- Les données de santé sont des données sensibles (article 9 RGPD) : leur traitement est interdit par principe, sauf pour les besoins des soins.
- Le registre des activités de traitement est obligatoire pour tout professionnel de santé, quelle que soit la taille du cabinet.
- La certification HDS concerne votre hébergeur : vérifiez que vos outils de prise de rendez-vous, logiciel métier et téléconsultation en disposent.
- L'AIPD et le DPO deviennent obligatoires en cas de traitement de données de santé à grande échelle (maison ou centre de santé, réseau de praticiens).
- RGPD et secret médical se cumulent : tout prestataire ayant accès aux données doit être encadré par un contrat de sous-traitance.
Données de santé : un régime RGPD renforcé (article 9)
Les données de santé ne sont pas des données personnelles comme les autres. L'article 9 du RGPD les classe parmi les catégories particulières de données, dites sensibles, au même titre que les données génétiques ou biométriques. Leur traitement est interdit par principe.
Cette interdiction connaît des exceptions. Pour un professionnel de santé, la plus importante est la prise en charge médicale : diagnostic, soins, suivi du patient. Vous pouvez traiter ces données parce qu'elles sont nécessaires aux finalités de médecine préventive, de diagnostic et de soins (article 9.2.h).
Concrètement, tout ce qui touche au dossier patient, aux antécédents, aux prescriptions ou aux comptes rendus relève de ce régime renforcé. La moindre fuite expose le patient comme votre responsabilité professionnelle. Le niveau de sécurité attendu est donc élevé.
Praticiens libéraux : une cible privilégiée des contrôles CNIL
Médecins, kinésithérapeutes, dentistes, infirmiers, ostéopathes ou sages-femmes manipulent chaque jour des données extrêmement sensibles, souvent avec des moyens limités. Cette combinaison attire l'attention de la CNIL.
La CNIL a publié un référentiel dédié aux traitements de gestion d'une patientèle en cabinet libéral. Ce document n'est pas contraignant : vous pouvez vous en écarter, mais vous devez alors pouvoir justifier vos choix. Il reste la meilleure grille de lecture de ce que la CNIL attend.
Les manquements les plus sanctionnés sont connus : refus ou lenteur à communiquer un dossier médical au patient, défaut de sécurité informatique, absence de coopération lors d'un contrôle. Ces contrôles partent fréquemment d'une plainte de patient. Un cabinet en règle est aussi un cabinet qui répond vite et correctement à une demande d'accès.
Quelle base légale ? Soins, obligation légale et consentement
Beaucoup de praticiens croient qu'il faut le consentement du patient pour tout. C'est inexact, et même contre-productif.
La tenue du dossier médical répond à une obligation légale et à la nécessité des soins. Le patient ne peut donc pas, par principe, s'opposer à ce traitement : vous n'avez pas à recueillir son consentement pour soigner et documenter. C'est le régime de l'article 9.2.h combiné à vos obligations déontologiques.
Le consentement redevient nécessaire pour tout ce qui sort du soin : envoi d'une newsletter, rappels commerciaux, dépôt de cookies marketing sur votre site, partage avec un tiers non impliqué dans la prise en charge. Distinguer clairement ces deux univers est l'un des premiers réflexes de conformité.
RGPD et secret médical : deux obligations complémentaires
Le RGPD ne remplace pas le secret médical, il s'y ajoute. Le secret médical protège la confidentialité de l'information ; le RGPD encadre la manière dont vous collectez, stockez et sécurisez les données. Les deux s'appliquent en même temps.
En pratique, tout prestataire ayant accès à des données de patients — éditeur de logiciel, secrétariat externalisé, hébergeur — doit être encadré par un contrat de sous-traitance et tenu à la confidentialité. Ce n'est pas une option.
Cela concerne aussi vos durées de conservation. Un dossier médical se conserve selon des durées précises, puis doit être archivé ou supprimé. Nous détaillons ces règles dans notre guide des durées de conservation des données selon le RGPD.
Hébergement des données de santé : la certification HDS
Dès que des données de santé sont hébergées chez un prestataire externe, la loi impose que cet hébergeur soit certifié HDS (Hébergeur de Données de Santé). Cette certification, fondée sur la norme ISO 27001 et complétée d'exigences propres au secteur, garantit un niveau de sécurité renforcé.
Point clé : c'est votre prestataire qui doit être certifié, pas vous. Si vous stockez les données uniquement sur votre propre poste, sans tiers, la certification HDS ne vous concerne pas — mais le RGPD et les règles de sécurité de la CNIL, si.
En revanche, dès que vous utilisez un logiciel métier en cloud, un outil de prise de rendez-vous en ligne ou une solution de téléconsultation, vous devez vérifier que le fournisseur est bien certifié HDS. C'est l'un des premiers points que nous contrôlons lors d'un audit de conformité RGPD de votre site.
Registre, AIPD et DPO : vos formalités obligatoires
Le registre des activités de traitement est obligatoire pour tout professionnel de santé, sans exception de taille : la dispense prévue pour les petites structures ne s'applique pas dès lors que l'on traite des données sensibles. Vous pouvez le constituer facilement avec notre générateur de registre des traitements.
L'analyse d'impact (AIPD) devient obligatoire lorsque les données de santé sont traitées à grande échelle : maison de santé, centre de santé, réseau de praticiens, dossiers largement partagés. Un praticien isolé n'est en général pas concerné par ce critère, mais l'AIPD reste recommandée pour les traitements à risque, comme la téléconsultation.
La désignation d'un délégué à la protection des données (DPO) suit la même logique : obligatoire en cas de traitement à grande échelle, facultative mais souvent utile pour un cabinet individuel. Notre article sur le DPO obligatoire ou non pour une TPE/PME vous aide à trancher.
Prise de rendez-vous, formulaires et téléconsultation : les points à auditer
Votre site web est un point de collecte à part entière. Un formulaire de contact qui demande un motif de consultation collecte déjà une donnée de santé. Il doit être chiffré (HTTPS), minimal et accompagné d'une information claire.
Les modules de prise de rendez-vous, de paiement ou de téléconsultation intègrent souvent des traceurs et des scripts tiers. Bandeau cookies conforme, mentions légales, politique de confidentialité et base légale de chaque collecte doivent être en place et vérifiables.
Le plus simple est de partir d'un état des lieux. Notre audit RGPD gratuit analyse votre site en quelques minutes et pointe les écarts prioritaires : traceurs non consentis, formulaires exposés, prestataires non conformes. Ce contenu est informatif et ne constitue pas un conseil juridique.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.