RGPD santé : guide complet pour votre conformité en 2025

Le RGPD santé repose sur l'article 9 du Règlement Général sur la Protection des Données, qui interdit le traitement des données concernant la santé, sauf si vous relevez d'une exception. Pour un professionnel de santé, l'exception principale est la nécessité du traitement pour les diagnostics médicaux, la prise en charge sanitaire ou sociale, ou la gestion des systèmes de santé. Le consentement écrit et explicite du patient est souvent requis, sauf dans le cadre du secret médical où le soin prime. L'absence de base légale valide rend le traitement illicite. Sanction immédiate : risque d'amende à titre indicatif pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. La solution consiste à documenter précisément chaque finalité de traitement dans votre registre. Vous devez pouvoir justifier pourquoi vous collectez telle information et combien de temps vous la conservez. Le principe de minimisation s'applique strictement : ne collectez que ce qui est strictement nécessaire au soin ou à la gestion administrative. Tout excès de collecte est une infraction. Pour y voir clair, le scan permet d'identifier rapidement les écarts entre vos pratiques et les exigences légales.

L'hébergement des données de santé en France est régi par l'article L1111-8 du Code de la santé publique. Ce texte impose que toute donnée de santé personnelle soit hébergée chez un prestataire certifié HDS (Hébergeur de Données de Santé). Cette certification garantit que l'hébergeur respecte des normes de sécurité strictes, notamment en termes de redondance des données, de chiffrement et de contrôle des accès. Utiliser un cloud classique non certifié HDS pour stocker des dossiers patients est une faute grave. Le risque est la perte de données ou l'accès non autorisé par un tiers. La solution est de vérifier le certificat HDS de votre prestataire et d'annexer ce document à votre contrat de sous-traitance. Attention, la certification HDS ne dispense pas le responsable de traitement de ses obligations RGPD. Vous restez responsable du choix de votre prestataire et de la configuration des accès. Si vous gérez vos propres serveurs en interne, vous devez mettre en œuvre des mesures de sécurité équivalentes aux exigences HDS, ce qui s'avère complexe et coûteux pour une PME. Le recours à un prestataire certifié reste la voie la plus sûre.

L'accès aux données de santé doit être strictement limité aux seules personnes dont la fonction le justifie. C'est le principe du besoin d'en connaître. Un secrétaire médical n'a pas besoin d'accéder à l'intégralité du dossier clinique, tandis qu'un médecin spécialiste doit y avoir accès pour le soin. L'absence de gestion des droits d'accès est une faille majeure. Accès trop larges : risque de fuite interne. Pour corriger cela, vous devez mettre en place une politique de gestion des identités et des accès (IAM). Cela passe par l'authentification forte (MFA), où le mot de passe est complété par un code reçu par SMS ou une application. Le chiffrement des données, tant au repos (stockage) qu'en transit (envoi d'emails), est indispensable. L'envoi de données de santé par email non sécurisé est une pratique courante mais dangereuse. La solution est d'utiliser des messageries sécurisées de santé (MSSanté) ou des portails de dépôt sécurisés. Le verdict du scan ITWATCHYOU permet souvent de mettre en lumière ces failles de sécurité avant qu'un incident ne survienne.

Le registre des traitements est le document central de votre conformité. Il liste toutes vos activités de traitement de données de santé, les finalités, les catégories de personnes concernées et les durées de conservation. Un registre absent ou obsolète est le premier point relevé lors d'un contrôle CNIL. C'est la preuve matérielle de votre démarche de conformité. Par ailleurs, le traitement de données de santé à grande échelle ou l'utilisation de nouvelles technologies (comme l'IA médicale) impose la réalisation d'une AIPD (Analyse d'Impact relative à la Protection des Données). L'AIPD est une étude qui évalue les risques pour les droits et libertés des patients et définit les mesures pour réduire ces risques. Ignorer l'AIPD quand elle est obligatoire expose l'entreprise à des sanctions. La solution est de solliciter des DPO indépendants pour mener cette analyse. Ces experts du réseau vous aideront à cartographier les flux de données et à préconiser des mesures techniques et organisationnelles adaptées pour sécuriser vos processus.

La transparence est un pilier du RGPD santé. Vous devez informer vos patients de manière claire et concise sur l'usage de leurs données. Cette information doit être accessible dès la première interaction, via une affiche en salle d'attente, une mention sur vos formulaires de prise de rendez-vous ou une page dédiée sur votre site web. Information incomplète : manquement au RGPD. Les patients disposent de droits spécifiques : droit d'accès, de rectification, d'effacement (sous réserve des obligations légales de conservation des dossiers médicaux) et de portabilité. Vous devez mettre en place un processus simple pour répondre à ces demandes dans un délai d'un mois. Le refus injustifié de communiquer un dossier médical est une infraction. La solution est de créer une procédure interne de gestion des droits, avec une adresse email dédiée et un modèle de réponse type. Cela évite le stress lors d'une demande et garantit que vous respectez les délais légaux. Une organisation rigoureuse rassure le patient et démontre votre professionnalisme.