RGPD et données de santé : quelles obligations pour les acteurs de l’e-santé ?

Le développement de la e-santé (téléconsultation, applications médicales, plateformes SaaS, intelligence artificielle en santé) repose sur le traitement de données de santé à caractère personnel, parmi les données les plus sensibles au sens du RGPD.

Ces traitements exposent les acteurs du secteur à des risques juridiques élevés en cas de non-conformité : sanctions de la CNIL, blocage de projets, perte de confiance des utilisateurs ou partenaires.

Barbour Avocat, cabinet d’avocat intervenant en RGPD, données personnelles et DPO e-santé, accompagne régulièrement des éditeurs, startups, établissements et professionnels de santé dans la sécurisation juridique de leurs projets numériques.

Qu’est-ce qu’une donnée de santé au sens du RGPD ?

Selon le RGPD, constitue une donnée de santé toute donnée relative à l’état de santé physique ou mentale d’une personne, passée, présente ou future.

Sont notamment concernées :

• les données médicales (diagnostics, traitements, comptes rendus),
• les données issues d’applications ou d’objets connectés,
• les numéros d’identification de santé,
• les données permettant d’inférer un état de santé (symptômes, constantes, habitudes).

Une donnée peut être qualifiée de donnée de santé même si elle n’est pas collectée par un professionnel de santé.

Pourquoi les données de santé sont-elles particulièrement protégées ?

Les données de santé appartiennent aux données dites sensibles (article 9 du RGPD).
Leur traitement est en principe interdit, sauf exceptions strictement encadrées.

Cela implique pour les acteurs de l’e-santé :

• un niveau de conformité renforcé,
• une documentation juridique solide,
• des mesures de sécurité élevées,
• une vigilance accrue lors des contrôles CNIL.

C’est précisément sur ces sujets que l’accompagnement par un avocat RGPD spécialisé en e-santé, tel que Barbour Avocat, apporte une réelle valeur ajoutée.

Sur quelle base légale peut-on traiter des données de santé ?

Un traitement de données de santé doit reposer sur une des bases (exceptions) listées à l’article 9 du RGPD.

En pratique, les bases les plus utilisées en e-santé sont le consentement explicite de la personne concernée mais il ne s'agit pas de la seule base légale possible.

Attention, le consentement explicite est souvent mal rédigé ou mal recueilli, ce qui constitue un point de non-conformité fréquent.

Qui est responsable de traitement en e-santé ?

La question de la qualification des acteurs est centrale :

• éditeurs de logiciels santé,
• plateformes numériques,
• établissements de santé,
• prestataires techniques et hébergeurs.

Une mauvaise qualification (responsable / sous-traitant / co-responsable) peut entraîner :

• des contrats RGPD non conformes,
• une responsabilité juridique mal répartie,
• un risque accru en cas de contrôle ou de violation de données.

Chez Barbour Avocat, cette analyse fait partie intégrante des audits RGPD et accompagnements contractuels en e-santé.

Quelles sont les obligations RGPD spécifiques en e-santé ?

Sécurité des données de santé

Les mesures doivent être adaptées à la sensibilité des données, à savoir a minima :

• chiffrement,
• contrôle strict des accès,
• traçabilité,
• audits réguliers.

Documentation RGPD

Les acteurs doivent notamment :

• tenir un registre des traitements,
• réaliser des analyses d’impact (AIPD) lorsque les risques sont élevés,
• documenter les choix juridiques et techniques.

Droits des personnes concernées

Les patients et utilisateurs disposent de droits renforcés (accès, rectification, limitation, etc.).
Les procédures doivent être opérationnelles et testées.

Hébergement des données de santé : l’obligation HDS

En France, l’hébergement externalisé de données de santé impose le recours à un hébergeur certifié HDS.

Cette obligation concerne :

• les plateformes e-santé,
• les logiciels SaaS santé,
• certaines applications mobiles.

Le non-respect de cette exigence est un point de contrôle fréquent de la CNIL.

Faut-il désigner un DPO en e-santé ?

Dans le secteur de la santé, la désignation d’un Délégué à la protection des données (DPO) est très souvent obligatoire.

Le DPO :

• conseille sur la conformité RGPD,
• contrôle les pratiques internes,
• accompagne les projets innovants (IA, recherche),
• est l’interlocuteur de la CNIL.

De nombreux acteurs choisissent un DPO externe spécialisé en e-santé, notamment pour bénéficier d’une expertise juridique et sectorielle, comme celle proposée par Barbour Avocat.

Pourquoi se faire accompagner par un avocat RGPD spécialisé en e-santé ?

La conformité RGPD en matière de données de santé ne se limite pas à des mentions légales ou à des modèles standards.

Un avocat RGPD e-santé permet notamment :

• d’identifier les risques réels,
• de sécuriser les contrats et relations partenaires,
• d’anticiper les contrôles CNIL,
• de faciliter le développement de projets innovants conformes.

Barbour Avocat accompagne les acteurs de l’e-santé dans :

• les audits RGPD,
• les analyses d’impact,
• les missions de DPO externe,
• la structuration juridique des projets numériques en santé.

Conclusion

Le traitement de données de santé impose une approche juridique rigoureuse et adaptée aux spécificités du secteur de la e-santé.
Une mise en conformité RGPD bien menée constitue aujourd’hui un véritable levier de confiance et de développement.

Pour sécuriser vos projets et limiter les risques, l’accompagnement par un cabinet d’avocat spécialisé en RGPD et e-santé, tel que Barbour Avocat, est un atout déterminant.

‍