Un établissement de santé, un SPST ou une structure médico-sociale qui cherche un logiciel RGPD voit vite des démonstrations qui se ressemblent : tableaux de bord, registre prérempli, modèles de documents. La différence se joue sur ce que l’outil permet de démontrer à la CNIL, sur sa façon de traiter les données de santé et sur ce que vous récupérerez le jour où vous en changerez.
Ce guide est écrit par un DPO qui accompagne depuis 2018 des services de santé au travail et des établissements sanitaires et médico-sociaux, et qui a conçu son propre outil, DPO Suite. Nous avons donc un intérêt, autant le dire. Les critères qui suivent sont ceux que nous appliquerions à n’importe quel éditeur, y compris au nôtre.
Ce qu’un logiciel RGPD doit couvrir dans une structure de santé
Un registre de l’article 30 qui tient sur la durée
Le registre reprend, pour chaque traitement, les finalités, les catégories de personnes et de données, les destinataires dont les sous-traitants, les transferts hors de l’Union européenne, les durées de conservation et les mesures de sécurité. Le format est libre, mais il doit pouvoir être communiqué à la CNIL sur demande, et un établissement public doit aussi le communiquer à toute personne qui le demande, informations sensibles occultées.
En démonstration, cherchez des fiches qui relient chaque traitement à ses logiciels, sous-traitants et durées : un changement de prestataire doit se répercuter partout sans reprise manuelle.
Des AIPD adaptées aux traitements à risque
La CNIL retient neuf critères et considère qu’un traitement qui en réunit au moins deux doit en principe faire l’objet d’une AIPD. Les données de santé relèvent du critère des données sensibles, les patients de celui des personnes vulnérables : un dossier patient ou une téléconsultation cochent souvent deux cases d’emblée. Le logiciel doit documenter risques, mesures et plan d’action, puis permettre de rouvrir l’analyse quand le traitement évolue. Sur ce seul module, voyez notre guide pour choisir un logiciel AIPD.
Les violations et leur registre interne
Toute violation doit être documentée en interne, notifiée ou non. La notification à la CNIL, quand elle est due, intervient dans les meilleurs délais et si possible sous 72 heures ; les personnes sont informées si le risque est élevé. Un bon module garde la chronologie, la qualification du risque et la justification de la décision de notifier ou non, la pièce qui manque le plus souvent quand on relit le dossier des mois plus tard.
Les demandes de droits, avec les délais propres à la santé
Le délai général de réponse à une demande d’accès est d’un mois, prolongeable de deux mois pour une demande complexe, en prévenant la personne. Pour les données de santé, la CNIL rappelle un délai de huit jours au plus. Vérifiez que l’outil applique le délai selon le type de demande.
Les sous-traitants, les preuves et les durées de conservation
Le contrat de chaque sous-traitant doit reprendre l’article 28 du RGPD et prévoir la restitution et la destruction des données en fin de contrat. L’outil garde ces contrats, les certifications fournies et leur périmètre. Il doit aussi rendre les durées de conservation vérifiables : une durée écrite dans le registre ne dit pas si la purge a eu lieu. Enfin, chaque validation, clôture ou décision doit être datée et attribuée, car ces traces seront vos pièces lors d’un audit.
Données de santé et hébergement HDS : ce que contient réellement un registre
Un registre décrit les traitements sans contenir les données des patients
Pour la CNIL, les données de santé sont celles relatives à la santé physique ou mentale, y compris celles qui permettent d’en déduire un état de santé. Elles relèvent du régime renforcé de l’article 9 du RGPD. Une fiche de registre qui indique « catégories de données : données de santé » décrit un traitement sans contenir la santé de personne. Un registre ou une AIPD bien tenus ne renferment en principe aucune donnée de santé identifiable.
Quand la certification HDS devient nécessaire
Selon la CNIL, les données de santé recueillies lors d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, quand un prestataire les héberge, doivent l’être par un hébergeur certifié au titre de l’article L.1111-8 du code de la santé publique . Pour un logiciel RGPD, le risque est dans les modules périphériques : courrier de patient joint à une demande d’accès, extrait de dossier annexé à une violation, compte rendu glissé dans un commentaire.
Deux réponses tiennent. Soit l’outil est hébergé chez un hébergeur certifié et ces pièces peuvent y exister. Soit il ne l’est pas, et une règle écrite interdit d’y déposer des données de santé nominatives : les pièces restent dans le dossier patient, l’outil ne garde qu’une référence. L’absence de décision, elle, ne tient pas devant un contrôleur.
