dossier est conservé pendant une durée de 10 ans à compter de la date du décès.

Le dossier médical partagé est conservé pendant le temps de l’utilisation du dossier par le patient, puis pour une durée de 10 ans à compter de sa clôture.

En matière de vigilances sanitaires, les données seront conservées pendant la durée d’utilisation courante de données. En l’absence de précision légale ou réglementaire, les données ne peuvent en principe être conservées au-delà d’une période de 70 ans à compter de la date du retrait sur le marché du médicament, du dispositif ou du produit.

En matière de réalisation des statistiques, les données sont devenues anonymes ou agrégées.

En matière de recherches scientifiques, à titre d’exemple, les données pourront être conservées jusqu’à la mise sur le marché du produit étudié ou jusqu’à deux ans après la dernière publication des résultats de la recherche ou, en cas d’absence de publication, jusqu’à la signature du rapport final de la recherche. Elles feront ensuite l’objet d’un archivage sur support papier ou informatique pour une durée conforme à la réglementation en vigueur.

En matière de financement des soins, les données personnelles seront conservées pour une durée conforme à la réglementation en vigueur.

En matière de recueil de plaintes ou réclamations, les données personnelles seront conservées pendant une durée maximale de 5 ans à compter de la clôture du dossier, conformément aux délais de prescription applicables. La durée peut également être étendue à la durée de conservation d’un autre dossier de plainte portant sur le même objet nécessitant la conservation des échanges antérieurs.

En matière d’envoi de communications et d’informations, vos données seront conservées tant que vous ne vous êtes pas désinscrit (via le lien de désinscription intégré aux newsletters) et qu’une activité (ouverture et/ou clic) sera effective. En cas d’inactivité constatée sur une période de 12 mois, les données seront alors supprimées.

En matière de participation aux réseaux, vos données seront conservées pour une période de 3 ans à compter de votre inscription, réalisée via le bulletin d’inscription disponible en ligne, sous réserve d’au moins une participation annuelle au réseau auquel vous êtes inscrit. À défaut d’une participation annuelle, vos données seront supprimées. Vous pouvez vous désinscrire à tout moment avant l’expiration de cette période, en adressant un courriel à l’animateur du réseau.

En matière de gestion des demandes d’exercice des droits RGPD, les données seront conservées le temps de l’instruction de votre demande, puis archivées conformément aux délais de prescription en vigueur (5 ans).

En matière de vidéoprotection, les images seront conservées pendant une période maximale de 30 jours avec un accès limité aux seules personnes habilitées. Ces données seront utilisées dans le respect de la réglementation en vigueur.

Pour de plus amples informations sur les durées de conservation de vos données, vous pouvez vous rapprocher du DPO du CHU DIJON BOURGOGNE.

Les destinataires des données

Vos données personnelles peuvent être communiquées par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE à :

Des destinataires internes. Il s’agit :

• De l’équipe de soins dans le respect du secret professionnel (Article L1110-12 Code de la santé publique) ;
• Des services médico-administratifs et techniques du CHU DIJON BOURGOGNE responsables de la mise en œuvre des vigilances, de la santé publique, de l’épidémiologie et de la facturation de soins, et de la recherche, et soumis au secret professionnel, dans la limite des missions qui leur sont confiées et de ce qu’ils ont à en connaître ;
• Des laboratoires de recherches du CHU DIJON BOURGOGNE.

Des destinataires externes. Il s’agit :

• Des partenaires du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE ;
• Des Autorités habilitées (Trésor Public, Assurance Maladie obligatoire et complémentaire, Agence Régionale de Santé, Ministère chargé de la Santé, Commissaires aux comptes, Institutions judiciaires) ;
• Des prestataires de services réalisant des prestations pour le compte du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE dans le respect du RGPD, notamment de l’article 28, et dans les limites des contrats de sous-traitance.

Nous sommes donc susceptibles de communiquer vos données personnelles dans le cas où nous serions tenus de nous conformer aux lois et aux règlements et aux requêtes et ordres légaux ou si cela est permis par la loi (c’est à dire, pour la protection et la défense des droits, situation qui menace la vie, santé ou la sécurité, etc.).

