Règlement (UE) 2016/679, article 9.2 h)

DPO externalisé pour les établissements et cabinets de santé

Un établissement de santé traite, par construction, des données concernant la santé : l'article 9.1 du règlement (UE) 2016/679 en interdit le traitement par principe, et c'est une exception qui le rend licite, pas l'inverse. Cette inversion de la charge commande toute la conformité du secteur — la base légale, la durée de conservation, l'hébergement, et la désignation d'un délégué, qui n'est ici pratiquement jamais facultative.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Pourquoi la désignation n'est presque jamais facultative ici

L'article 37.1 c) du règlement (UE) 2016/679 impose la désignation d'un délégué à la protection des données lorsque les activités de base du responsable du traitement consistent en un traitement à grande échelle de catégories particulières de données visées à l'article 9. Les données concernant la santé figurent expressément parmi ces catégories. Pour un établissement de santé, le traitement de ces données n'est pas une activité annexe : c'est l'activité elle-même, et la question ne porte donc que sur l'échelle.

Le considérant 91 du règlement écarte du critère de grande échelle le traitement effectué par un praticien de santé exerçant à titre individuel. Un cabinet médical de ville n'est donc pas mécaniquement soumis à l'obligation de désignation du seul fait qu'il soigne. En revanche, dès que la structure agrège les dossiers de plusieurs praticiens — maison de santé, centre, clinique, groupement —, le raisonnement ne tient plus, et l'appréciation doit être faite et documentée, non supposée.

L'établissement public de santé relève par ailleurs de l'article 37.1 a), qui impose la désignation à tout organisme public sans condition d'échelle. La question de la grande échelle ne s'y pose pas.

Les traitements à qualifier un par un

La qualification n'est pas globale. Chaque traitement repose sur sa propre exception de l'article 9.2, et c'est cette exception qui détermine ensuite ce que l'établissement peut ou ne peut pas faire de la donnée.

Le dossier patient

Il relève de l'article 9.2 h), qui lève l'interdiction pour les finalités de médecine préventive, de diagnostic médical, de prise en charge sanitaire ou sociale, ou de gestion des systèmes de soins. Le point h renvoie au paragraphe 3 : le traitement doit être effectué par un professionnel soumis à une obligation de secret, ou sous sa responsabilité. Le consentement n'est pas la base légale du dossier patient, et le demander laisserait croire au patient qu'il peut le retirer.

La facturation et la télétransmission

Elles poursuivent une finalité de gestion administrative distincte du soin, alors même qu'elles manipulent des données qui en révèlent le contenu. Elles doivent figurer au registre comme un traitement propre, avec sa durée de conservation, ses destinataires et ses flux vers les organismes d'assurance maladie et les complémentaires.

La recherche menée sur les données de soin

La réutilisation à des fins de recherche d'une donnée collectée pour soigner est un traitement ultérieur : il relève de l'article 9.2 j) et des garanties de l'article 89, et non plus du point h. L'établissement qui conduit ou héberge de la recherche doit tenir cette frontière, faute de quoi la finalité de soin devient le prétexte d'une collecte de recherche.

Les traitements qui ne touchent pas au soin

Vidéoprotection des accès, contrôle d'accès aux locaux, gestion du personnel soignant, badgeuses : ces traitements relèvent du droit commun, mais sont conduits dans un environnement où la donnée de santé est partout. C'est le point où, en pratique, l'étanchéité se rompt.

L'hébergement : une obligation qui se vérifie chez le prestataire

L'hébergement de données de santé à caractère personnel sur support numérique, pour le compte d'un tiers et à des fins de soin, est soumis en droit français à une certification dédiée, dite HDS, délivrée par un organisme accrédité et dont la liste des titulaires est publiée par l'Agence du numérique en santé. Cette obligation pèse sur l'hébergeur, mais c'est l'établissement qui en répond : c'est lui qui choisit le prestataire.