Localisation des données, transferts et accès à distance
La CNIL recommande de ne pas recourir à un service en nuage sans garantie sur la localisation effective des données, de vérifier les conditions des transferts hors de l’Union européenne et d’éloigner les sauvegardes du centre de données principal. Demandez aussi d’où le support se connecte et quels sous-traitants ultérieurs interviennent. Sur les accès depuis un pays tiers, lisez notre analyse de la HDS 2.1 et des accès depuis un pays tiers.
Réversibilité et traçabilité
La réversibilité se teste avant de signer : demandez un export complet, dans un format ouvert, avec les liens, les pièces et l’historique. Côté traçabilité, la CNIL recommande de journaliser créations, consultations, modifications et suppressions avec l’auteur, la date et l’heure, sur une période glissante de six mois à un an.
Les questions à poser à l’éditeur, et les réponses à attendre
Servez-vous de ce tableau comme grille d’entretien. Une réponse vague sur l’hébergement, la réversibilité et la traçabilité à la fois devrait vous arrêter.
| Critère | Question à poser à l’éditeur | Réponse attendue |
|---|---|---|
| Registre | Les fiches sont-elles reliées entre elles ? | Oui : un changement de sous-traitant se répercute sur les traitements liés, avec historique. |
| Métier santé | Proposez-vous des traitements types propres à notre secteur ? | Des modèles santé, SPST ou médico-social que vous ajustez, jamais un registre figé. |
| AIPD | Comment suivez-vous les critères de la CNIL et le plan d’action ? | Critères tracés, mesures documentées, actions datées et attribuées. |
| Violations | Où est consignée la décision de ne pas notifier ? | Dans la fiche de l’incident, avec la qualification du risque, l’auteur et la date. |
| Droits | Le délai s’adapte-t-il au type de demande ? | Oui, avec un délai court pour les données de santé et des alertes. |
| Sous-traitants | Peut-on stocker contrats, certifications et leur périmètre ? | Oui, avec une date de revue et une alerte à l’échéance. |
| Conservation | Comment prouver qu’une purge a été faite ? | Une trace datée de l’opération, rattachée au traitement concerné. |
| Hébergement | Êtes-vous hébergé chez un hébergeur certifié HDS, sur quel périmètre ? | Le certificat ; sinon, une consigne écrite sur les pièces à ne pas déposer. |
| Localisation | Où sont les données, les sauvegardes et le support ? | Pays précis, sous-traitants ultérieurs listés, garanties en cas de transfert. |
| Réversibilité | Pouvez-vous me montrer un export complet maintenant ? | Un export ouvert, lisible sans le logiciel, incluant pièces jointes et historique. |
| Traçabilité | Qui a modifié quoi, et pendant combien de temps le voit-on ? | Journal consultable par l’établissement, durée de conservation annoncée. |
Ce qu’un logiciel ne fera jamais à la place du DPO
Un logiciel range, relie, rappelle et date. Il ne qualifie aucune situation. Savoir si un échange entre un médecin du travail et un tiers est couvert par le secret, si un incident constitue une violation à notifier ou si une durée de conservation est justifiée suppose de connaître les textes du secteur et le terrain.
- Il ne trouve pas les traitements que personne n’a déclarés, comme le tableur partagé tenu par un service.
- Il ne répond pas à la CNIL, ni à un patient mécontent, ni à un salarié qui conteste un refus d’accès.
- Il ne forme pas les équipes, qui doivent savoir reconnaître une violation pour la signaler.
Voyez-le comme le support de travail du DPO et des référents, celui qui garde la mémoire quand les personnes changent. Pour situer ce rôle, consultez les obligations RGPD des établissements de santé et médico-sociaux.
Les pièges que l’on retrouve sur le terrain
L’outil rempli une fois, puis abandonné
Le scénario le plus courant : un prestataire remplit le registre à la mise en place, puis plus personne ne se connecte. Deux ans plus tard, logiciels et sous-traitants ont changé, et le registre décrit une organisation qui n’existe plus. Le signe visible : des dates de dernière modification toutes identiques. Triez vos fiches par date de modification : un registre vivant montre des mises à jour étalées et une revue annuelle tracée.
Le registre générique qui ignore le métier
Dans un service de santé au travail, nous avons repris un registre issu d’un modèle d’entreprise classique : paie, recrutement et vidéoprotection y étaient détaillés, mais le suivi individuel de l’état de santé des salariés tenait en une seule fiche. Un registre adapté découpe l’activité médicale selon ses finalités réelles. Les SPST trouveront notre méthode dans notre offre dédiée aux SPST.
Les zones de texte libre qui se remplissent de données sensibles
Dans plusieurs établissements, des fiches de violation ou de demande de droits contenaient le nom du patient, sa pathologie, parfois la copie du document en cause, parce que le champ « commentaire » s’y prêtait. Si l’outil n’est pas hébergé pour recevoir ces données, la règle doit être écrite et rappelée dans l’interface.
