RGPD et données médicales : ce qu'il faut garantir

Vous êtes médecin, spécialiste ou professionnel de santé, et vous envisagez de confier votre secrétariat à une prestataire externalisée. Bonne décision sur le plan organisationnel — mais avez-vous vérifié que cette externalisation respecte vos obligations en matière de protection des données personnelles ? Le RGPD s’applique pleinement aux données médicales, et la responsabilité repose en grande partie sur vous.

Pourquoi les données médicales sont-elles particulièrement sensibles au regard du RGPD ?

Les données de santé font partie des données dites « sensibles » au sens du RGPD (Règlement Général sur la Protection des Données). Leur traitement est en principe interdit, sauf exceptions strictement encadrées — dont celle qui vous concerne : le soin médical dispensé par un professionnel soumis au secret professionnel.

Dès lors que vous faites intervenir un tiers dans le traitement de ces données (une secrétaire externalisée, un prestataire de transcription audio, un service de frappe sous dictée), vous devenez responsable du traitement, et ce tiers devient votre sous-traitant au sens du RGPD. Cela implique des obligations précises pour les deux parties.

Ce que votre prestataire doit obligatoirement vous garantir

1. Un contrat de sous-traitance RGPD

La loi l’exige : tout prestataire traitant des données personnelles pour votre compte doit signer avec vous un accord de sous-traitance conforme à l’article 28 du RGPD. Ce document précise la nature des données traitées, les finalités, les mesures de sécurité mises en place et les obligations du prestataire. Sans ce document, vous êtes en infraction.

2. Un hébergement des données en Europe

Les données médicales ne peuvent pas être stockées n’importe où. Votre prestataire doit garantir que les fichiers audio, les comptes rendus et les échanges sont hébergés sur des serveurs situés dans l’Union européenne, soumis au droit européen. Un hébergement aux États-Unis ou dans un pays tiers sans garanties équivalentes est une violation du RGPD.

3. Un engagement de confidentialité formalisé

Chaque personne ayant accès à vos données (la secrétaire elle-même, les éventuels superviseurs) doit être liée par un engagement de confidentialité écrit. Cet engagement doit être signé et archivé. Il ne suffit pas d’une mention orale ou d’une clause générale dans les conditions générales.

4. Des mesures de sécurité adaptées

Le prestataire doit mettre en oeuvre des mesures techniques et organisationnelles adaptées au niveau de sensibilité des données : chiffrement des fichiers audio et des documents, accès restreints, mots de passe sécurisés, politique de suppression des données après traitement. Vous êtes en droit de demander à consulter ces mesures.

5. Une procédure en cas de violation de données

En cas de fuite, de perte ou d’accès non autorisé à des données médicales, votre prestataire a l’obligation de vous en informer dans les 72 heures. Vous devrez ensuite notifier la CNIL si la violation présente un risque pour les personnes concernées. Assurez-vous que votre prestataire dispose d’une procédure claire à ce sujet.

Les questions à poser avant de signer

Proposez-vous un contrat de sous-traitance RGPD conforme à l’article 28 ?
Où sont hébergées les données que vous traitez pour moi ?
Vos collaboratrices ont-elles signé un engagement de confidentialité ?
Quelles mesures de sécurité protègent les fichiers audio et les comptes rendus ?
Quelle est votre procédure en cas de violation de données ?
Supprimez-vous les fichiers audio après transcription ?

Assistance Virtuelle : une conformité RGPD intégrée dès le départ

Chez Assistance Virtuelle, la confidentialité n’est pas une option. Toutes nos secrétaires travaillent dans un cadre strictement sécurisé : engagement de confidentialité signé, hébergement européen, suppression systématique des fichiers audio après traitement et accord de sous-traitance disponible sur demande.

Nous accompagnons des médecins, spécialistes, experts judiciaires et professionnels de santé depuis 2007. La protection de vos données et de celles de vos patients est au coeur de notre fonctionnement.

Contactez-nous pour en savoir plus sur notre conformité RGPD ou pour obtenir notre modèle d’accord de sous-traitance.

