Comment les professionnels de santé doivent-ils appliquer le RGPD ?

Des données parmi les plus sensibles

Les données de santé sont définies largement par le RGPD : ce sont les données relatives à la santé physique ou mentale, passée, présente ou future, d'une personne, y compris la prestation de soins, qui révèlent des informations sur son état de santé. Elles font partie des catégories particulières de l'article 9, dont le traitement est en principe interdit. L'exception qui concerne les soignants est celle des finalités de médecine préventive, de diagnostic médical, de prise en charge sanitaire ou sociale, lorsque les données sont traitées par un professionnel soumis au secret professionnel ou sous sa responsabilité. S'y ajoutent les règles du Code de la santé publique, notamment sur le secret médical, le dossier patient et l'hébergement des données.

Ce qu'un cabinet doit mettre en place

La CNIL et l'Ordre des médecins ont publié un guide pratique et la CNIL un référentiel relatif aux traitements des cabinets médicaux et paramédicaux. Pour un professionnel exerçant seul ou en petit cabinet, les obligations essentielles sont la tenue d'un registre (dossiers patients, rendez-vous, facturation, gestion du personnel), l'information des patients, la sécurisation des données et l'encadrement des prestataires. La désignation d'un délégué à la protection des données n'est en général pas obligatoire pour un praticien libéral isolé, mais elle l'est pour les établissements de santé et les structures qui traitent des données de santé à grande échelle. L'analyse d'impact est requise pour les traitements à grande échelle, comme ceux d'un centre de santé important.

L'hébergement des données de santé

Lorsqu'un professionnel ou un établissement confie à un tiers l'hébergement de données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, cet hébergeur doit être certifié hébergeur de données de santé, dit HDS (article L. 1111-8 du Code de la santé publique). Cela concerne les logiciels de gestion de cabinet en ligne, les plateformes de prise de rendez-vous qui stockent des motifs de consultation, les solutions de téléconsultation et les sauvegardes externalisées. Il faut donc vérifier la certification du prestataire et la mentionner au contrat. La liste des hébergeurs certifiés est publiée par l'Agence du numérique en santé.

Le secret professionnel et le partage d'informations

Le secret professionnel, prévu à l'article L. 1110-4 du Code de la santé publique, s'applique à toutes les informations concernant le patient venues à la connaissance du professionnel. Les informations peuvent être échangées entre professionnels qui participent à la prise en charge d'un même patient, dans la mesure nécessaire, et le patient doit en être informé et peut s'y opposer. Les échanges doivent passer par des canaux sécurisés : messageries sécurisées de santé, et non messagerie personnelle ou messagerie instantanée grand public. Le secrétariat, qu'il soit interne ou externalisé, est tenu à la même confidentialité.

La durée de conservation des dossiers

Le Code de la santé publique fixe la durée de conservation des dossiers médicaux dans les établissements de santé à vingt ans à compter de la date du dernier séjour ou de la dernière consultation externe, avec des règles particulières pour les mineurs et en cas de décès. Pour les professionnels libéraux, aucune règle ne fixe précisément la durée, mais les recommandations ordinales et les délais de prescription de la responsabilité médicale conduisent en pratique à des durées comparables, souvent de vingt ans à compter de la dernière consultation. Les données de rendez-vous ou de facturation suivent des durées plus courtes.

Les droits des patients

Le patient peut accéder à son dossier médical selon les règles combinées du RGPD et de l'article L. 1111-7 du Code de la santé publique : la communication intervient au plus tard dans les huit jours suivant la demande, ou deux mois pour les informations datant de plus de cinq ans. La Cour de justice a jugé en 2023 que la première copie du dossier doit être gratuite. Le patient peut demander la rectification d'informations inexactes, mais le droit à l'effacement cède devant l'obligation de conservation du dossier. Le droit d'accès est détaillé dans le guide dédié au droit d'accès.

La sécurité du cabinet

Les cabinets sont des cibles fréquentes de rançongiciels et d'hameçonnage. L'Agence du numérique en santé et le CERT Santé proposent des fiches de sécurité adaptées. Les mesures de base sont l'utilisation de logiciels à jour, une authentification forte, notamment par carte de professionnel de santé ou application e-CPS, des sauvegardes chiffrées et déconnectées, le verrouillage automatique des postes, une procédure de signalement des incidents et la sensibilisation des secrétaires et remplaçants. Une violation de données de santé doit être notifiée à la CNIL et, pour les établissements, signalée aux autorités sanitaires selon les procédures prévues. Le guide de la sécurité des données rappelle les mesures communes à tous les organismes.