Un outil réservé au seul DPO
Quand seul le DPO a un compte, chaque mise à jour passe par lui. Les référents métier doivent pouvoir proposer une modification et le DPO la valider, ce qui montre aussi en audit que la conformité est portée par l’établissement.
Où se situent DPO Suite et l’outil PIA de la CNIL
L’outil PIA de la CNIL, pour les analyses d’impact
La CNIL met à disposition l’outil PIA, logiciel open source publié sous licence libre. Il déroule sa méthode étape par étape, s’installe sur un poste avec un stockage local ou se déploie en version web sur les serveurs de l’établissement. Il convient bien à une première AIPD ou à une petite structure, mais reste centré sur l’analyse d’impact : registre, violations, droits et sous-traitants se gèrent ailleurs.
DPO Suite, l’outil développé par DPO PARTAGE
DPO Suite est l’application de conformité que nous avons développée pour notre pratique de DPO à temps partagé. Conçue à partir de situations vécues en SPST et en établissement, elle couvre registres, violations, demandes de droits, sous-traitants, AIPD, ainsi que des audits AI Act et NIS2. Elle doit passer la même grille que les autres : posez-nous les questions du tableau sur l’hébergement, la localisation, la réversibilité et la traçabilité, et jugez sur pièces. Le détail figure dans la présentation détaillée des fonctionnalités de DPO Suite.
Quiz : êtes-vous prêt à évaluer un éditeur ?
Trois questions sur les points qui reviennent le plus en rendez-vous éditeur. Cliquez sur une proposition.
A. Oui, dans tous les cas.
B. Non : le registre décrit le traitement sans contenir les données des patients.
C. Seulement pour un établissement public.
A. 72 heures.
B. Un mois, prolongeable de deux mois pour une demande complexe.
C. Six mois.
A. Seulement celles notifiées à la CNIL.
B. Seulement celles qui touchent des données de santé.
C. Toutes, y compris celles qui ne sont pas notifiées.
Voir le barème de votre score
- 3 bonnes réponses : vous pouvez conduire l’entretien éditeur avec la grille ci-dessus.
- 2 : relisez la partie sur l’hébergement avant vos rendez-vous.
- 0 ou 1 : faites-vous accompagner par votre DPO pour rédiger le cahier des charges.
Sources
- Le registre des activités de traitement (CNIL)
- Ce qu’il faut savoir sur l’analyse d’impact relative à la protection des données (AIPD) (CNIL)
- Outil PIA : téléchargez et installez le logiciel de la CNIL (CNIL)
- Notifier une violation de données personnelles (CNIL)
- Professionnels : comment répondre à une demande de droit d’accès ? (CNIL)
- Qu’est-ce ce qu’une donnée de santé ? (CNIL)
- Sécurité : Cloud, informatique en nuage (CNIL)
- Sécurité : Gérer la sous-traitance (CNIL)
- Sécurité : Tracer les opérations (CNIL)
Questions fréquentes
Faut-il un hébergeur HDS pour un logiciel de registre RGPD ?
Non, pas pour le registre lui-même, car il décrit les traitements sans contenir les données de santé des personnes.
La question change si des pièces nominatives y sont déposées, comme un courrier de patient joint à une demande d’accès. Choisissez alors un hébergeur certifié, ou interdisez ce dépôt par écrit.
L’outil PIA de la CNIL suffit-il pour la conformité RGPD d’un établissement de santé ?
Il suffit pour réaliser et formaliser des analyses d’impact, mais il ne gère ni le registre, ni les violations, ni les demandes de droits, ni les sous-traitants.
C’est un bon point de départ, libre et open source, que l’on complète par un outil reliant les autres obligations.
Un tableur peut-il remplacer un logiciel de conformité RGPD ?
Oui pour une petite structure, puisque la CNIL accepte un registre sous toute forme écrite et propose elle-même un modèle de tableur.
Les limites viennent avec le volume : pas d’historique fiable, pas de liens entre traitements et sous-traitants, pas d’alertes sur les délais.
Un logiciel RGPD remplace-t-il le DPO ?
Non, le logiciel organise et conserve la documentation, mais il ne qualifie aucune situation.
Décider si un incident doit être notifié, si une durée de conservation est justifiée ou si un nouvel outil exige une AIPD reste le travail du DPO, avec les responsables métier.
Que devient notre registre si nous changeons de logiciel RGPD ?
Il doit pouvoir être exporté en totalité, dans un format lisible sans le logiciel d’origine, avec ses pièces jointes et son historique.
Faites tester cet export avant la signature et inscrivez dans le contrat la restitution puis la destruction des données en fin de contrat.