Le Conseil National de l’Ordre des Médecins propose des ressources utiles sur l’organisation des cabinets médicaux.

Pour approfondir, découvrez notre secrétariat médical à distance.

Pourquoi les données de santé relèvent d’un régime à part

Le règlement européen distingue les données personnelles ordinaires des catégories particulières, parmi lesquelles figurent les données concernant la santé. Le traitement de ces dernières est en principe interdit, sauf à relever d’une exception prévue par le texte, notamment la prise en charge médicale par un professionnel soumis au secret.

Cette architecture explique le niveau d’exigence : on ne se demande pas seulement comment protéger la donnée, mais d’abord à quel titre on a le droit de la traiter. Pour un secrétariat externalisé, la réponse tient au fait qu’il agit pour le compte du praticien et sous son contrôle, sans finalité propre.

La question de l’hébergement, souvent mal posée

Un point mérite d’être clarifié, car il donne lieu à des affirmations approximatives de part et d’autre. La certification d’hébergeur de données de santé concerne l’activité d’hébergement elle-même : elle s’applique à celui qui conserve les données sur ses propres infrastructures pour le compte d’un professionnel de santé.

Un prestataire de secrétariat qui travaille directement dans l’environnement du cabinet, sur les accès ouverts par le praticien, n’héberge rien : les données restent dans les outils du médecin. La question change en revanche si le prestataire rapatrie les fichiers sur ses propres serveurs pour les conserver. C’est donc le mode de fonctionnement qu’il faut examiner, davantage qu’un label affiché. Les référentiels applicables sont publiés par l’Agence du numérique en santé.

Les garanties à exiger, et leur traduction concrète

Garantie	Formulation vague à écarter	Formulation exploitable
Confidentialité	« Nos équipes sont tenues à la discrétion »	Engagement signé individuellement, modèle communicable
Accès	« Accès sécurisé »	Compte nominatif, droits limités, révocation immédiate possible
Conservation	« Le temps nécessaire »	Durée chiffrée et suppression vérifiable après restitution
Localisation	« Hébergement sécurisé »	Pays de traitement nommé, transferts documentés ou absents
Traçabilité	« Nous savons qui fait quoi »	Journalisation des accès dans votre logiciel métier

La violation de données : ce qui se prépare avant qu’elle arrive

En cas d’incident, le responsable de traitement dispose d’un délai court pour notifier l’autorité de contrôle, et le sous-traitant doit l’alerter sans délai injustifié. Ce mécanisme ne fonctionne que s’il a été organisé en amont.

Concrètement, trois éléments doivent figurer au contrat : le canal d’alerte, le délai dans lequel le prestataire s’engage à vous informer, et les éléments qu’il vous fournira pour vous permettre de qualifier l’incident. Sans cela, vous découvrez le problème en même temps que l’obligation d’y répondre. La CNIL détaille la procédure applicable aux professionnels de santé.

Le cadre général applicable à tout secrétariat externalisé est traité dans notre article sur les vérifications RGPD avant de déléguer, et nos engagements figurent sur la page confidentialité et sécurité des données.

Questions fréquentes

Un secrétariat externalisé doit-il être certifié hébergeur de données de santé ?

Cela dépend de son mode de fonctionnement. S’il travaille dans l’environnement du cabinet sans conserver de fichiers, il n’exerce pas d’activité d’hébergement. S’il rapatrie et conserve les données sur ses propres serveurs, la question se pose et doit être tranchée avant de signer.

Le secret médical s’applique-t-il à la secrétaire externalisée ?

Oui. Le secret professionnel s’étend aux personnes qui assistent le praticien dans l’exercice de son activité, ce qui recouvre le traitement administratif des dossiers, qu’il soit interne ou externalisé.

Que faire en cas d’incident de sécurité ?

Le prestataire doit vous alerter sans délai injustifié, et il vous appartient ensuite de notifier l’autorité de contrôle si l’incident le requiert. Le canal d’alerte et le délai d’information doivent être prévus au contrat, pas improvisés le jour venu.