Les spécificités du secteur de la santé

Les professionnels de santé sont soumis à un double cadre : le RGPD et la loi Informatique et Libertés d'une part, le Code de la santé publique et les règles déontologiques d'autre part. Le traitement des données de santé des patients pour leur prise en charge repose sur l'article 9, paragraphe 2, h), du RGPD, qui autorise les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de la prise en charge sanitaire ou sociale, sous la responsabilité d'un professionnel soumis au secret. Le consentement du patient n'est donc pas la base légale de la tenue du dossier médical, mais son information est obligatoire. Le secret médical, protégé par l'article L. 1110-4 du Code de la santé publique et sanctionné pénalement, renforce les obligations de confidentialité. Les professionnels de santé libéraux exerçant à titre individuel ne sont en principe pas tenus de désigner un délégué, sauf traitement à grande échelle.

Le référentiel de la CNIL pour les cabinets

La CNIL a adopté en 2020 un référentiel relatif aux traitements de données à caractère personnel destinés à la gestion des cabinets médicaux et paramédicaux. Il couvre la gestion des rendez-vous, la tenue du dossier patient, la facturation et la télétransmission des feuilles de soins, les échanges avec les autres professionnels, les correspondances et la gestion du cabinet. Il fixe les données pouvant être traitées, les destinataires autorisés et les durées de conservation, et rappelle les mesures de sécurité attendues. Il précise aussi que la prise de rendez-vous en ligne par une plateforme implique un contrat de sous-traitance, et que la plateforme ne peut pas réutiliser les données à ses propres fins sans base légale. Les professionnels qui s'y conforment sont réputés respecter le RGPD pour ces traitements courants.

Les plateformes de prise de rendez-vous

Les plateformes de prise de rendez-vous en ligne sont devenues incontournables pour de nombreux praticiens. Elles traitent l'identité des patients, leurs coordonnées, le motif de consultation et parfois des documents médicaux. Pour les données qu'elles gèrent au nom du praticien, elles sont sous-traitantes et doivent être liées par un contrat conforme à l'article 28. Elles hébergent des données de santé et doivent donc être certifiées hébergeur de données de santé. Le praticien doit vérifier que la plateforme ne réutilise pas les données pour ses propres finalités, par exemple pour des statistiques ou de la publicité, sans base légale et sans information des patients. Les motifs de consultation saisis par les patients doivent rester généraux, et les rappels par SMS ne doivent pas révéler d'informations sensibles.

La télémédecine

La téléconsultation et la télé-expertise, généralisées depuis la crise sanitaire, impliquent des précautions particulières. Les outils utilisés doivent garantir la confidentialité des échanges, par un chiffrement de bout en bout, et respecter les référentiels de sécurité et d'interopérabilité de l'Agence du numérique en santé. Les applications grand public de visioconférence ne sont pas adaptées, sauf configuration et garanties spécifiques. Le patient doit être informé des conditions de la téléconsultation et de la conservation éventuelle des échanges ; l'enregistrement de la consultation n'est pas autorisé sans motif et sans accord. Les comptes rendus et prescriptions sont intégrés au dossier du patient et peuvent être transmis par messagerie sécurisée de santé.

Le partage d'informations entre professionnels

Le Code de la santé publique autorise les professionnels de santé qui participent à la prise en charge d'une même personne à échanger les informations strictement nécessaires à la coordination ou à la continuité des soins. Au sein d'une équipe de soins, le partage est présumé consenti par le patient, qui doit cependant être informé et peut s'y opposer. En dehors de l'équipe de soins, le consentement préalable du patient est requis. Ces échanges doivent passer par des moyens sécurisés, comme les messageries sécurisées de santé de l'espace de confiance MSSanté, et non par une messagerie électronique ordinaire. Le dossier médical partagé, intégré à Mon espace santé, permet aussi de centraliser les informations utiles, avec un droit d'opposition et de masquage pour le patient.

Mon espace santé et le dossier médical partagé

Mon espace santé, ouvert en 2022 pour tous les assurés sauf opposition, rassemble le dossier médical partagé, une messagerie sécurisée avec les professionnels, un agenda et un catalogue d'applications référencées. Les professionnels de santé ont l'obligation d'alimenter le dossier médical partagé avec certains documents, comme les comptes rendus d'hospitalisation ou les résultats d'examens. Le patient peut consulter son dossier, masquer certains documents, gérer les accès des professionnels et consulter l'historique des accès. Ce dispositif illustre l'articulation entre les obligations de partage, qui améliorent la qualité des soins, et les droits du patient sur ses données.

