Actualités › Données de santé & RGPD
Hébergement HDS, référentiel CNIL, analyse d'impact, durées de conservation : la conformité RGPD du cabinet.
En France, l'hébergement de données de santé à caractère personnel pour le compte de tiers doit être assuré par un hébergeur certifié HDS (Hébergeur de Données de Santé), une certification qui atteste du respect d'exigences de sécurité et de confidentialité spécifiques au secteur.
La CNIL a publié un référentiel spécifique encadrant le traitement des données de patientèle par les cabinets médicaux et paramédicaux, précisant les finalités autorisées, les durées de conservation recommandées et les mesures de sécurité attendues pour ce type de traitement.
Le RGPD impose une analyse d'impact relative à la protection des données (AIPD) pour les traitements susceptibles d'engendrer un risque élevé pour les droits des personnes, ce qui inclut fréquemment les traitements de données de santé à grande échelle, notamment via des systèmes d'intelligence artificielle.
Le RGPD impose au responsable de traitement de notifier une violation de données à caractère personnel à la CNIL dans un délai de 72 heures après en avoir eu connaissance, dès lors qu'elle est susceptible d'engendrer un risque pour les droits des personnes concernées — un enjeu particulièrement sensible pour les données de santé.
Le code de la santé publique fixe des durées de conservation du dossier médical, avec des règles différentes selon le contexte (établissement de santé, exercice libéral) et des exceptions notables (mineurs, dommages corporels) ; en cas de doute, il convient de se référer directement au texte en vigueur et, le cas échéant, à son conseil départemental de l'Ordre.
Le RGPD accorde à toute personne un droit à la portabilité des données qu'elle a fournies, dans un format structuré et couramment utilisé, pour lui permettre de les transmettre à un autre responsable de traitement ; ce droit s'articule en santé avec les dispositifs déjà prévus comme Mon espace santé.
La pseudonymisation remplace les données directement identifiantes par un identifiant indirect réversible et reste soumise au RGPD, tandis que l'anonymisation rend théoriquement impossible toute réidentification et sort du champ d'application du RGPD — une distinction déterminante pour la conformité d'un traitement de données de santé.
Le RGPD impose la tenue d'un registre des traitements dans la plupart des cas concernant des données de santé, y compris pour de petites structures, car le traitement de données de santé fait partie des critères qui écartent l'exception prévue pour les très petites structures.
Le traitement de données de santé par un logiciel médical repose le plus souvent sur la base légale de l'intérêt vital, de l'exécution d'une mission de santé publique ou du consentement explicite de la personne, selon la finalité précise du traitement concerné ; la base retenue doit être documentée par le responsable de traitement.
La question de la souveraineté des données de santé porte sur le lieu d'hébergement et le régime juridique applicable aux infrastructures utilisées, en particulier lorsqu'un prestataire cloud est soumis à une législation extra-européenne ; c'est un débat de politique publique qui influence les choix d'architecture des acteurs de santé numérique.
Un transfert de données de santé vers un pays hors Union européenne n'est possible que si ce pays bénéficie d'une décision d'adéquation de la Commission européenne, ou si des garanties appropriées (clauses contractuelles types notamment) encadrent ce transfert spécifique.
Les clauses contractuelles types, modèles de clauses approuvés par la Commission européenne, permettent d'encadrer contractuellement un transfert de données vers un pays tiers, à condition d'être complétées par une analyse d'impact du transfert tenant compte du contexte juridique réel du pays destinataire.
Le traitement des données de santé d'un mineur par un service numérique nécessite généralement l'accord des titulaires de l'autorité parentale, sous réserve de règles spécifiques liées à l'âge du mineur et à la nature du service concerné, précisées par le RGPD et la CNIL.
Le droit d'opposition permet à la personne concernée de s'opposer à un traitement de ses données de santé fondé sur l'intérêt légitime ou l'intérêt public, sous réserve que le responsable de traitement ne démontre pas de motif légitime impérieux justifiant de poursuivre le traitement malgré cette opposition.
Un employeur ne peut en principe pas accéder directement aux données de santé de ses salariés, cette information relevant du secret médical et du seul médecin du travail, qui ne transmet à l'employeur qu'un avis d'aptitude sans détail médical sous-jacent.
Une anonymisation effective des données de santé pour la recherche va bien au-delà de la seule suppression du nom du patient : elle nécessite des méthodes reconnues (généralisation, perturbation statistique) empêchant toute réidentification, y compris par recoupement avec d'autres sources.
Un contrôle de la CNIL dans un cabinet médical peut être annoncé ou inopiné, porte sur la conformité des traitements de données réalisés (registre, sécurité, information des patients), et donne lieu à un rapport pouvant déboucher sur une mise en demeure ou une sanction en cas de manquement constaté.
Le montant d'une amende RGPD est déterminé selon des critères précis (gravité et durée du manquement, nombre de personnes affectées, mesures prises pour atténuer le dommage), la sensibilité particulière des données de santé étant généralement considérée comme un facteur aggravant dans cette appréciation.
Les données génétiques, bien que rattachées à la catégorie des données de santé, font l'objet d'une attention particulière du RGPD en raison de leur caractère immuable et de leur capacité à révéler des informations sur les apparentés de la personne concernée, au-delà de la seule personne testée.
Une sous-traitance en cascade (un sous-traitant recourant lui-même à un autre sous-traitant) est possible sous réserve de l'autorisation préalable du responsable de traitement et de l'application de garanties équivalentes tout au long de la chaîne, chaque maillon devant respecter les mêmes exigences RGPD.
Le RGPD impose au responsable de traitement de documenter en interne toute violation de données constatée, y compris celles jugées ne pas nécessiter de notification à la CNIL, ce registre interne devant permettre à l'autorité de vérifier le respect de cette obligation en cas de contrôle.