En tout état de cause, nous exigeons toujours de ces destinataires qu’ils présentent des garanties de confidentialité et de sécurité suffisante et qu’ils prennent les mesures physiques, organisationnelles et techniques nécessaires à la protection et la sécurisation de vos données personnelles, conformément à la législation en vigueur.

Le transfert hors UE de vos données

Vos données sont hébergées sur des serveurs sécurisés du CHU DIJON BOURGOGNE.

Vos données sont susceptibles d’être transmises à nos sous-traitants, au sens de l’article 28 du RGPD, bénéficiant de toutes les autorisations nécessaires et respectant des règles strictes de sécurité notamment en ce qui concerne l’hébergement de vos données (certification HDS).

Pour ce qui est de nos sous-traitants et partenaires, le plus souvent, les données sont hébergées au sein de l’Union Européenne et de l’Espace Economique Européen. Toutefois, si vos données venaient à être transférées hors UE et EEE, par le biais de nos sous-traitants et partenaires, nous apporterions une attention toute particulière à ce que ces derniers traitent vos données dans le plus strict respect de la règlementation en vigueur en matière de protection des données personnelles. Dans le cas où ces derniers seraient situés dans un pays ne faisant pas l’objet d’une décision d’adéquation par la Commission Européenne, reconnaissant un niveau de protection équivalent à celui prévu par l’Union Européenne, un contrat-type sera rédigé afin de se conformer au modèle établi par la Commission Européenne (Clauses Contractuelles Types) accompagné de mesures sécuritaires complémentaires.

Les mesures de sécurité mises en œuvre

Le CHU DIJON BOURGOGNE sécurise vos données personnelles en mettant en place des mesures physiques, organisationnelles, et techniques adéquates afin d’éviter tout accès, utilisation, divulgation, modification ou destruction non autorisé, conformément à la réglementation en vigueur.

Ces mesures incluent notamment :

• Un stockage sur des serveurs sécurisés au sein de l’Union Européenne ;
• Des procédés de chiffrement des données transmises et la mise en œuvre de moyens permettant de garantir la confidentialité, l’intégrité et la disponibilité de vos données ;
• Des tests d’intrusion réalisés fréquemment, ainsi que des sauvegardes régulières avec des tests de restauration ;
• L’utilisation d’une authentification forte ;
• Une politique de gestion des accès ;
• La sécurisation contractuelle prévue à l’article 28 du RGPD ;
• La mise en place de mesures organisationnelles en interne afin de protéger vos données, dont la mise en place d’une procédure de gestion des violations de données personnelles.

Vos droits sur vos données personnelles

Au titre du RGPD et de la Loi Informatique et Libertés, vous disposez de différents droits parmi lesquels :

Le droit d’accès à vos données

Vous pouvez obtenir du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE la confirmation que vos données sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès à l’ensemble des données et informations détenu par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE.

Si vous voulez accéder à votre dossier médical, en obtenir une copie ou une version scannée, selon l’article L1111-7 du Code de la santé publique, veuillez en faire la demande par écrit auprès du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE.

Le droit de rectification de vos données

Vous pouvez obtenir du Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE, dans les meilleurs délais, la rectification des données vous concernant qui seraient inexactes ou erronées. Vous pouvez également demander que vos données soient complétées, le cas échéant. Ce droit s’exerce auprès du médecin ou du service qui vous prend en charge.

Le droit à l’effacement de vos données

Sauf exceptions légales, vous pouvez demander au Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE l’effacement, dans les meilleurs délais, de vos données, si notamment, vous estimez que le traitement réalisé par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE sur vos données n’est plus nécessaire au regard des finalités pour lesquelles elles ont été collectées. Pour des raisons légales, l’établissement n’est pas en mesure de faire droit à une demande d’effacement relative à des données contenues dans votre dossier patient informatisé.

