Protection des données de santé et conformité RGPD pour les professionnels

Les données de santé occupent une place à part dans le paysage réglementaire européen. Qualifiées de données sensibles de catégorie particulière par le RGPD (article 9), elles font l'objet d'un régime de protection renforcé qui s'applique à l'ensemble des professionnels qui les traitent : établissements de soins, mutuelles, éditeurs de logiciels de santé, laboratoires, services d'aide à domicile, acteurs de la e-santé et télémédecine. En 2026, le paysage réglementaire s'est encore densifié — entre l'entrée en vigueur progressive de l'Espace Européen des Données de Santé (EEDS), les recommandations actualisées de la CNIL et les sanctions record prononcées dans l'UE, la conformité n'est plus une option. Cet article décrit, point par point, les obligations applicables et les meilleures pratiques à adopter pour sécuriser vos traitements.

Qu'est-ce qu'une donnée de santé au sens du RGPD ?

Le RGPD (Règlement n° 2016/679, article 4 §15) définit les données de santé comme « les données à caractère personnel relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne ».

Un périmètre plus large qu'il n'y paraît

Cette définition englobe bien plus que les dossiers médicaux classiques. Sont concernées :

• Les antécédents médicaux, les diagnostics, prescriptions et résultats d'analyses ;
• Les données collectées par des objets connectés (montres, capteurs de glycémie, applications de suivi menstruel) ;
• Les données administratives qui permettent d'inférer un état de santé (taux de remboursement, fréquence des consultations) ;
• Les numéros de sécu (NIR) lorsqu'ils sont croisés avec des informations médicales.

En France, la CNIL a précisé, notamment dans sa délibération de référence relative aux entrepôts de données de santé (EDS), que la notion doit être interprétée au sens large. Ainsi, une simple photo révélant un handicap visible ou une donnée biométrique (empreinte rétinienne) entre dans le champ.

Pourquoi une protection renforcée ?

La sensibilité particulière des données de santé tient à leur potentiel de discrimination. Révéler l'état de santé d'une personne peut affecter son accès à l'emploi, à l'assurance, au crédit ou exposer sa vie privée. La CNIL estime que les violations impliquant des données de santé représentaient, en 2024, plus de 36 % des notifications qu'elle a reçues — soit la première catégorie de données violées.

Les bases légales spécifiques au traitement des données de santé

L'article 9 §1 du RGPD pose un principe d'interdiction de traitement des données sensibles, assorti d'exceptions limitativement énumérées. Pour les professionnels de santé, les bases légales mobilisables sont principalement :

Le consentement explicite (art. 9 §2 a)

Le consentement doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. Dans le secteur de la santé, cette base est souvent inadaptée pour les soins courants (déséquilibre de pouvoir médecin/patient), mais reste incontournable pour les traitements à des fins de recherche, de marketing ou d'utilisation d'applications santé grand public.

Bonne pratique 2026 : recourir à la signature électronique dans la santé pour recueillir le consentement des patients de manière traçable et horodatée, ce qui facilite la preuve en cas de contrôle.

Les soins et la médecine préventive (art. 9 §2 h)

Il s'agit de la base légale principale pour les professionnels de santé qui traitent des données dans le cadre de la relation de soin. Elle s'applique sous réserve que le traitement soit réalisé par — ou sous la responsabilité de — un professionnel soumis au secret médical.

L'intérêt public et la recherche (art. 9 §2 i et j)

Les traitements à des fins de santé publique (surveillance épidémique, pharmacovigilance) ou de recherche scientifique peuvent s'appuyer sur ces exceptions. En France, la loi Informatique et Libertés (art. 65 à 68) et le décret encadrant le Système National des Données de Santé (SNDS) définissent les conditions d'accès.

Les obligations concrètes des responsables de traitement

Qu'il s'agisse d'un cabinet médical ou d'un éditeur de solution de santé numérique, les obligations sont structurées autour de cinq piliers.

