REGISTRE DE PROTECTION DES DONNEES PERSONNELLES

Pour faciliter la tenue du registre, la CNIL propose un modèle de registre de base destiné à répondre aux besoins les plus courants en matière de traitements de données, en particulier des petites structures.

Ce document vise à recenser les traitements de données personnelles mis en œuvre dans votre organisme en tant que responsable de traitement. Centralisé et régulièrement mis à jour, il vous permet de répondre à l’obligation de tenir un registre prévue par le RGPD.

Composition du document
1.	La page 2 du registre recense les informations communes à toutes vos activités de traitement.

•	
•	La liste des activités de votre organisme impliquant le traitement de données personnelles.

1.	
2.	Pour chaque activité recensée, vous devrez créer et tenir à jour une fiche de registre (page 3 à 6).

Les pages suivantes constituent le modèle de fiche de registre, que vous devrez remplir pour chacune de ces activités.

REGISTRE DES ACTIVITÉS DE TRAITEMENT EN MASSO KINESITHERAPIE
CABINET DE KINESITHERAPEUTE

Coordonnées du responsable de l’organisme
	Nom : Cliquez ici. Prénom : Cliquez ici.
Adresse : Cliquez ici.
CP : Cliquez ici. Ville : Cliquez ici.
Téléphone : Cliquez ici. Adresse de messagerie : Cliquez ici.	
Si plusieurs associés :	Nom : Cliquez ici. Prénom : Cliquez ici.
Société (si DPO externe) : Cliquez ici.
Adresse : Cliquez ici.
CP : Cliquez ici. Ville : Cliquez ici.
Téléphone : Cliquez ici. Adresse de messagerie : Cliquez ici.	

Activités de l’organisme impliquant le traitement de données personnelles
Listez ici les activités pour lesquelles vous traitez des données personnelles.

Activités	Désignation des activités	
Activité 1	Soin de rééducation	
Activité 2	Gestion administrative des dossiers médicaux	
Activité 3	Gestion des honoraires (télé-transmission….)	
Activité 4	Sauvegarde des données du dossier médical	
Activité 5	Soin hors convention	
Activité 6		
Activité 7		
Activité 8		

Vous devrez créer et tenir à jour une fiche de registre par activité.
Le modèle de fiche de registre est disponible sur la page suivante, copier / coller autant de fois la sélection qu’il y a d’activité listée.

----> Début de section à copier pour chaque activité listée en page 2 <----
FICHE DE REGISTRE DE L’ACTIVITÉ
Soin de rééducation
(Créer cette fiche pour chaque activité listée en page 2)

Date de création de la fiche	Ex : 1er septembre 2018	
Date de dernière mise à jour de la fiche	Ex : 10 septembre 2018	
Nom du responsable conjoint du traitement
(dans le cas où la responsabilité de ce traitement de donnée est partagée avec un autre organisme)	Tous les professionnels intervenant au sein du cabinet	
Nom du logiciel ou de l’application
(si pertinent)	Ex : VEGA
Ex : Kiné 4000	

Objectifs poursuivis
Décrivez clairement l’objet du traitement de données personnelles et ses fonctionnalités.

Exemple : les données personnelles servent au remplissage du dossier médical, du suivi du traitement, du partage des données avec les autres professionnels de santé, nécessaire au suivi du patient et à la facturation et aux remboursements des honoraires.

Catégories de personnes concernées
Listez les différents types de personnes dont vous collectez ou utilisez les données.

Exemples : salariés, usagers, clients, prospects, bénéficiaires, etc.

1. Patient 					2. Assuré
3. Autre 					4. Autre

Catégories de données collectées
Cochez et listez les différentes données traitées

X État-civil, identité, données d'identification, images (ex. nom, prénom, adresse, photographie, date et lieu de naissance, etc.)
Cliquez ici.

X Vie personnelle (ex. habitudes de vie, situation familiale, etc.)
Cliquez ici.

