La fiche 13 du guide CNIL pour les SPST encadre la télésanté au travail : téléconsultations, téléexpertises et outils associés. Le cadre réglementaire, fixé par le décret n° 2022-679 du 26 avril 2022, n’a pas changé. Le consentement du salarié à l’acte à distance figure parmi les éléments du dossier (article R. 4624-45-4 du code du travail).
Les outils, eux, évoluent. Le 13 octobre 2026, un fabricant américain de processeurs est entré au capital d’une plateforme française de prise de rendez-vous et de téléconsultation très répandue. L’opération pose la question de l’accès extraterritorial aux données de santé.
Ce qui change
L’investisseur est entré comme actionnaire minoritaire, sans siège au conseil. La plateforme affirme que les données et les modèles restent hébergés en Europe, sans accès de l’investisseur. Un député a interrogé le Gouvernement le 15 octobre sur la dépendance technologique et l’accès extraterritorial aux données de santé (question écrite à l’Assemblée nationale).
Par ailleurs, une revendication publiée le 13 octobre vise une autre plateforme de téléconsultation, avec environ 369 000 messages échangés entre des personnes et leurs médecins. Elle n’est pas confirmée par l’éditeur.
Sous l’angle du RGPD, un changement dans la chaîne de contrôle d’un sous-traitant ne modifie pas en lui-même le contrat. Il peut en revanche exposer les données à des lois étrangères à portée extraterritoriale et modifier l’appréciation des garanties suffisantes exigées par l’article 28.
Ce que cela implique pour un SPST
Un service qui utilise une plateforme de téléconsultation ou de prise de rendez-vous doit connaître la chaîne de contrôle de son éditeur et la réévaluer à chaque changement significatif. La démarche suivie en octobre par plusieurs services face à un éditeur de logiciel métier passé sous le contrôle d’un fonds américain peut servir de modèle.
- Le service écrit à l’éditeur pour demander une réévaluation : chaîne de contrôle, lois à portée extraterritoriale applicables, localisation des données et des accès d’administration, sous-traitants ultérieurs, garanties contractuelles.
- Il vérifie que l’hébergement est certifié HDS et que la certification couvre l’ensemble des données de téléconsultation, y compris les messages et les documents échangés.
- Il examine la clause relative à l’usage des données pour l’apprentissage de modèles d’intelligence artificielle. En l’absence de clause, rien n’interdit contractuellement cette réutilisation.
- Il s’assure que le consentement du salarié à l’acte à distance est consigné dans le dossier.
- Il prévoit une procédure en cas de violation chez l’éditeur, avec un délai d’information contractuel.
Une participation minoritaire sans siège au conseil ne permet de présumer ni un risque ni son absence. Une question écrite et une réponse documentée tranchent le point.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des sous-traitants la fiche de l’éditeur de la plateforme. Mettez à jour la localisation cloud, la liste des sous-traitants ultérieurs et les contacts. Lancez un audit par questionnaire portant sur la chaîne de contrôle, les lois extraterritoriales applicables, l’hébergement certifié et la clause d’apprentissage. Les réponses se rattachent à la fiche.
Dans le registre des logiciels, vérifiez que la plateforme est rattachée aux traitements de téléconsultation et de prise de rendez-vous. Dans le registre des traitements, ouvrez la fiche de la télésanté au travail et mettez à jour les transferts éventuels et les mesures de sécurité, puis soumettez-la à validation.
Si la réponse de l’éditeur est incomplète ou si aucune clause ne couvre l’apprentissage, créez une non-conformité et une action corrective « Avenant contractuel ». Créez enfin une tâche de suivi de la réponse du Gouvernement à la question écrite.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 28 et 44 du RGPD
- Décret n° 2022-679 du 26 avril 2022 ; articles L. 4624-1 et R. 4624-45-4 du code du travail, legifrance.gouv.fr
- Question écrite du 15 octobre 2026 (Assemblée nationale)
- Guide CNIL SPST, fiche 13
