Actualités › Données de santé & RGPD › Sous-traitance en cascade de données de santé : la vigilance du médecin
Sous-traitance en cascade de données de santé : la vigilance du médecin
Mis à jour le 27/09/2026 — rédigé par l'équipe DoctoAid à partir des textes et référentiels officiels en vigueur
En bref
Une sous-traitance en cascade (un sous-traitant recourant lui-même à un autre sous-traitant) est possible sous réserve de l'autorisation préalable du responsable de traitement et de l'application de garanties équivalentes tout au long de la chaîne, chaque maillon devant respecter les mêmes exigences RGPD.
Source
Cet article est un contenu d'information générale sur le cadre réglementaire et numérique de la santé, fondé sur des sources officielles françaises et européennes. Il ne constitue pas un conseil juridique et ne remplace pas la consultation d'un professionnel du droit ou des instances ordinales compétentes.
Le principe encadrant cette pratique
Le RGPD autorise la sous-traitance en cascade sous réserve d'une autorisation préalable, générale ou spécifique, du responsable de traitement initial, qui conserve la responsabilité de vérifier la conformité de l'ensemble de la chaîne.
Le point de vigilance pour le responsable de traitement
Le responsable de traitement doit s'assurer que chaque sous-traitant de la chaîne, y compris les sous-traitants de rang ultérieur, applique des garanties de sécurité et de confidentialité équivalentes à celles exigées du sous-traitant initial.
Un point à demander explicitement à tout éditeur
Demander à un éditeur de logiciel de santé la liste complète de ses sous-traitants, y compris de rang ultérieur, est une démarche légitime pour évaluer la robustesse réelle de sa chaîne de sécurité.
DoctoAid sur ce sujet
DoctoAid peut vous aider directement sur ce cas précis
100% données officielles
Chaque réponse s'appuie exclusivement sur les données publiques ANSM (RCP, BDPM) — jamais sur le web ouvert.
Synchronisation continue
Base resynchronisée chaque semaine avec les sources officielles, sans intervention manuelle.
Abstention plutôt qu'invention
Si l'information ne figure pas dans les données officielles, DoctoAid le dit — il n'invente jamais de réponse.
Questions fréquentes
Le responsable de traitement doit-il connaître tous les sous-traitants de rang ultérieur ?
Il doit à minima être informé de tout changement dans la chaîne de sous-traitance et pouvoir s'y opposer selon les modalités contractuelles prévues.
Cette chaîne peut-elle traverser plusieurs pays ?
Oui, ce qui ajoute la question du transfert international de données à celle de la seule sous-traitance en cascade.
DoctoAid documente-t-il ses éventuels sous-traitants ?
Voir notre page dédiée à la sécurité des données pour plus d'informations sur notre architecture de traitement.
Pour aller plus loin
Actualité
Registre des traitements RGPD : est-il obligatoire pour un médecin en cabinet ?
Actualité
Quelle base légale RGPD pour un médecin qui utilise un logiciel traitant des données patient ?
Actualité
Souveraineté des données de santé : un enjeu de politique publique pour le médecin
Actualité
Transfert de données de santé hors Union européenne : les règles applicables au médecin
Actualité
Clauses contractuelles types : le mécanisme le plus courant pour transférer des données de santé
Actualité
Données de santé d'un mineur : les règles de consentement applicables pour le médecin
Actualité
Droit d'opposition au traitement de données de santé : quand peut-il s'exercer, pour le médecin
Guide
Mot de passe partagé en cabinet médical : un risque sous-estimé par les médecins
Guide
Suppression d'un compte patient sur un logiciel de santé : la procédure attendue du médecin
Guide