Santé & RGPD : protéger les données sensibles des patients

De quoi parle RGPD ?

Le RGPD range les données de santé parmi les catégories particulières de l’article 9, dont le traitement est prohibé sauf exception. Les données concernées incluent l’état de santé physique et mental, mais aussi des données déduites (résultats, prescriptions).

En France, la protection est renforcée par l’obligation de recourir à un hébergeur de données de santé certifié (HDS) et par le rôle de la CNIL, particulièrement vigilante sur ce secteur.

Le secteur « Santé » est-il concerné ?

Établissements, professionnels, éditeurs de logiciels de santé et prestataires manipulant des données de santé sont tous concernés, sans seuil. La sensibilité des données déclenche des exigences supérieures à celles d’un traitement courant.

Les acteurs qui pensent n’héberger « que » des données administratives doivent vérifier : dès qu’une donnée révèle l’état de santé, même indirectement, le régime renforcé s’applique.

Obligations détaillées

Sanctions & risques

Les amendes peuvent atteindre 20 M€ ou 4 % du chiffre d’affaires mondial. La CNIL exerce une vigilance accrue sur les données de santé et sanctionne les défauts de sécurité et d’hébergement.

Une fuite de données de santé entraîne un préjudice majeur pour les personnes et un risque réputationnel lourd pour l’acteur concerné.

Erreurs fréquentes dans le secteur

• 1Traitement sans exception. Traiter des données de santé sans exception valable de l’article 9.
• 2Absence d’AIPD. Omettre l’analyse d’impact pourtant quasi systématique.
• 3Hébergement non HDS. Stocker des données de santé chez un hébergeur non certifié.
• 4Accès non tracés. Ne pas journaliser les accès aux dossiers, empêchant toute détection d’usage anormal.

Cas pratique

Une structure de soins déploie une application de suivi patient hébergée chez un prestataire non certifié HDS, sans AIPD. Un contrôle relève les deux manquements. La régularisation passe par la migration vers un hébergeur HDS, la réalisation de l’AIPD et la mise en place de la journalisation des accès — trois exigences qui conditionnent la légalité du dispositif.

Feuille de route de mise en conformité

1. 1

   Cartographier. Recenser les traitements de données de santé et leur localisation.

2. 2

   Qualifier la base légale. Vérifier l’exception mobilisée pour chaque traitement.

3. 3

   Réaliser les AIPD. Conduire les analyses d’impact nécessaires.

4. 4

   Contractualiser l’HDS. Recourir à un hébergeur certifié et formaliser le DPA.

5. 5

   Sécuriser les accès. Renforcer habilitations, chiffrement et journalisation.

Questions fréquentes