1. Le registre des traitements (art. 30)

Tout responsable de traitement ou sous-traitant doit tenir un registre documentant chaque traitement : finalité, base légale, catégories de données, durées de conservation, destinataires, mesures de sécurité. La CNIL exige que ce registre soit à jour et présentable sans délai lors d'un contrôle.

2. L'analyse d'impact relative à la protection des données (AIPD / art. 35)

Les traitements de données de santé à grande échelle ou à des fins de profilage nécessitent obligatoirement une AIPD (appelée DPIA en anglais). La CNIL a publié une liste de traitements obligatoirement soumis à AIPD, incluant les entrepôts de données de santé, les applications mobiles de suivi de l'état de santé et les dispositifs médicaux connectés.

Sur la valeur juridique des documents électroniques dans ce contexte, les prestataires doivent veiller à ce que leurs mécanismes de collecte répondent aux exigences probatoires.

3. La désignation d'un délégué à la protection des données (DPO)

La désignation d'un DPO est obligatoire pour :

• Les professionnels de santé réunis en groupement (hôpitaux, EHPAD, structures de soins de plus de 50 personnes) ;
• Les mutuelles et assureurs santé ;
• Les éditeurs de logiciels de santé traitant des données à grande échelle.

Depuis 2024, la CNIL a renforcé ses contrôles sur l'effectivité du rôle du DPO, vérifiant notamment son indépendance réelle et ses ressources.

4. La sécurité des systèmes d'information (art. 32)

Les mesures techniques et organisationnelles doivent être proportionnées au risque. La CNIL recommande notamment :

• Le chiffrement de bout en bout des données stockées et en transit ;
• La pseudonymisation dès que la finalité le permet ;
• La mise en place de contrôles d'accès stricts (authentification multifacteur) ;
• Des sauvegardes régulières testées et déconnectées du réseau principal ;
• Un plan de continuité d'activité (PCA) spécifique aux données de santé.

Depuis l'entrée en application de la directive NIS 2 (transposée en droit français par la loi du 26 mars 2025), les entités essentielles du secteur santé — dont les hôpitaux, les fabricants de dispositifs médicaux et certains laboratoires — sont soumises à des exigences de cybersécurité encore plus strictes, avec notification obligatoire des incidents majeurs à l'ANSSI dans les 24 heures.

5. La notification des violations de données (art. 33 et 34)

Toute violation de données de santé doit être notifiée à la CNIL dans les 72 heures suivant sa découverte. Si la violation est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, les patients concernés doivent également en être informés sans délai injustifié.

En 2024, la CNIL a infligé des amendes pour retard de notification, rappelant que la réactivité est en elle-même une obligation de conformité.

L'hébergement des données de santé : une obligation spécifiquement française

En France, la loi du 26 janvier 2016 (art. L. 1111-8 du Code de la santé publique) impose que les données de santé à caractère personnel soient hébergées auprès d'un hébergeur certifié HDS (Hébergeur de Données de Santé). Cette certification, délivrée par des organismes accrédités COFRAC sur la base de la norme ISO 27001 et du référentiel HDS de l'ANS, couvre six activités distinctes.

Qui est concerné par la certification HDS ?

Sont concernés tous les acteurs qui hébergent, administrent ou exploitent des systèmes d'information contenant des données de santé pour le compte de tiers : prestataires cloud, éditeurs de DMP (dossier médical partagé), plateformes de télémédecine, et — depuis 2023 — les éditeurs d'applications santé grand public dès lors qu'ils conservent des données identifiantes.

L'utilisation d'un hébergeur HDS certifié n'exonère pas le responsable de traitement de ses propres obligations : il doit impérativement formaliser un contrat de sous-traitance conforme à l'article 28 du RGPD, détaillant les instructions données à l'hébergeur, les garanties de sécurité et les modalités d'audit.

