RGPD et santé : les données médicales

Un cabinet médical, un centre de soin, une application de suivi ou une mutuelle manipulent des données de santé, parmi les plus sensibles au sens du RGPD. Cette sensibilité n'est pas qu'une étiquette : elle déclenche des obligations renforcées, un principe d'interdiction assorti d'exceptions et une exigence de sécurité qui dépasse largement le cadre habituel.

Cet article clarifie ce qui distingue les données de santé, les obligations qui pèsent sur les structures qui les traitent et la démarche pour se mettre en règle. L'objectif : une conformité à la hauteur de l'enjeu, sans paralyser l'activité de soin.

Définition — Les données de santé sont des données personnelles relatives à l'état de santé physique ou mentale d'une personne, présent, passé ou futur. Le RGPD les classe parmi les catégories particulières de données, dont le traitement est en principe interdit, sauf exceptions strictement encadrées.

Points clés

• Les données de santé sont des données sensibles : leur traitement est interdit par principe, sauf exception prévue par le règlement.
• Les structures de soin et leurs prestataires cumulent des obligations renforcées : sécurité, confidentialité, hébergement adapté.
• L'hébergement de données de santé impose souvent le recours à un hébergeur certifié.
• Une analyse d'impact est fréquemment requise avant de déployer un traitement de données de santé à grande échelle.
• La désignation d'un délégué à la protection des données est souvent obligatoire dans ce secteur.

Pourquoi les données de santé sont-elles si protégées ?

Le RGPD range les données de santé parmi les catégories particulières, aux côtés des données sur les origines, les opinions ou la vie sexuelle. Leur divulgation peut porter une atteinte grave à la personne : discrimination, exclusion, préjudice moral. C'est pourquoi leur traitement est interdit par principe, et n'est possible que dans des cas précis, comme la prise en charge médicale ou le consentement explicite de la personne.

Cette qualification élargit le périmètre au-delà du seul dossier médical. Un rendez-vous chez un spécialiste, un arrêt de travail, une donnée de suivi collectée par une application relèvent tous de la santé. Notre article sur les données sensibles au sens du RGPD précise l'étendue de cette catégorie.

Bon à savoir — Même un traitement en apparence anodin peut révéler une donnée de santé. La liste des participants à un groupe de soutien, un régime alimentaire particulier ou un aménagement de poste peuvent trahir un état de santé. La vigilance porte sur ce que la donnée révèle, pas seulement sur son intitulé.

Les obligations renforcées des structures de santé

Traiter des données de santé impose un niveau d'exigence supérieur. La sécurité doit être renforcée : chiffrement, gestion stricte des accès, traçabilité des consultations, protection contre les fuites. Le secret médical se double des obligations du RGPD, sans que l'un ne remplace l'autre.

L'hébergement mérite une attention particulière. Héberger des données de santé pour le compte de tiers relève d'un régime spécifique qui impose, dans de nombreux cas, un hébergeur agréé ou certifié. Choisir un prestataire conforme fait partie intégrante de votre responsabilité, comme le rappelle notre article sur les sous-traitants et l'article 28.

Conseil — Avant de déployer un nouvel outil (logiciel de gestion de patientèle, application de suivi, service de télé-soin), vérifiez où et comment les données seront hébergées. Un choix technique mal anticipé se corrige mal une fois en production. Pour sécuriser cette étape, décrivez-nous votre projet.

L'analyse d'impact, souvent incontournable

Un traitement de données de santé à grande échelle impose le plus souvent une analyse d'impact sur la protection des données. Cette étude anticipe les risques pour les personnes avant le déploiement, et documente les mesures prises pour les réduire. Elle n'est pas une formalité : elle conditionne la légitimité de traitements à fort enjeu.

Mener cette analyse en amont évite de découvrir un risque majeur une fois le système en place. Notre article sur la méthode d'une analyse d'impact en détaille le déroulé, et notre approche privacy by design l'intègre dès la conception des projets.

Faut-il un DPO dans le secteur de la santé ?

La désignation d'un délégué à la protection des données est obligatoire lorsque l'activité principale conduit à traiter des données sensibles à grande échelle, ce qui vise directement de nombreuses structures de santé. Même en dehors de cette obligation, un DPO reste vivement recommandé dans un secteur où le risque est élevé.

Pour beaucoup de cabinets et de petites structures, recruter un DPO interne n'a pas de sens économique. Le DPO externe offre l'expertise nécessaire sans le coût d'un poste, avec l'indépendance qu'exige la fonction. Notre comparatif DPO interne ou externe éclaire ce choix.

FAQ

Qu'est-ce qu'une donnée de santé au sens du RGPD ?

Toute donnée relative à l'état de santé physique ou mentale d'une personne : diagnostic, traitement, rendez-vous médical, données d'un dispositif de suivi. La qualification porte sur ce que la donnée révèle, ce qui inclut des informations indirectes comme un aménagement de poste ou un régime particulier.

Un cabinet médical doit-il désigner un DPO ?

Souvent, oui. La désignation est obligatoire quand l'activité principale implique un traitement à grande échelle de données sensibles, ce qui vise de nombreuses structures de soin. Même sans obligation stricte, un DPO est fortement recommandé au vu du risque. Un DPO externe convient bien aux petites structures.

Où héberger des données de santé ?

Chez un hébergeur adapté, souvent agréé ou certifié pour l'hébergement de données de santé lorsque vous les hébergez pour le compte de tiers. Le choix de l'hébergement fait partie de vos obligations : un prestataire non conforme vous expose directement.

Faut-il une analyse d'impact pour un logiciel de santé ?

Le plus souvent, oui, dès qu'il traite des données de santé à grande échelle. L'analyse d'impact anticipe les risques avant le déploiement et documente les mesures de protection. La mener en amont évite de découvrir une faille une fois le système en production.

Le secret médical suffit-il à être conforme au RGPD ?

Non. Le secret médical et le RGPD sont deux cadres complémentaires. Respecter le secret ne dispense pas des obligations du règlement : base légale, information des personnes, sécurité, durées de conservation. Les deux doivent être respectés ensemble.

Une application de bien-être traite-t-elle des données de santé ?

Souvent, oui. Dès qu'une application collecte des informations révélant l'état de santé (rythme cardiaque, sommeil, symptômes), elle traite des données de santé et relève des obligations renforcées, même si elle se présente comme un simple outil de bien-être.

Conclusion

Traiter des données de santé engage une responsabilité à la hauteur de leur sensibilité : sécurité renforcée, hébergement adapté, analyse d'impact et, souvent, désignation d'un DPO. Ces obligations ne visent pas à entraver le soin, mais à protéger des informations dont la fuite peut nuire durablement aux personnes.

Pour mettre votre structure en règle sans paralyser votre activité, décrivez-nous votre situation : nous vous disons par où commencer, avec l'exigence qu'impose ce secteur. Pour aller plus loin, parcourez le blog ou découvrez notre offre de mise en conformité RGPD.

Pour approfondir, consultez les ressources officielles de la CNIL sur les données de santé et le texte du RGPD sur EUR-Lex.

L'équipe mydari

Tous les articles