Le contrôle porte sur trois points, et chacun se vérifie sur pièces. Que le certificat couvre effectivement le périmètre d'activité utilisé, et pas seulement une partie de l'offre du prestataire. Que le contrat comporte les clauses que l'article 28.3 du règlement (UE) 2016/679 rend obligatoires. Et que la localisation des données et des sauvegardes, ainsi que celle des équipes d'administration qui y accèdent depuis un pays tiers, soit établie : un accès distant depuis un pays tiers est un transfert au sens du chapitre V, même si la donnée ne bouge pas.

Secret médical et RGPD : deux régimes qui ne se recouvrent pas

Le secret professionnel auquel sont tenus les praticiens et le règlement européen ne protègent pas la même chose et ne se substituent pas l'un à l'autre. Le secret interdit la divulgation ; le règlement encadre le traitement, y compris lorsqu'aucune divulgation n'a lieu. Un établissement peut respecter scrupuleusement le secret et rester en écart complet sur le registre, les durées de conservation ou les droits des personnes.

L'écart le plus fréquent porte sur l'habilitation : le secret est partagé au sein de l'équipe de soin, mais le règlement impose en outre que l'accès aux dossiers soit limité à ce qui est nécessaire et que cette limitation soit traçable. Une base de dossiers patients accessible à l'ensemble du personnel administratif n'est pas conforme, quelle que soit la rigueur avec laquelle le secret est par ailleurs observé.

Questions fréquentes

Un cabinet médical de ville doit-il désigner un délégué à la protection des données ?

Pas automatiquement. Le considérant 91 du règlement (UE) 2016/679 écarte du critère de grande échelle le traitement de données de patients effectué par un médecin exerçant à titre individuel, ce qui neutralise l'obligation de l'article 37.1 c). Dès que la structure regroupe plusieurs praticiens ou centralise des dossiers, l'appréciation doit être reprise et documentée : l'absence d'obligation se justifie par écrit, elle ne se présume pas.

Faut-il recueillir le consentement du patient pour traiter son dossier médical ?

Non, et le demander est une erreur fréquente. Le dossier patient repose sur l'exception de l'article 9.2 h) du règlement, qui vise les finalités de soin et de prise en charge. Recueillir un consentement laisserait entendre au patient qu'il peut le retirer et faire cesser le traitement, ce qui n'est pas le cas : la conservation du dossier répond à des exigences propres au soin et à la responsabilité médicale.

Un logiciel métier hébergé chez un éditeur est-il un hébergement de données de santé ?

Dès lors que l'éditeur conserve pour le compte de l'établissement des données de santé à caractère personnel recueillies à des fins de soin, l'activité entre dans le champ de la certification HDS. La qualification ne dépend pas de la manière dont le contrat est intitulé. Le point se vérifie sur le certificat du prestataire et sur son périmètre, auprès de la liste publiée par l'Agence du numérique en santé.

Une analyse d'impact est-elle obligatoire dans un établissement de santé ?

L'article 35.3 b) du règlement impose une analyse d'impact pour tout traitement à grande échelle de données visées à l'article 9, ce qui couvre le cœur de l'activité d'un établissement. L'analyse n'est pas à refaire pour chaque traitement pris isolément : elle porte sur les traitements présentant un risque élevé, et la liste publiée par la CNIL des traitements pour lesquels elle est requise sert de point de départ à l'arbitrage.

Ce que ce régime déclenche ailleurs

Les règles sectorielles décrites ici se superposent au régime général : l'assujettissement, les bases légales et les obligations documentaires s'apprécient d'abord au niveau du règlement lui-même.

Le régime général du RGPD

Le traitement à grande échelle de données de santé déclenche l'obligation d'analyse d'impact de l'article 35.3 b) : c'est le premier livrable attendu d'un établissement en cas de contrôle.

Conduire une analyse d'impact

Ordonnances, dossier pharmaceutique, fidélité et vidéoprotection : séparer, dans une officine, ce qui relève du soin et ce qui relève de la relation commerciale.

Pharmacie

Base légale de la recherche, garanties de l'article 89, répartition des rôles entre promoteur et investigateur, et information des personnes se prêtant à la recherche.

Recherche clinique

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.