Les violations dans le secteur de la santé

Le secteur de la santé est particulièrement exposé aux cyberattaques, notamment aux rançongiciels qui ont paralysé plusieurs hôpitaux français ces dernières années. Les laboratoires de biologie, les cabinets de radiologie et les éditeurs de logiciels médicaux ont aussi été visés. Les conséquences pour les patients peuvent être graves : divulgation d'informations intimes, chantage, désorganisation des soins. Les établissements de santé doivent signaler les incidents de sécurité à l'agence régionale de santé et au CERT Santé, en plus de la notification à la CNIL. La CNIL a sanctionné plusieurs acteurs du secteur pour des défauts de sécurité, comme des médecins dont les images médicales étaient librement accessibles sur internet, ou l'éditeur Dedalus Biologie en 2022.

L'hébergement de données de santé en détail

Toute personne physique ou morale qui héberge des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de professionnels, d'établissements ou des patients eux-mêmes, doit être certifiée hébergeur de données de santé, en application de l'article L. 1111-8 du Code de la santé publique. La certification, délivrée par des organismes accrédités selon un référentiel actualisé en 2024, couvre l'hébergement d'infrastructure physique et l'hébergement infogéré. Le nouveau référentiel impose notamment que les données soient hébergées dans l'Espace économique européen et que l'hébergeur informe ses clients des risques d'accès par des autorités de pays tiers. Un professionnel qui conserve les dossiers de ses patients sur ses propres équipements, dans son cabinet, n'a pas besoin de certification, mais doit assurer lui-même la sécurité ; dès qu'il recourt à un logiciel en ligne ou à un stockage externalisé, le prestataire doit être certifié.

Les pharmacies et les laboratoires

Les pharmaciens traitent des données de santé lors de la délivrance des médicaments, de la tenue du dossier pharmaceutique, des entretiens pharmaceutiques, de la vaccination et des tests. Le dossier pharmaceutique, géré par l'Ordre national des pharmaciens, recense les médicaments délivrés au patient au cours des derniers mois, avec son consentement, pour prévenir les interactions et les redondances. Les laboratoires de biologie médicale traitent les résultats d'analyses, qui doivent être transmis au patient et au prescripteur par des moyens sécurisés. Les ventes en ligne de médicaments non soumis à prescription, autorisées pour les pharmacies physiques disposant d'un site autorisé, impliquent des traitements de données de santé soumis aux règles de l'hébergement certifié. Les obligations propres à l'officine sont détaillées dans l'article sur le RGPD en pharmacie.

La recherche à partir des données des patients

Les professionnels et établissements qui souhaitent utiliser les données de leurs patients à des fins de recherche, d'étude ou d'évaluation doivent respecter des règles spécifiques. Les recherches peuvent être conduites selon une méthodologie de référence homologuée par la CNIL, ce qui suppose une simple déclaration de conformité, ou après autorisation de la CNIL. Le patient doit être informé individuellement et peut s'opposer à l'utilisation de ses données. Les entrepôts de données de santé, qui rassemblent des données pour des recherches futures, font l'objet d'un référentiel de la CNIL. Les données doivent être pseudonymisées et leur accès strictement encadré.

La sécurité au quotidien dans un cabinet

La sécurité d'un cabinet repose sur des gestes simples. L'ordinateur est protégé par un mot de passe robuste et se verrouille automatiquement. Le disque est chiffré. L'accès au logiciel médical utilise la carte de professionnel de santé ou une authentification forte. Les sauvegardes sont régulières, chiffrées et testées. Les échanges avec les confrères passent par une messagerie sécurisée de santé. L'écran de l'accueil n'est pas visible par les patients en salle d'attente. Les dossiers papier sont rangés dans des armoires fermées. Les documents à détruire sont broyés. Le secrétariat, interne ou externalisé, est tenu au secret professionnel et dispose d'accès limités à ce qui est nécessaire. La CNIL et l'Agence du numérique en santé publient des guides adaptés aux cabinets libéraux, avec des listes de contrôle faciles à utiliser.

Les droits des patients en pratique

Le patient dispose des droits prévus par le RGPD, complétés par le Code de la santé publique. Il peut accéder à son dossier médical, directement ou par l'intermédiaire d'un médecin, dans un délai de huit jours, ou de deux mois pour les informations de plus de cinq ans, la première copie étant gratuite. Il peut demander la rectification d'informations inexactes, comme une erreur d'identité ou d'antécédents, et faire ajouter ses observations à un diagnostic qu'il conteste. Il ne peut en revanche pas obtenir l'effacement de son dossier médical pendant la durée légale de conservation, le professionnel étant tenu de le conserver. Il peut s'opposer à certains partages d'informations et à l'utilisation de ses données pour la recherche. Les ayants droit d'un patient décédé peuvent accéder à certaines informations pour connaître les causes de la mort, défendre sa mémoire ou faire valoir leurs droits.

Les ressources pour les professionnels

L'Agence du numérique en santé, les ordres professionnels et les unions régionales de professionnels de santé proposent guides, formations et outils pour accompagner les praticiens dans leur conformité.