Un établissement de santé ou médico-social traite chaque jour des données que le RGPD classe parmi les plus sensibles : diagnostics, traitements, comptes rendus, résultats d’examens. Hôpital public, clinique, GHT, EHPAD, ESSMS, centre de santé ou laboratoire, tous doivent désigner un délégué à la protection des données et pouvoir prouver, à tout moment, que ces données sont protégées.
Le DPO est obligatoire dans le secteur de la santé
L’article 37 du RGPD impose un délégué à la protection des données dans deux situations qui couvrent presque tout le secteur.
- Les établissements publics : hôpitaux, EHPAD publics, centres hospitaliers et groupements hospitaliers de territoire relèvent de l’obligation qui vise toute autorité ou organisme public.
- Les établissements privés : une clinique, un EHPAD privé, un centre de santé ou un laboratoire traite des données de santé à grande échelle dans le cadre de son activité principale. La désignation est alors obligatoire.
Un cabinet médical individuel n’est en général pas tenu de désigner un DPO, sauf s’il traite des volumes importants. Les obligations du RGPD s’appliquent néanmoins pleinement : registre, information des patients, sécurité, gestion des droits.
Ce que le RGPD exige d’un établissement de santé
Un registre des traitements complet
Dossier patient informatisé, prise de rendez-vous, facturation, imagerie, gestion du personnel, vidéoprotection, recherche : chaque traitement figure au registre avec sa finalité, sa base légale, ses destinataires et sa durée de conservation. Le dossier médical d’un établissement se conserve en règle générale vingt ans à compter du dernier séjour ou de la dernière consultation.
Des analyses d’impact sur les traitements à risque
Le traitement à grande échelle de données de santé figure parmi les cas où l’analyse d’impact relative à la protection des données (AIPD) est requise. Un nouveau dossier patient, un outil de télésurveillance, un logiciel d’aide à la décision fondé sur l’IA ou un entrepôt de données de santé appellent chacun une AIPD avant leur mise en service.
Un hébergeur certifié HDS
Lorsque les données de santé sont confiées à un prestataire extérieur, celui-ci doit être certifié hébergeur de données de santé (HDS). Le contrat de sous-traitance doit aussi respecter l’article 28 du RGPD. Ce contrôle s’applique au dossier patient, à la messagerie, aux sauvegardes et aux outils en ligne utilisés par les équipes.
Une politique de sécurité alignée sur la PGSSI-S
La politique générale de sécurité des systèmes d’information de santé (PGSSI-S), publiée par l’Agence du numérique en santé, fixe les règles d’identification, d’authentification et d’imputabilité attendues dans le secteur. Elle sert de base pour démontrer que les mesures de sécurité exigées par l’article 32 du RGPD sont adaptées aux données de santé.
Des accès maîtrisés et tracés
Le secret professionnel encadre qui peut consulter quoi. Les habilitations suivent les fonctions, les accès au dossier patient sont tracés et les traces sont réellement contrôlées. Les consultations injustifiées de dossiers, y compris par du personnel, sont une source fréquente de plaintes.
Une procédure en cas d’incident
Une violation de données présentant un risque doit être notifiée à la CNIL dans les 72 heures. Les incidents graves de sécurité des systèmes d’information sont en outre à signaler sur le portail de signalement des événements sanitaires indésirables : l’ARS et le CERT Santé de l’Agence du numérique en santé prennent alors le relais. Les cyberattaques contre les hôpitaux et les cliniques ont montré qu’une procédure écrite et testée fait gagner des heures décisives.
RGPD et HAS : la protection des données entre dans l’évaluation
La conformité RGPD n’est plus un sujet à part. La Haute Autorité de santé examine la protection des données lors de l’évaluation des ESSMS comme lors de la certification des établissements de santé.
Évaluation de la qualité des ESSMS
Le référentiel d’évaluation de la qualité des établissements et services sociaux et médico-sociaux, publié par la HAS en mars 2022 et actualisé en juillet 2025, consacre plusieurs critères aux données des personnes accompagnées :
- information de la personne et accès à son dossier (critères 1.2.2 et 1.2.4) ;
- traçabilité du consentement (critère 1.7.4) ;
- respect de la vie privée et du droit à l’image (critères 2.2.3 et 2.2.5) ;
- confidentialité et protection des données personnelles, avec un renvoi explicite à l’article 5 du RGPD (critère 2.2.7) ;
- partage d’informations entre professionnels (critère 2.10.1) ;
- sécurisation des données, des dossiers et des accès (critère 2.10.2) ;
- stratégie numérique et sécurité du système d’information (critère 3.15.2).
