RGPD données médicales secrétaire externalisée

Confier certaines tâches à une secrétaire distante ne transfère pas les responsabilités du cabinet. Dans une organisation associant RGPD, données médicales et secrétaire externalisée, le professionnel de santé reste généralement responsable du traitement. Il détermine pourquoi les informations sont utilisées, quelles données sont nécessaires et combien de temps elles sont conservées.

Le prestataire intervient comme sous-traitant lorsqu’il traite les informations uniquement pour le compte du cabinet. Cette répartition doit être formalisée avant tout accès aux dossiers patients. Le contrat, les instructions, les outils et les mesures de sécurité doivent correspondre aux tâches réellement confiées.

Pourquoi les données médicales exigent-elles davantage de précautions ?

Les données concernant la santé appartiennent aux catégories particulières protégées par le RGPD. Elles peuvent révéler une pathologie, un traitement, un handicap, un résultat d’examen ou une prise en charge médicale.

Leur protection concerne aussi les informations indirectes. Un rendez-vous avec un spécialiste, une ordonnance ou l’objet d’un message peuvent déjà fournir une indication sur la santé d’une personne.

Le cabinet doit donc protéger notamment :

• les dossiers médicaux ;
• les comptes rendus de consultation ;
• les prescriptions et résultats ;
• les coordonnées des patients ;
• les motifs de rendez-vous ;
• les échanges avec les professionnels ;
• les données de facturation liées aux soins ;
• les enregistrements et dictées médicales.

La sensibilité de ces informations justifie des accès limités, une traçabilité suffisante et des procédures adaptées aux incidents.

Le cabinet reste-t-il responsable après l’externalisation ?

Oui. Le recours à un prestataire ne décharge pas le cabinet de ses obligations. Le professionnel ou la structure de santé choisit les finalités du traitement et les moyens essentiels utilisés.

Le cabinet doit notamment :

• déterminer une base juridique appropriée ;
• limiter les données collectées ;
• informer correctement les patients ;
• définir les durées de conservation ;
• choisir un prestataire présentant des garanties suffisantes ;
• encadrer contractuellement la mission ;
• contrôler les accès accordés ;
• organiser le traitement des incidents ;
• permettre l’exercice des droits des personnes.

La secrétaire externalisée ne doit pas déterminer librement l’utilisation des données. Elle agit selon les instructions documentées du cabinet.

Quel rôle assume la secrétaire externalisée ?

Le prestataire est généralement sous-traitant au sens du RGPD. Il réalise des opérations précises pour le compte du cabinet sans utiliser les informations pour ses propres objectifs.

Son intervention peut comprendre :

• la prise de rendez-vous ;
• la gestion des appels ;
• la frappe de comptes rendus ;
• le classement de documents ;
• la transmission de messages ;
• la préparation administrative des dossiers ;
• le suivi des pièces manquantes ;
• la mise à jour d’informations autorisées.

Le prestataire doit signaler toute instruction qui lui paraît contraire au RGPD. Il doit également aider le cabinet concernant la sécurité, les demandes des patients et les éventuelles violations de données.

Signer un contrat conforme à l’article 28 du RGPD

La prestation doit être encadrée par un contrat écrit. Celui-ci ne peut pas se limiter à une clause générale de confidentialité.

Il doit notamment définir :

• l’objet et la durée de la mission ;
• les opérations réalisées ;
• les catégories de données traitées ;
• les personnes concernées ;
• les instructions du cabinet ;
• les obligations de confidentialité ;
• les mesures de sécurité applicables ;
• les conditions de recours à un autre prestataire ;
• la gestion des incidents ;
• la restitution ou suppression des données ;
• les modalités de contrôle du cabinet.

La CNIL rappelle qu’une sous-traitance ne doit pas commencer sans contrat reprenant les exigences de l’article 28. Consultez ses recommandations pour sécuriser la sous-traitance.

Limiter les accès aux besoins réels

Une secrétaire externalisée ne doit pas accéder automatiquement à l’intégralité du système médical. Chaque autorisation doit correspondre à une mission identifiée.

Une personne chargée des rendez-vous peut avoir besoin de consulter les disponibilités et certaines coordonnées. Elle n’a pas nécessairement besoin d’accéder aux antécédents, résultats ou prescriptions.

Le cabinet doit prévoir :

• un compte individuel pour chaque utilisateur ;
• des droits limités aux fonctions nécessaires ;
• une authentification renforcée ;
• une interdiction des comptes partagés ;
• une journalisation des connexions ;
• une révision périodique des autorisations ;
• une suppression rapide des accès inutiles.

Les accès doivent être retirés dès la fin de la mission ou lors d’un changement de collaborateur.

Encadrer les outils et les échanges

Les données médicales ne doivent pas circuler par des canaux choisis individuellement. Le cabinet définit les logiciels, espaces documentaires et moyens de communication autorisés.

Il faut notamment éviter :

• les messageries personnelles ;
• les comptes génériques ;
• les fichiers conservés localement ;
• les transferts vers un cloud non validé ;
• les mots de passe transmis en clair ;
• les impressions non nécessaires ;
• les copies sur supports personnels.

Les documents doivent rester dans l’environnement professionnel prévu. Le chiffrement des échanges et des équipements complète la gestion des accès.