L'Espace Européen des Données de Santé (EEDS) : quels impacts en 2026 ?

Le règlement EEDS (adopté fin 2025 et dont les premières dispositions entrent en application progressivement jusqu'en 2027) pose le cadre d'un accès transfrontalier aux données de santé pour la recherche, l'innovation et la santé publique. Pour les professionnels français, deux impacts immédiats :

1. L'obligation de respecter le droit à la portabilité renforcée (format structuré, lisible par machine) pour les dossiers patients ;
2. L'interdiction de traiter des données de santé primaires à des fins de ciblage publicitaire, même avec consentement — une restriction plus stricte que le RGPD seul.

Ces évolutions rendent indispensable une mise à jour des politiques de confidentialité et des contrats de sous-traitance avant fin 2026. Pour les professionnels qui utilisent des outils de signature électronique conformes eIDAS, la traçabilité des consentements et des autorisations constitue un atout considérable pour démontrer la conformité lors d'un audit.

Droits des patients et exercice des droits RGPD

Les patients disposent de l'ensemble des droits RGPD (accès, rectification, effacement, limitation, portabilité, opposition), avec quelques aménagements sectoriels.

Le droit d'accès aux données de santé

Un patient peut demander à accéder à l'ensemble de son dossier médical (art. L. 1111-7 CSP). Le professionnel dispose d'un délai de 8 jours (48 heures pour les données récentes, hospitalisations récentes) et de 2 mois pour les données plus anciennes. La CNIL et le Défenseur des droits ont tous deux sanctionné des établissements qui refusaient ou retardaient ces demandes.

Le droit à l'effacement et ses limites

Le « droit à l'oubli » est encadré par des durées légales de conservation : 20 ans pour les dossiers médicaux adultes, 28 ans si l'acte a été réalisé avant la majorité. Ces durées légales priment sur toute demande d'effacement anticipé — le responsable de traitement doit l'expliquer clairement au patient.

La gestion des demandes par voie électronique

Pour les établissements qui ont dématérialisé leurs processus, les demandes d'exercice de droits peuvent être transmises et traitées via des formulaires sécurisés. L'horodatage électronique qualifié des demandes et des réponses constitue une bonne pratique permettant de prouver le respect des délais réglementaires lors d'un contrôle CNIL.

Cadre légal applicable à la protection des données de santé

La conformité des professionnels de santé et de leurs partenaires technologiques repose sur une articulation de textes européens et nationaux qu'il convient de maîtriser.

RGPD — Règlement (UE) n° 2016/679 du 27 avril 2016 : pierre angulaire du dispositif, il qualifie les données de santé de données sensibles (art. 4 §15), en interdit le traitement sauf exceptions limitativement listées (art. 9 §2), impose l'AIPD (art. 35), la désignation d'un DPO (art. 37), la notification des violations (art. 33-34) et des mesures de sécurité proportionnées (art. 32). Les sanctions prévues atteignent 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel — le montant le plus élevé étant retenu.

Loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978 modifiée) : transposant le RGPD en droit français, elle habilite la CNIL à adopter des référentiels sectoriels spécifiques à la santé et définit les modalités d'accès au SNDS.

Code de la santé publique — art. L. 1111-7 et L. 1111-8 : consacrent le droit d'accès du patient à son dossier médical et l'obligation d'hébergement auprès d'un HDS certifié.

Référentiel HDS (Hébergeur de Données de Santé) : publié par l'Agence du Numérique en Santé (ANS), il définit six activités de certification couvrant l'infrastructure physique, la plateforme et les logiciels applicatifs.

Directive NIS 2 — Directive (UE) 2022/2555, transposée en France par la loi du 26 mars 2025 : soumet les entités essentielles du secteur santé (hôpitaux de plus de 30 000 patients/an, fabricants de dispositifs médicaux classe IIb et III, laboratoires de référence) à des obligations de cybersécurité renforcées, notamment la notification à l'ANSSI dans les 24 heures en cas d'incident significatif, et la mise en place de plans de réponse aux incidents testés annuellement.