Le jour de la visite, l’évaluateur attend des preuves : registre des traitements, notice d’information remise à la personne accompagnée, matrice des habilitations, procédure de demande d’accès au dossier, autorisations de droit à l’image, durées de conservation. Un ESSMS qui a documenté sa conformité RGPD dispose déjà de ces pièces.
Certification des établissements de santé
Pour les hôpitaux et les cliniques, la certification HAS examine le respect des droits du patient, notamment la confidentialité des informations qui le concernent et son accès au dossier, ainsi que la sécurité du système d’information. Le registre, la traçabilité des accès au dossier patient informatisé, le traitement des demandes d’accès et la gestion des incidents constituent autant de preuves directement mobilisables.
DPO PARTAGE a conçu une grille d’auto-évaluation RGPD qui renvoie, thème par thème, aux critères HAS concernés. Utilisée quelques mois avant la visite, elle fait apparaître les pièces manquantes et donne un plan d’action priorisé.
Hôpital, GHT, clinique, ESSMS, centre de santé : des enjeux propres
À l’hôpital et dans les GHT, la convergence des systèmes d’information pose la question de la répartition des responsabilités entre l’établissement support et les établissements parties. Le département d’information médicale (DIM), le dossier patient informatisé (DPI) partagé et les projets d’entrepôt de données de santé demandent une gouvernance claire. Un DPO commun au groupement est possible s’il reste joignable par chaque établissement.
En clinique, les relations avec les praticiens libéraux, les laboratoires et les éditeurs de logiciels multiplient les sous-traitants à encadrer.
En EHPAD et dans les ESSMS (résidences autonomie, SSIAD, SAAD, IME, ESAT, MAS, FAM, CAMSP, CHRS), le dossier de l’usager rassemble des informations sociales, éducatives et médicales. Les données des personnes accompagnées se mêlent à celles des familles, des tuteurs et des intervenants extérieurs. La vidéoprotection, le droit à l’image et le partage d’informations entre équipes soignantes et sociales demandent des règles précises.
En centre de santé et en maison de santé, le partage du dossier entre professionnels d’exercice coordonné doit reposer sur une information claire des patients.
Notre accompagnement des établissements de santé
DPO PARTAGE intervient comme DPO externalisé auprès d’acteurs de santé depuis 2018 : services de prévention et de santé au travail, organismes agréés par la HAS, établissements de soins et structures médico-sociales. La mission comprend :
- l’audit de conformité initial et le plan d’action priorisé ;
- la tenue du registre et la conduite des analyses d’impact ;
- la revue des contrats avec les éditeurs et les hébergeurs ;
- la gestion des demandes d’accès au dossier et des incidents ;
- la sensibilisation des équipes et le rapport annuel du DPO.
Le pilotage se fait dans DPO SUITE, notre application de conformité RGPD : registre, AIPD, sous-traitants, demandes de droits et incidents réunis dans un même espace, partagé avec la direction et les référents de l’établissement.
Questions fréquentes
Le RGPD est-il vérifié lors de l’évaluation HAS d’un ESSMS ?
Oui. Plusieurs critères du référentiel d’évaluation portent sur la confidentialité, l’accès au dossier, le consentement, le droit à l’image et la sécurité des données. L’évaluateur demande les pièces qui le démontrent.
Un EHPAD privé doit-il désigner un DPO ?
Oui dans la grande majorité des cas, car le suivi des résidents implique un traitement de données de santé à grande échelle.
Le DPO d’un hôpital peut-il être externe ?
Oui. Le RGPD autorise un DPO agent de l’établissement ou un prestataire lié par un contrat de service.
Faut-il le consentement du patient pour tenir son dossier ?
Non. La tenue du dossier médical repose sur les obligations du code de la santé publique et sur la mission de soins. Le patient doit en revanche être informé de l’usage de ses données et de ses droits.
Combien de temps conserver le dossier médical ?
En établissement de santé, vingt ans à compter du dernier séjour ou de la dernière consultation, avec des règles particulières pour les mineurs.
Vous dirigez un établissement de santé ou une structure médico-sociale ? Demandez un échange avec un DPO spécialisé santé ou découvrez DPO SUITE en démonstration.