X Vie professionnelle (ex. CV, situation professionnelle, scolarité, formation, distinctions, diplômes, etc.)
Cliquez ici.

X Données de connexion (ex. adresses Ip, logs, identifiants des terminaux, identifiants de connexion, informations d'horodatage, etc.)
Cliquez ici.

☐ Autres catégories de données (précisez) :
Cliquez ici.

Des données sensibles sont-elles traitées ?

La collecte de certaines données, particulièrement sensibles, est strictement encadrée par le RGPD et requiert une vigilance particulière. Il s’agit des données révélant l'origine prétendument raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale des personnes, des données génétiques et biométriques, des données concernant la santé, la vie sexuelle ou l’orientation sexuelle des personnes, des données relatives aux condamnations pénales ou aux infractions, ainsi que du numéro d'identification national unique (NIR ou numéro de sécurité sociale).

X Oui ☐ Non

Si oui, lesquelles ? :

Durées de conservation des catégories de données
Combien de temps conservez-vous ces informations ?

Cliquez ici. Jours, Cliquez ici. Mois, Cliquez ici. Ans, Autre durée : Cliquez ici.

Si vous ne pouvez pas indiquer une durée chiffrée, précisez les critères utilisés pour déterminer le délai d’effacement (par exemple, 3 ans à compter de la fin de la relation contractuelle). 
Cliquez ici.

Si les catégories de données ne sont pas soumises aux mêmes durées de conservation, ces différentes durées doivent apparaître dans le registre.

Catégories de destinataires des données
Destinataires internes

(Exemples : entité ou service, catégories de personnes habilitées, direction informatique, etc.)

1. Patient 					2. Assuré
3. MK 						4. Secrétaire

Organismes externes

(Exemples : filiales, partenaires, etc.)

1. Médecins.					2. Autres professionnels de santé
3. Autres sur avis du patient			4. Autre

Sous-traitants

(Exemples : hébergeurs, prestataires et maintenance informatiques, etc.)

1. Hébergeurs 					2. Prestataire de sauvegarde
3. Prestataire de maintenance informatique 	4. Cliquez ici

Transferts des données hors UE
Des données personnelles sont-elles transmises hors de l’Union européenne ?

☐ Oui ☐ Non

Si oui, vers quel(s) pays :
Cliquez ici.

Dans des situations particulières (transfert vers un pays tiers non couvert par une décision d’adéquation de la Commission européenne, et sans les garanties mentionnées aux articles 46 et47 du RGPD), des garanties spécifiques devront être prévues et documentées dans le registre (article 49 du RGPD). Consultez le site de la CNIL.

Mesures de sécurité
Cochez et décrivez les mesures de sécurité organisationnelles et techniques prévues pour préserver la confidentialité des données.

Le niveau de sécurité doit être adapté aux risques soulevés par le traitement. Les exemples suivants constituent des garanties de base à prévoir et peuvent devoir être complétés.

☐ Contrôle d'accès des utilisateurs
Décrivez les mesures :
Sécurisation des envois des données auprès des organismes d’assurance maladie et complémentaire.

☐ Mesures de traçabilité
Précisez la nature des traces (exemple : journalisation des accès des utilisateurs), les données enregistrées (exemple : identifiant, date et heure de connexion, etc.) et leur durée de conservation :
☐1 x par jour				☐1x par semaine			☐1x par mois

☐ Mesures de protection des logiciels (antivirus, mises à jour et correctifs de sécurité, tests, etc.)
Décrivez les mesures :
Antivirus régulièrement mis à jour.

☐ Sauvegarde des données
Décrivez les modalités :
☐1 x par jour				☐1x par semaine			☐1x par mois

☐ Contrôle des sous-traitants
Décrivez les modalités :
Contact par mail des sous-traitants soit lors de problème informatique, soit lors d’anomalie des données.

☐ Autres mesures:
Cliquez ici.

Tampon du cabinet et signature :