Règlement eIDAS n° 910/2014 et eIDAS 2.0 (Règlement (UE) 2024/1183) : encadrent la valeur juridique des signatures électroniques utilisées pour les consentements, actes médicaux dématérialisés et contrats avec les prestataires. La signature électronique avancée ou qualifiée est recommandée pour tout acte dont la valeur probatoire peut être contestée.

Règlement EEDS (Règlement européen sur l'Espace Européen des Données de Santé, 2025) : renforce les droits des patients sur leurs données primaires et encadre l'usage des données secondaires pour la recherche, avec la création d'organismes d'accès aux données de santé dans chaque État membre.

Risques juridiques concrets : outre les amendes administratives CNIL, les responsables de traitement s'exposent à des actions en responsabilité civile (art. 82 RGPD), à des poursuites pénales (art. 226-17 du Code pénal, peine maximale de 5 ans d'emprisonnement et 300 000 € d'amende pour personne morale), et à des dommages réputationnels dont l'impact économique dépasse souvent le montant de l'amende elle-même.

Scénarios d'usage : conformité RGPD et données de santé en pratique

Scénario 1 — Un groupement de cliniques privées gérant environ 1 200 lits

Un groupement de cliniques privées de taille intermédiaire (environ 1 200 lits répartis sur trois sites) traitait ses consentements patients sur formulaires papier, stockés dans des classeurs physiques peu sécurisés. Lors d'un audit interne préparatoire à un contrôle CNIL, plusieurs lacunes ont été identifiées : impossibilité de retrouver rapidement un consentement daté de plus de deux ans, absence de traçabilité pour les consentements relatifs à la vidéo-surveillance médicale et aux transmissions à des tiers (assureurs, médecins correspondants).

La direction a déployé une solution de signature électronique qualifiée intégrée au système d'information hospitalier. Résultats mesurés à six mois : le délai de traitement des demandes d'accès au dossier est passé de 14 à 4 jours ouvrés (réduction de 71 %), le temps de recherche d'un consentement est tombé à moins de 2 minutes contre 45 minutes en moyenne auparavant, et le groupement a obtenu sa certification HDS pour la couche applicative.

Scénario 2 — Un éditeur de solution de télémédecine pour spécialistes libéraux

Une entreprise éditant une plateforme de consultation à distance pour des spécialistes libéraux (environ 4 000 médecins utilisateurs actifs) était exposée à un risque majeur : ses serveurs étaient hébergés chez un prestataire cloud américain sans clause contractuelle conforme à l'article 28 du RGPD, et sans certification HDS. La plateforme collectait pourtant des comptes-rendus de consultation, des ordonnances et des photos cliniques.

Après une analyse d'impact (AIPD) conduite avec un DPO externe, l'entreprise a migré vers un hébergeur certifié HDS implanté en France, revu l'ensemble de ses contrats sous-traitants et intégré un mécanisme de consentement éclairé horodaté avant chaque consultation. Elle a également mis en place une procédure de notification interne des incidents en moins de 12 heures, permettant de respecter le délai réglementaire de 72 heures vers la CNIL. Le coût de la mise en conformité a été estimé à 180 000 € — à comparer aux 400 000 € d'amende prononcée par la CNIL contre un acteur comparable du secteur la même année.

Scénario 3 — Un réseau de pharmacies indépendantes

Un groupement d'une quarantaine de pharmacies indépendantes utilisait un logiciel de gestion centralisé traitant les historiques d'ordonnances et les données de fidélité (liées à des profils de santé implicites). Sans DPO désigné et sans registre de traitement à jour, le groupement n'était pas en mesure de répondre à une demande d'exercice de droits d'un patient sous 30 jours.

