Comment traiter une demande d'accès à un sujet (SAR) ?

Les demandes d'accès du sujet (SAR) sont un droit légal en vertu du règlement général sur la protection des données du Royaume-Uni (UK GDPR), permettant aux individus de demander une copie de leurs données personnelles. Dans les cabinets de médecine générale, ces demandes émanent le plus souvent des patients, mais elles peuvent également être formulées par des avocats, des agences tierces ou même des membres du personnel. Bien gérée, une demande d'information est l'occasion de faire preuve de transparence et de confiance. Mal gérée, elle peut entraîner des retards, des plaintes, voire une action réglementaire. Ce guide vous guide à travers les étapes clés pour gérer les DAS en toute confiance et conformité, tout en restant du bon côté de la loi - et de vos patients. 

Qu'est-ce qu'une demande d'accès ? 

Une demande d'accès par un sujet est une demande faite par une personne pour accéder aux données personnelles que votre organisation détient à son sujet. Dans la pratique générale, il peut s'agir 

• Dossiers médicaux. 

• Correspondance concernant le patient. 

• Notes de consultation. 

• Résultats de tests ou références. 

• Notes du personnel concernant le patient. 

En vertu de la loi, vous disposez d'un mois civilpour répondre à une demande de renseignements et vousne pouvez pas facturer de frais, sauf si la demande est manifestement infondée ou excessive. 

Qui peut faire une demande de DAS ? 

• Le patient lui-même. 

• Un parent ou un tuteur (pour les enfants, en fonction de l'âge et de la capacité). 

• Un tiers avec le consentement écrit du patient (par exemple, un avocat, une compagnie d'assurance). 

Vous devez toujours vérifier l'identité et l'autorité légale du demandeur.Cela peut impliquer la demande d'une pièce d'identité et d'un document de consentement. 

Comment répondre à une demande de recherche d'antécédents - étape par étape 

1.Accuser réception de la demande et l'enregistrer 

Enregistrez la date de réception de la demande et le nom de la personne qui l'a présentée. Notez le délai d'un mois, qui inclut les week-ends et les jours fériés. Vous devez également 

• Désigner une personne responsable de la gestion de la demande. 

• Utilisez un registre ou un modèle SAR standard (de nombreux OIP en fournissent un). 

• Ajoutez-le au calendrier de l'IG ou au système de suivi des risques de votre cabinet. 

Si vous avez besoin de plus d'informations de la part du demandeur pour continuer (par exemple, clarifier la période ou le consentement), le délai d'un moiss'interromptjusqu'à ce que vous receviez ces informations. 

2.Confirmer l'identité et le consentement 

• Demandez une pièce d'identité avec photo si le demandeur vous est inconnu. 

• S'il s'agit d'un tiers (avocat, assureur), demandez le consentement signé du patient. 

• Veillez à ce que le consentement indique clairement quelles informations peuvent être partagées et avec qui. 

Si la demande émane d'un parent, vérifiez l'âge de l'enfant et sa capacité de compréhension. Il peut être nécessaire d'évaluer les compétences de Gillick. 

3.Rassembler les documents pertinents

Ne collecter que les données qui entrent dans le champ d'application de la demande. Cela peut impliquer 

• Recherche dans EMIS, SystmOne ou votre système clinique. 

• Extraction de la correspondance (par exemple, lettres d'hôpitaux). 

• Impression ou exportation de notes cliniques. 

• l'expurgation d'informations provenant de tiers (voir ci-dessous). 

Éviter le partage : 

• Notes sur d'autres personnes (y compris le personnel). 

• Informations confidentielles de tiers. 

• Données non pertinentes pour le patient. 

• Informations susceptibles de causer un préjudice grave. 

En cas de doute, consultez votre tuteur Caldicott ou votre délégué à la protection des données (DPD). 

4.Expurger avec soin et réviser 

Avant de partager les dossiers : 

• Expurger toute information provenant d'un tiers, sauf si le consentement a été obtenu. 

• Veiller à ce que les informations relatives à la protection ou aux risques soient dûment prises en compte. 

• Vérifier la présence de propos injurieux ou menaçants (qui peuvent nécessiter d'être expurgés ou contextualisés). 

Vous devez documenter votre processus d'expurgation en cas de contestation ultérieure. 

5.Envoyer en toute sécurité et confirmer la réception 

Fournir la réponse dans le format préféré du patient, si possible. Il peut s'agir de 

• Imprimé et retiré en personne (avec contrôle d'identité). 

• Envoi sécurisé par courrier recommandé. 

• Envoyé par voie électronique via un système sécurisé ou un courrier électronique crypté. 

Fournir une lettre d'accompagnement indiquant ce qui est inclus et qui doit être contacté en cas de questions. 

6.Clôturer la demande 

Une fois l'opération terminée, enregistrer : 

• Date à laquelle la demande d'asile a été satisfaite. 

• Qui l'a examiné et approuvé. 

• Les éventuelles exemptions ou expurgations appliquées. 

• Comment les données ont été partagées. 

Conservez ce registre en toute sécurité - il peut être nécessaire pour un audit ou la résolution d'une plainte. 

Les pièges les plus courants - et comment les éviter 

Que faire si la demande est complexe ? 

Si la DAS concerne des quantités particulièrement importantes de données, ou si vous avez besoin de plus de temps pour les localiser et les examiner, vous pouvezprolonger le délai de deux mois supplémentaires, mais vous devez en informer le demandeur au cours du premier mois, en expliquant pourquoi. 

Où trouver de l'aide 

• Votre DPD ou le responsable de la gouvernance de l'information de l'ICB. 

• NHS England guidance on subject access (en anglais). 

• Guide SAR de l'ICO : ico.org.uk. 

• CSU local ou support informatique pour les outils de rédaction. 

Le mot de la fin : la routine, pas la précipitation 

Les demandes d'accès des personnes concernées ne doivent pas nécessairement être une corvée qui fait paniquer. Avec des modèles clairs, des processus solides et une compréhension commune au sein de l'équipe, elles deviennent une partie gérable - et même utile - des responsabilités de votre cabinet en matière de données. Les patients ont le droit de consulter leur dossier. Vous avez le droit de répondre d'une manière qui protège la vie privée, la sécurité et la confiance.