Qu’est-ce qu’une donnée de santé au sens du RGPD
Le RGPD définit les données de santé comme toute information relative à la santé physique ou mentale d’une personne, y compris les prestations de soins, qui révèle des informations sur son état de santé. Cette définition, volontairement large, englobe un périmètre bien plus étendu que les seules informations médicales au sens strict. Comprendre ce qui constitue une donnée de santé est essentiel pour tout organisme qui manipule ces informations, car elles bénéficient d’un régime de protection renforce.
Le considérant 35 du RGPD précise que les données de santé incluent les informations collectées lors de l’inscription en vue de bénéficier de services de soins, les numéros d’identification de santé, les résultats d’examens médicaux, et toute information sur une maladie, un handicap, un risque de maladie, les antécédents médicaux ou l’état physiologique du patient.
Les différentes catégories de données de santé
Les données médicales directes
Il s’agit des informations contenues dans le dossier médical du patient : diagnostics, prescriptions, résultats d’analyses biologiques, comptes rendus d’imagerie, protocoles de soins, comptes rendus opératoires. Ces données sont les plus évidentes et les plus protégées. Elles sont collectées par les professionnels de santé dans le cadre de la prise en charge du patient.
Les données de santé par croisement
Certaines données deviennent des données de santé par croisement avec d’autres informations. Par exemple, le nombre de pas d’une personne mesuré par un bracelet connecté ne constitue pas en soi une donnée de santé. Mais croisé avec l’âge et le poids de la personne, il peut révéler des informations sur son état de santé. De même, les données de fréquentation d’un établissement de santé peuvent révéler l’état de santé d’une personne.
Les données génétiques et biométriques
Le RGPD accorde une protection particulière aux données génétiques (ADN, caryotype, tests de prédisposition) et aux données biométriques utilisées à des fins d’identification (empreintes digitales, reconnaissance faciale dans un contexte médical). Ces données sont par nature irréversibles : contrairement à un mot de passe, on ne peut pas « changer » son ADN. Leur traitement est soumis à des conditions encore plus strictes.
Le régime de protection renforce des données de santé
L’article 9 du RGPD pose un principe d’interdiction du traitement des données de santé, sauf exceptions limitativement énumérées. Parmi ces exceptions figurent le consentement explicite de la personne, la nécessité pour les soins de santé, l’intérêt public dans le domaine de la santé publique, et la recherche scientifique sous conditions. Le professionnel de santé est autorisé à traiter ces données dans le cadre de la prise en charge du patient, mais il doit respecter le secret médical et les obligations de sécurité renforcées.
Le responsable de traitement doit mettre en oeuvre des mesures techniques et organisationnelles appropriées : chiffrement des données, contrôle d’accès strict, journalisation des accès, pseudonymisation lorsque c’est possible. L’hébergement de ces données doit être réalisé par un hébergeur certifié HDS (Hébergeur de Données de Santé) dès lors qu’il est externalise. Toute violation de données de santé doit être notifiée à la CNIL dans les 72 heures.
Les obligations spécifiques pour les professionnels de santé
Les professionnels de santé doivent informer leurs patients de manière claire et complète sur les traitements de leurs données : finalités, destinataires, durée de conservation, droits des patients. Cette information doit être fournie lors de la première consultation ou avant tout traitement de données. Elle peut prendre la forme d’un document affiche en salle d’attente, d’une notice remise au patient ou d’une mention sur le site internet du professionnel.
La durée de conservation des données de santé est encadrée par des textes spécifiques. Le dossier médical doit être conservé pendant 20 ans à compter du dernier passage du patient dans l’établissement, ou jusqu à la date à laquelle le patient aurait atteint 28 ans si cette durée est supérieure. Les ordonnances et résultats d’examens en cabinet libéral suivent des règles similaires mais adaptées au contexte d’exercice.
Les sanctions en cas de non-respect
Les violations liées aux données de santé font l’objet d’une attention particulière de la CNIL. Les sanctions peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les infractions les plus graves. En 2020, deux médecins libéraux ont été sanctionnés pour défaut de sécurisation des images médicales de leurs patients, accessibles en ligne sans protection. En 2022, la CNIL a sanctionné Dedalus Biologie pour une fuite massive de données médicales concernant près de 500 000 patients.
Au-delà des sanctions de la CNIL, les violations du secret médical sont passibles de sanctions pénales : un an d’emprisonnement et 15 000 euros d’amende. Le professionnel de santé peut également voir sa responsabilité civile engagée par les patients victimes d’une fuite de données. L’Ordre des médecins peut par ailleurs prononcer des sanctions disciplinaires en cas de manquement aux règles déontologiques liées à la confidentialité.
Les bonnes pratiques pour protéger les données de santé
Pour assurer la conformité, les organismes traitant des données de santé doivent adopter plusieurs réflexes. Tenir un registre des traitements exhaustif et à jour. Réaliser une analyse d’impact (AIPD) pour tout nouveau traitement de données de santé à grande échelle. Choisir un hébergeur certifié HDS pour l’externalisation. Former régulièrement le personnel aux bonnes pratiques de confidentialité. Mettre en place une procédure de gestion des violations de données. Désigner un DPO compétent et lui donner les moyens d’exercer ses missions.
Article rédigé par Laurent de Cavel, DPO. Pour toute question sur la protection des données de santé, contactez notre équipe sur dpo-france.com.