Un projet de conformité étalé sur huit mois a permis de désigner un DPO mutualisé (solution courante et licite pour les groupements de PME), de documenter 23 traitements distincts dans le registre, de revoir la politique de durées de conservation (les données de fidélité étaient conservées 10 ans sans justification), et de former l'ensemble du personnel officinal aux bons réflexes en cas de demande d'un patient ou d'un contrôleur. Le risque d'amende estimé ex-ante dépassait 150 000 €.

Questions fréquentes

Les données de santé collectées par une application mobile sont-elles soumises au RGPD ?

Oui, dès lors que l'application collecte des données permettant d'inférer l'état de santé d'une personne (fréquence cardiaque, suivi menstruel, glycémie, alimentation), ces données constituent des données de santé au sens de l'article 4 §15 du RGPD. L'éditeur est responsable de traitement et doit obtenir un consentement explicite, héberger les données chez un prestataire certifié HDS et réaliser une AIPD si le traitement est à grande échelle.

Un médecin libéral exerçant seul doit-il désigner un DPO ?

Non, la désignation d'un DPO n'est pas obligatoire pour un médecin libéral exerçant seul ou en cabinet de moins de quelques praticiens, sauf si les traitements portent sur des données de santé à grande échelle. En revanche, ce médecin reste responsable de traitement et doit tenir un registre des traitements, appliquer le principe de minimisation des données et être en mesure de répondre aux demandes d'exercice de droits de ses patients dans les délais réglementaires.

Quelles sanctions la CNIL peut-elle prononcer en cas de violation de données de santé ?

La CNIL dispose d'un pouvoir de sanction administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu. Au-delà de l'amende, elle peut prononcer une injonction de mise en conformité avec astreinte, ou rendre la décision publique. Sur le plan pénal, l'article 226-17 du Code pénal prévoit jusqu'à 5 ans d'emprisonnement et 300 000 € d'amende pour les personnes morales.

Un sous-traitant (logiciel, cloud) est-il responsable en cas de fuite de données de santé ?

Oui. Le RGPD (art. 28 et 82) établit une responsabilité conjointe du responsable de traitement et du sous-traitant vis-à-vis des personnes concernées. Le sous-traitant est directement responsable s'il a agi hors des instructions du responsable de traitement ou s'il n'a pas respecté ses propres obligations RGPD. Il est donc essentiel de formaliser un contrat de sous-traitance précis et de s'assurer que l'hébergeur est certifié HDS pour les données de santé.

La certification HDS est-elle obligatoire pour tous les acteurs du numérique en santé ?

La certification HDS est obligatoire pour tout prestataire qui héberge, administre ou exploite des systèmes d'information contenant des données de santé à caractère personnel pour le compte d'un tiers. Elle s'impose donc aux prestataires cloud, éditeurs de SaaS médical et plateformes de télémédecine. En revanche, un professionnel de santé qui héberge ses propres données (sans les confier à un tiers) n'est pas directement soumis à cette obligation, mais reste tenu aux mesures de sécurité de l'article 32 du RGPD.

Conclusion

La protection des données de santé constitue, en 2026, l'un des enjeux réglementaires les plus complexes et les plus surveillés du secteur numérique. Entre le RGPD, la loi Informatique et Libertés, l'obligation d'hébergement HDS, la directive NIS 2 et l'émergence de l'Espace Européen des Données de Santé, les professionnels doivent maintenir une veille permanente et structurer leur conformité autour de cinq piliers : registre des traitements, AIPD, DPO, sécurité technique et gestion des droits des patients.

Certyneo accompagne les acteurs de la santé dans la dématérialisation sécurisée de leurs processus : recueil de consentements horodatés, signature électronique qualifiée des contrats avec des prestataires, traçabilité probatoire de chaque acte. Découvrez comment notre solution peut renforcer votre conformité RGPD en visitant notre espace dédié aux professionnels de santé ou en démarrant gratuitement sur Certyneo.