RGPD santé : guide complet pour votre conformité en 2025

Le point de départ de votre conformité est la qualification exacte des données que vous traitez. Le RGPD distingue les données personnelles classiques des données sensibles. Les données de santé, qui incluent tout élément relatif à l'état physique ou mental d'une personne, sont interdites de traitement par principe, sauf exceptions prévues à l'article 9 du RGPD. Pour un professionnel de santé, l'exception principale est la nécessité du traitement pour les diagnostics médicaux, la prise en charge sanitaire ou sociale, ou la gestion des systèmes de santé. L'erreur courante consiste à penser que le secret médical suffit. Le secret professionnel est une obligation déontologique, tandis que le RGPD est une obligation réglementaire de gestion des données. Vous devez donc tenir un registre des activités de traitement. Ce document liste qui accède aux données, pourquoi elles sont collectées, combien de temps elles sont conservées et comment elles sont sécurisées. Sans ce registre, vous êtes en infraction immédiate en cas de contrôle. Le verdict est simple : absence de registre égale risque d'amende. La solution consiste à lister chaque flux, du rendez-vous en ligne à l'envoi de la prescription, pour identifier vos points de vulnérabilité.

L'une des spécificités majeures du droit français est l'obligation de recourir à un hébergeur certifié HDS (Hébergeur de Données de Santé) pour tout stockage de données de santé hors de votre propre infrastructure physique. Cette certification garantit que le prestataire respecte des normes de sécurité strictes, notamment sur la redondance des données, le chiffrement et le contrôle des accès. Utiliser un hébergeur cloud classique non certifié HDS pour stocker des dossiers patients est une infraction grave. Si vous gérez vos propres serveurs en interne, vous devez mettre en œuvre des mesures de sécurité équivalentes à celles de la certification HDS. Cela implique un cloisonnement réseau strict, une authentification forte et un journal d'événements permettant de savoir exactement qui a consulté quel dossier et quand. Le risque chiffré peut être important, avec des amendes à titre indicatif pouvant atteindre plusieurs dizaines de milliers d'euros selon la gravité de la faille. Pour sécuriser votre installation, vérifiez systématiquement le contrat de sous-traitance de vos logiciels métiers. Si l'éditeur ne peut pas fournir l'attestation HDS de son hébergeur, vous devez exiger un changement de prestataire ou une mise en conformité immédiate.

L'information du patient est une obligation légale fondamentale. Vous devez informer vos patients de manière claire, concise et transparente sur l'usage de leurs données. Cette information doit être accessible dès l'entrée dans votre établissement, via une affiche en salle d'attente ou une mention dans vos conditions générales. Elle doit préciser la finalité du traitement, la durée de conservation des dossiers et les droits des patients (accès, rectification, effacement). Concernant le consentement, il existe une nuance importante en santé. Pour les soins courants, le traitement est souvent fondé sur la nécessité médicale et non sur le consentement explicite au sens du RGPD. En revanche, pour des traitements annexes comme l'envoi d'une newsletter de santé, la participation à une étude clinique ou le partage de données avec des tiers à des fins commerciales, le consentement doit être libre, spécifique, éclairé et univoque. Un silence ou une case pré-cochée ne constituent pas un consentement. Le constat est fréquent : consentement tacite equals infraction. La solution est de mettre en place des formulaires de recueil de consentement distincts et datés, archivés avec le dossier patient pour prouver votre conformité en cas de litige.

La sécurité des données de santé est le point le plus critique. L'accès aux données doit être strictement limité au personnel dont les fonctions le justifient. Le partage d'un mot de passe unique pour tout un cabinet médical est une pratique dangereuse et non conforme. Chaque collaborateur doit posséder son propre identifiant et un mot de passe robuste. L'authentification à deux facteurs (2FA) est aujourd'hui fortement recommandée pour tout accès distant aux dossiers patients. Vous devez également mettre en place une politique de gestion des habilitations. Lorsqu'un secrétaire médical ou un infirmier quitte votre structure, ses accès doivent être supprimés instantanément. En cas de violation de données (perte d'un ordinateur portable, cyberattaque, erreur d'envoi d'un mail), vous avez l'obligation légale de notifier la CNIL sous 72 heures et, si le risque est élevé, d'informer les patients concernés. Le risque est ici autant réputationnel que financier. Pour prévenir ces incidents, réalisez régulièrement des tests de sauvegarde et formez votre personnel aux risques de phishing. La solution durable est l'instauration d'une culture de la donnée où chaque membre de l'équipe comprend l'importance de la confidentialité.

L'AIPD, ou DPIA en anglais, est obligatoire lorsque le traitement de données est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Dans le domaine de la santé, le traitement à grande échelle de données sensibles rend l'AIPD quasi systématique pour les structures importantes ou les éditeurs de logiciels. Ce document permet d'évaluer les risques (vol de données, accès non autorisé, erreur de diagnostic due à une donnée erronée) et de définir les mesures pour les réduire. L'AIPD n'est pas une simple formalité administrative, c'est un outil de gestion des risques. Elle doit analyser la proportionnalité du traitement : collectez-vous vraiment toutes les données nécessaires ou en demandez-vous trop ? Elle doit également décrire les mesures techniques mises en œuvre pour protéger les données. Si vous déployez un nouvel outil numérique, comme un système de téléconsultation ou un logiciel de gestion de cabinet, l'AIPD doit être réalisée avant le lancement. Ignorer cette étape expose l'entreprise à des sanctions pour défaut de sécurité dès le déploiement. La solution est de s'appuyer sur des méthodologies reconnues, comme celles proposées par la CNIL, pour documenter chaque choix technique et organisationnel.