Les données de santé dans le RGPD
Le RGPD définit les données concernant la santé comme celles relatives à la santé physique ou mentale d’une personne, y compris la prestation de services de soins, qui révèlent des informations sur son état de santé. Un simple rendez-vous chez un kinésithérapeute peut donc en être une.
Leur traitement est interdit par principe (article 9), sauf exceptions. Parmi elles : la nécessité aux fins de la médecine préventive, des diagnostics médicaux ou de la prise en charge sanitaire, sous la responsabilité d’un professionnel soumis au secret.
Responsable de traitement ou sous-traitant ?
| Acteur | Rôle habituel | Conséquence |
|---|---|---|
| Professionnel ou établissement de santé | Responsable de traitement | Il détermine pourquoi et comment les données de ses patients sont traitées. |
| Éditeur d’un logiciel en ligne | Sous-traitant | Il agit sur instruction, sous un contrat conforme à l’article 28. |
| Hébergeur de l’éditeur | Sous-traitant ultérieur | Il offre des garanties équivalentes, avec l’autorisation préalable du responsable de traitement. |
Les obligations à mettre en œuvre
- Tenir un registre des traitements (article 30), y compris en tant que sous-traitant.
- Réaliser une analyse d’impact (AIPD) lorsque le traitement est susceptible d’engendrer un risque élevé, ce qui est généralement le cas des données de santé traitées à grande échelle.
- Désigner un délégué à la protection des données lorsque l’activité de base consiste à traiter des données de santé à grande échelle (article 37).
- Garantir une sécurité adaptée au risque : chiffrement, contrôle des accès, traçabilité, sauvegardes (article 32).
- Notifier les violations à la CNIL dans les 72 heures lorsqu’elles présentent un risque (article 33) ; un sous-traitant en informe le responsable de traitement sans délai.
- Permettre l’exercice des droits des personnes : accès, rectification, portabilité, effacement dans les limites des obligations de conservation.
La CNIL publie des référentiels sectoriels, dont un référentiel pour la gestion des cabinets médicaux et paramédicaux, qui précisent ces obligations et les durées de conservation.
La protection des données dès la conception
- MinimiserNe collecter et n’échanger que les données nécessaires à chaque usage.
- CloisonnerChaque professionnel n’accède qu’aux patients qu’il suit.
- TracerJournaliser les accès, et pouvoir les restituer au patient.
- Rendre les autorisations réversiblesUne autorisation explicite à l’octroi, et un retrait aussi simple que l’octroi.
RGPD et Thérapéo Connect
Chaque intégration Thérapéo Connect agit au nom d’un praticien qui l’a autorisée, et n’accède qu’aux patients qu’il suit déjà. Chaque appel est journalisé, et un accord de traitement des données encadre la relation. Thérapéo ne revend aucune donnée de santé et ne les utilise pas à des fins publicitaires.
Sur l’hébergement, lire la page consacrée à l’HDS ; sur la sécurité des échanges, la sécurité des API de santé.
Statut chez Thérapéo Connect
Ce qui est disponible aujourd’hui, et ce qui ne l’est pas encore.
Questions fréquentes
Quelles obligations RGPD pour un éditeur de logiciel de santé ?
Le plus souvent sous-traitant de ses clients, l’éditeur agit sur instruction et sous contrat (article 28), tient un registre, assure une sécurité adaptée, aide ses clients pour les analyses d’impact et l’exercice des droits, et signale sans délai toute violation de données.
Le consentement du patient est-il toujours nécessaire ?
Non. La prise en charge sanitaire est une exception prévue par l’article 9 du RGPD, sans consentement. D’autres règles s’ajoutent selon les cas, comme les conditions d’accès des professionnels au dossier partagé ou l’information du patient sur l’hébergement de ses données.
Une AIPD est-elle obligatoire pour un logiciel de santé ?
Elle l’est lorsque le traitement est susceptible d’engendrer un risque élevé pour les personnes, ce qui est généralement le cas des données de santé traitées à grande échelle. La CNIL publie la liste des traitements pour lesquels elle est requise.