Le droit d’opposition

Vous pouvez vous opposer à ce que vos données soient utilisées par un organisme pour un objectif précis. Vous devez alors mettre en avant des raisons tenant à votre situation particulière.
En matière de recherche, l’exercice de votre droit d’opposition n’est subordonné à aucune condition de motivation. Vous pouvez vous opposer à tout moment à la réutilisation de données de votre dossier médical à des fins de recherches scientifiques sur données médicales.

Le droit à la limitation du traitement de vos données

Vous pouvez demander au Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE de conserver vos données sans pouvoir les utiliser, dans l’un des cas suivants :

• Vous contestez l’exactitude des données utilisées par le Centre Ressources Autisme (CRA) – CHU DIJON BOURGOGNE ;
• Vous vous opposez à ce que vos données soient traitées ;
• En cas d’usage illicite, mais vous vous opposez à leur effacement ;
• Vous en avez besoin pour la constatation, l’exercice ou la défense de droits en justice.

Le droit de retirer votre consentement au traitement de vos données

Lorsque le traitement de vos données personnelles est fondé sur votre consentement, vous avez la possibilité de retirer, à tout moment, votre consentement.

Le droit de donner des directives post mortem

Vous avez la possibilité de définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès. Ces directives définissent la manière dont vous souhaitez que soient exercés, après votre décès, vos droits sur vos données. Vous pouvez nous transmettre ces directives en adressant un courrier au médecin participant à votre prise en charge et en mentionnant en objet « Directives post mortem ». Vous pouvez, à tout moment, modifier ou révoquer vos directives.

Nous contacter

Si vous souhaitez exercer vos droits ou pour toute question relative à la Protection des données à caractère personnel, vous avez la possibilité de nous contacter :

Par internet via le formulaire de contact ;
Par mail à l’adresse : cra@chu-dijon.fr ;
Par courrier à l’adresse : CRA BOURGOGNE (CHU DIJON BOURGOGNE), 6 rue de Cromois, 21000 Dijon

Pour votre parfaite information, un délégué à la protection des données a été nommé au sein du CHU DIJON BOURGOGNE. Pour toute question relative à la Protection des données à caractère personnel, vous pouvez le contacter :

Par mail : dpo@chu-dijon.fr ;
Par voie postale : CHU DIJON BOURGOGNE, Direction Générale, délégué à la protection des données GHT 21-52, 1 bd Jeanne d’Arc. BP n°77908. 21079 Dijon.

Toute demande doit préciser, en objet, le motif de la demande (exercice du droit d’accès, d’opposition, etc.). La demande doit également être accompagnée d’un justificatif d’identité (par exemple, un numéro patient) et préciser l’adresse à laquelle doit parvenir la réponse.

Nous nous efforcerons de répondre à vos demandes dans les meilleurs délais et dans les conditions prévues par la réglementation applicable. Néanmoins, dans certains cas, il est possible que nous ne soyons pas en mesure d’y répondre favorablement afin de respecter nos obligations légales ou contractuelles.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés ou que la protection de vos données n’est pas assurée conformément au RGPD, vous pouvez, à tout moment, introduire une réclamation auprès de la CNIL sur le site https://cnil.fr/plaintes, ou par voie postale à : CNIL – 3 Place de Fontenoy – TSA 80715 – 75334 PARIS CEDEX 07.

Le principe d’Accountability

Afin de respecter le principe d’Accountability, le CHU DIJON BOURGOGNE :

• Adopte des procédures internes dans le but d’assurer le respect du règlement (charte informatique, charte de protection des données à caractère personnel, procédures de violation de données, etc.) ;
• Conserve une trace documentaire de tout traitement effectué sous sa responsabilité ou de celle du sous-traitant (tenue du registre des traitements, accords de confidentialité des salariés et des prestataires, politique de sécurité de l’entreprise, procédures de gestion des demandes d’accès, de rectification, d’opposition…) ;
• Réalise des analyses d’impact (PIA) pour les traitements présentant des risques particuliers au regard des droits et libertés des personnes concernées.

L’objectif est de fournir une documentation riche permettant de démontrer à tout instant le respect par le CHU DIJON BOURGOGNE des règles relatives à la protection des données.