La certification HDS concerne-t-elle le secrétariat externalisé ?

La certification HDS concerne l’hébergement numérique de données de santé recueillies dans le cadre d’activités de prévention, de diagnostic, de soins ou de suivi médico-social.

Elle ne s’applique pas automatiquement à toute prestation de secrétariat. Une secrétaire utilisant à distance le logiciel du cabinet sans héberger elle-même les données n’est pas nécessairement hébergeur.

En revanche, si un prestataire conserve ou héberge ces données pour le compte du cabinet, le périmètre HDS doit être étudié précisément. Le cabinet doit vérifier les fonctions couvertes par la certification de l’hébergeur. L’Agence du numérique en santé présente les règles relatives à la certification HDS.

Vérifier la localisation des données et des accès

Un accès depuis un pays extérieur à l’Espace économique européen peut constituer un transfert international de données. Ce point doit être analysé même lorsque les informations restent stockées sur un serveur européen.

Le cabinet doit identifier :

• le pays depuis lequel les données sont accessibles ;
• la localisation de leur hébergement ;
• les éventuels sous-traitants techniques ;
• le mécanisme juridique utilisé ;
• les garanties contractuelles applicables ;
• les mesures techniques complémentaires ;
• les possibilités d’accès par des autorités étrangères.

En l’absence de décision d’adéquation, des clauses contractuelles types et une analyse des risques peuvent être nécessaires. Cette vérification doit intervenir avant l’ouverture des accès.

Informer les patients sans demander systématiquement leur consentement

Le cabinet doit informer les patients sur le traitement de leurs données, ses finalités, ses destinataires, leur durée de conservation et leurs droits.

Le consentement n’est cependant pas toujours la base juridique applicable aux traitements nécessaires aux soins. Il ne faut donc pas confondre obligation d’information et demande systématique de consentement.

La notice d’information doit rester claire et accessible. Elle peut mentionner les catégories de prestataires susceptibles d’intervenir sans révéler inutilement l’organisation interne du cabinet.

Préparer une procédure en cas d’incident

Une erreur d’envoi, un accès injustifié, un ordinateur compromis ou la perte d’un document peuvent constituer une violation de données personnelles.

Le prestataire doit avertir rapidement le cabinet. Il ne doit pas attendre d’avoir terminé seul son analyse.

La procédure peut préciser :

• les personnes à contacter ;
• le délai de signalement interne ;
• les informations à transmettre ;
• les mesures immédiates de protection ;
• la conservation des éléments techniques ;
• l’évaluation du risque pour les patients ;
• la décision de notifier la CNIL ;
• l’information éventuelle des personnes concernées.

Le cabinet conserve la décision finale concernant la notification réglementaire. Le sous-traitant doit fournir les informations nécessaires.

Contrôler régulièrement la prestation

La conformité ne se limite pas à la signature du contrat. Le cabinet doit vérifier que l’organisation définie reste effectivement appliquée.

Le contrôle peut porter sur :

• les comptes utilisateurs actifs ;
• les droits réellement attribués ;
• les journaux de connexion ;
• les incidents constatés ;
• les sous-traitants utilisés ;
• les durées de conservation ;
• la suppression des copies temporaires ;
• la formation des personnes autorisées.

Notre processus qualité organise le démarrage, le suivi et le contrôle des missions confiées.

Choisir un prestataire présentant des garanties suffisantes

Le tarif ne constitue pas le seul critère. Le cabinet doit vérifier l’organisation opérationnelle et la capacité du prestataire à respecter les instructions données.

Les points à examiner comprennent :

• la confidentialité contractuelle ;
• la formation des collaborateurs ;
• la gestion des habilitations ;
• la sécurisation des postes ;
• la continuité d’activité ;
• la gestion des incidents ;
• la localisation des accès ;
• les modalités de fin de contrat.

Découvrez nos engagements concernant la confidentialité et le RGPD.

Questions fréquentes

Le cabinet reste-t-il responsable des données confiées ?

Oui. L’externalisation ne supprime pas ses responsabilités de responsable du traitement.

Une clause de confidentialité suffit-elle ?

Non. Un contrat conforme à l’article 28 du RGPD doit encadrer la sous-traitance.

La secrétaire peut-elle consulter tous les dossiers ?

Non. Ses droits doivent rester limités aux tâches et dossiers nécessaires.

Une certification HDS est-elle toujours obligatoire ?

Non. Elle concerne l’hébergement de données de santé, pas automatiquement tout accès distant.

Les patients doivent-ils consentir à l’externalisation ?

Pas systématiquement. Ils doivent toutefois recevoir une information conforme sur leurs données.

Que faire après une erreur d’envoi ?

Le prestataire doit immédiatement alerter le cabinet selon la procédure prévue.

Conserver la maîtrise des données médicales

L’association entre RGPD, données médicales et secrétaire externalisée exige une répartition claire des rôles. Le cabinet définit les finalités, les accès et les règles. Le prestataire applique les instructions documentées et signale les incidents.

Un contrat conforme, des droits limités et des contrôles réguliers permettent d’externaliser certaines tâches sans abandonner la maîtrise des informations patients.

Vous envisagez d’externaliser votre secrétariat médical ? Consultez nos engagements relatifs à la confidentialité et au RGPD.