RGPD et données médicales : ce que votre secrétaire externalisée doit garantir

Vous êtes médecin, spécialiste ou professionnel de santé, et vous envisagez de confier votre secrétariat à une prestataire externalisée. Bonne décision sur le plan organisationnel — mais avez-vous vérifié que cette externalisation respecte vos obligations en matière de protection des données personnelles ? Le RGPD s’applique pleinement aux données médicales, et la responsabilité repose en grande partie sur vous.

Pourquoi les données médicales sont-elles particulièrement sensibles au regard du RGPD ?

Les données de santé font partie des données dites « sensibles » au sens du RGPD (Règlement Général sur la Protection des Données). Leur traitement est en principe interdit, sauf exceptions strictement encadrées — dont celle qui vous concerne : le soin médical dispensé par un professionnel soumis au secret professionnel.

Dès lors que vous faites intervenir un tiers dans le traitement de ces données (une secrétaire externalisée, un prestataire de transcription audio, un service de frappe sous dictée), vous devenez responsable du traitement, et ce tiers devient votre sous-traitant au sens du RGPD. Cela implique des obligations précises pour les deux parties.

Ce que votre prestataire doit obligatoirement vous garantir

1. Un contrat de sous-traitance RGPD

La loi l’exige : tout prestataire traitant des données personnelles pour votre compte doit signer avec vous un accord de sous-traitance conforme à l’article 28 du RGPD. Ce document précise la nature des données traitées, les finalités, les mesures de sécurité mises en place et les obligations du prestataire. Sans ce document, vous êtes en infraction.

2. Un hébergement des données en Europe

Les données médicales ne peuvent pas être stockées n’importe où. Votre prestataire doit garantir que les fichiers audio, les comptes rendus et les échanges sont hébergés sur des serveurs situés dans l’Union européenne, soumis au droit européen. Un hébergement aux États-Unis ou dans un pays tiers sans garanties équivalentes est une violation du RGPD.

3. Un engagement de confidentialité formalisé

Chaque personne ayant accès à vos données (la secrétaire elle-même, les éventuels superviseurs) doit être liée par un engagement de confidentialité écrit. Cet engagement doit être signé et archivé. Il ne suffit pas d’une mention orale ou d’une clause générale dans les conditions générales.

4. Des mesures de sécurité adaptées

Le prestataire doit mettre en oeuvre des mesures techniques et organisationnelles adaptées au niveau de sensibilité des données : chiffrement des fichiers audio et des documents, accès restreints, mots de passe sécurisés, politique de suppression des données après traitement. Vous êtes en droit de demander à consulter ces mesures.

5. Une procédure en cas de violation de données

En cas de fuite, de perte ou d’accès non autorisé à des données médicales, votre prestataire a l’obligation de vous en informer dans les 72 heures. Vous devrez ensuite notifier la CNIL si la violation présente un risque pour les personnes concernées. Assurez-vous que votre prestataire dispose d’une procédure claire à ce sujet.

Les questions à poser avant de signer

• Proposez-vous un contrat de sous-traitance RGPD conforme à l’article 28 ?
• Où sont hébergées les données que vous traitez pour moi ?
• Vos collaboratrices ont-elles signé un engagement de confidentialité ?
• Quelles mesures de sécurité protègent les fichiers audio et les comptes rendus ?
• Quelle est votre procédure en cas de violation de données ?
• Supprimez-vous les fichiers audio après transcription ?

Assistance Virtuelle : une conformité RGPD intégrée dès le départ

Chez Assistance Virtuelle, la confidentialité n’est pas une option. Toutes nos secrétaires travaillent dans un cadre strictement sécurisé : engagement de confidentialité signé, hébergement européen, suppression systématique des fichiers audio après traitement et accord de sous-traitance disponible sur demande.

Nous accompagnons des médecins, spécialistes, experts judiciaires et professionnels de santé depuis 2007. La protection de vos données et de celles de vos patients est au coeur de notre fonctionnement.

Contactez-nous pour en savoir plus sur notre conformité RGPD ou pour obtenir notre modèle d’accord de sous-traitance.