La fiche 13 du guide CNIL pour les SPST encadre la télésanté au travail et les outils numériques qui l’accompagnent. Elle exige un hébergement certifié, un consentement du salarié à l’acte à distance et une maîtrise des sous-traitants.
En octobre, une grande plateforme de prise de rendez-vous et de téléconsultation a annoncé un assistant de consultation qui transcrit les échanges, déjà utilisé pour plus de douze millions de consultations. Les éditeurs de logiciels métiers des SPST présentent de leur côté des visites assistées par la voix. Ces fonctions arrivent dans les services.
Ce qui change
Les fonctions présentées par les éditeurs reposent sur trois éléments : une écoute déclenchée à la demande du professionnel, un compte rendu soumis à sa validation, et une codification suggérée. L’enregistrement porte sur un échange qui contient, par nature, des données de santé.
Le guide de la HAS et de la CNIL sur le bon usage des systèmes d’intelligence artificielle en contexte de soins, mis en consultation en mars 2026, n’est pas publié. Sa présentation est annoncée à l’Université d’automne de la HAS le 20 novembre.
Sous l’angle du RGPD, l’assistant ajoute un traitement au dossier : la captation de la voix, sa transcription par un service souvent externalisé, la conservation éventuelle de l’enregistrement et la réutilisation possible des données pour améliorer le modèle. Chacun de ces points doit être encadré.
Ce que cela implique pour un SPST
Un assistant qui écoute la visite est un traitement de données de santé à part entière. Il relève de la même analyse que la télésanté : hébergement certifié, consentement, sous-traitance, absence de réutilisation pour l’apprentissage sans clause.
- La fonction ne s’active pas sans inscription au registre, information du salarié et clause contractuelle sur l’usage des enregistrements.
- Le salarié doit être informé avant le début de l’écoute et pouvoir s’y opposer. Le professionnel doit pouvoir mener la visite sans l’assistant.
- Le service doit savoir où la transcription est réalisée, par quel prestataire, et si l’enregistrement audio est conservé après la production du compte rendu. Le plus souvent, il doit être supprimé dès la validation.
- La clause sur l’apprentissage des modèles doit être explicite. À défaut, les échanges des salariés suivis pourraient servir à entraîner l’outil.
- Le compte rendu validé par le professionnel entre dans le dossier. La suggestion de codification reste une proposition : le professionnel en répond.
- Une analyse d’impact est probablement nécessaire, s’agissant d’un usage innovant sur des données de santé à grande échelle.
Le guide HAS-CNIL pourra servir de grille d’évaluation dès sa publication. Les services qui envisagent un déploiement peuvent préparer le dossier dès maintenant.
Comment le traiter dans DPO SUITE
Créez dans le registre des traitements une fiche « Assistance vocale à la visite », rattachée au dossier médical. Renseignez la finalité, la base légale, les catégories de données (voix, transcription, compte rendu), les destinataires, la durée de conservation de l’audio et les mesures de sécurité. Laissez-la en brouillon tant que les clauses ne sont pas obtenues.
Dans le registre des logiciels, rattachez la fonction au logiciel métier ; dans le registre des sous-traitants, inscrivez le prestataire de transcription comme sous-traitant ultérieur de l’éditeur, avec sa localisation cloud. Lancez un audit par questionnaire sur l’hébergement, la conservation de l’audio et la clause d’apprentissage.
Dans le registre des délais de conservation, qualifiez le document « Enregistrement audio de la visite » avec un délai très court. Ouvrez une session AIPD sur la fonction et inscrivez au plan d’actions l’intégration du guide HAS-CNIL dès sa publication.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 9.2.h, 13, 28 et 35 du RGPD, texte sur cnil.fr
- Décret n° 2022-679 du 26 avril 2022 ; article R. 4624-45-4 du code du travail
- Projet de guide HAS-CNIL sur l’IA en contexte de soins (mars 2026, version finale attendue)
- Guide CNIL SPST, fiche 13
