RGPD santé : les règles pour cabinets, EHPAD et associations

Cabinet médical, maison de santé, EHPAD, service d'aide à domicile ou association d'accompagnement : ces structures traitent chaque jour des informations sur l'état de santé des personnes suivies. Le RGPD santé n'est pas un texte distinct : c'est le RGPD lui-même, complété par le Code de la santé publique et les référentiels de la CNIL. Voici ce qu'il impose aux structures de taille modeste.

Qu'est-ce qu'une donnée de santé au sens du RGPD ?

Une donnée de santé est une information relative à la santé physique ou mentale, passée, présente ou future, d'une personne, y compris la prestation de soins qui révèle un élément sur son état. Cette définition de l'article 4 du RGPD dépasse l'ordonnance ; la CNIL la décline en trois catégories.

• Par nature : antécédents, maladie, résultat d'examen, traitement, handicap.
• Par croisement : une information anodine seule, mais qui renseigne sur la santé une fois combinée à d'autres.
• Par destination : une information qui devient donnée de santé parce qu'elle est utilisée dans un contexte médical.

Cette grille, détaillée sur la page de la CNIL consacrée à la donnée de santé, a une conséquence pratique : le planning d'un service d'aide à domicile ou le motif de rendez-vous saisi par un secrétariat en relèvent. Pour le régime général de l'article 9, voir notre article sur les données sensibles au sens du RGPD.

Sur quelle base un cabinet ou un EHPAD peut-il traiter des données de santé ?

Le traitement des données de santé est interdit par principe, sauf exception prévue à l'article 9, paragraphe 2 du RGPD. Pour les soins et l'accompagnement, l'exception utilisée est le point h : traitement nécessaire aux fins de diagnostics médicaux, de prise en charge sanitaire ou sociale, ou de gestion des services de soins. Le consentement du patient n'est donc pas la base du dossier médical.

Le paragraphe 3 du même article y ajoute une condition : les données doivent être traitées par un professionnel soumis au secret professionnel, ou sous sa responsabilité. Le point i couvre l'intérêt public en santé publique. Le texte de l'article 9 du RGPD est reproduit sur le site de la CNIL. Une structure qui applique le RGPD santé note donc dans son registre, pour chaque traitement, l'exception de l'article 9 retenue et la base de licéité de l'article 6.

Secret professionnel et partage entre professionnels : où est la limite ?

Le secret professionnel n'interdit pas le partage d'informations entre les professionnels qui participent à la prise en charge d'une même personne. La règle, fixée par le Code de la santé publique, est que chaque intervenant accède uniquement aux informations nécessaires à sa mission.

La CNIL l'a rappelé en février 2024, après des contrôles portant sur le dossier patient informatisé d'établissements de santé. Plusieurs mises en demeure ont été prononcées sur le fondement de l'article 32 du RGPD et de l'article L. 1110-4 du Code de la santé publique, selon la communication de la CNIL sur l'accès au dossier patient informatisé.

Où héberger les dossiers patients ?

Lorsque des données de santé sont stockées par un prestataire pour le compte d'un professionnel ou d'une structure, cet hébergeur doit être certifié pour l'hébergement de données de santé (certification HDS), en application de l'article L. 1111-8 du Code de la santé publique.

Le guide pratique du Conseil national de l'Ordre des médecins et de la CNIL le rappelle pour le logiciel à distance comme pour la sauvegarde externalisée : le tiers ou son sous-traitant doit être certifié. Le RGPD santé impose de poser la question à chaque éditeur avant de signer. Les mesures techniques sont décrites dans notre guide sur la sécurité des données.

Quels référentiels CNIL et quelles obligations selon la structure ?

Les référentiels sectoriels de la CNIL décrivent, par type de structure, les finalités admises, les données collectables, les durées de conservation et les destinataires. S'y conformer permet de démontrer sa conformité.

Le référentiel pour les cabinets médicaux et paramédicaux date de juillet 2020. Le référentiel pour le suivi social et médico-social a été adopté en mars 2021 et vise les organismes, publics ou privés, d'accueil, d'hébergement ou d'accompagnement. La liste des traitements soumis à AIPD cite expressément les dossiers des résidents en EHPAD et l'accompagnement social ou médico-social. Sur les durées, le guide CNOM-CNIL retient pour le dossier patient vingt ans à compter de la dernière consultation, avec des règles particulières pour les mineurs et après un décès. Ces textes forment le socle du RGPD santé pour une petite structure.

Que montrent les sanctions CNIL récentes dans le secteur ?

En septembre 2024, la CNIL a sanctionné Cegedim Santé, éditeur de logiciels de cabinets médicaux, de 800 000 euros : les données collectées pour un observatoire étaient pseudonymes, non anonymes, et le traitement aurait dû être autorisé au préalable. En mai 2026, IQVIA Operations France a été sanctionnée de 5 millions d'euros pour des entrepôts alimentés par des pharmacies et des médecins, avec un défaut d'information des patients.

Retirer le nom du patient ne rend pas les données anonymes : elles restent soumises au RGPD santé tant qu'une réidentification est possible. Et la structure qui collecte reste responsable de traitement : à elle d'encadrer son éditeur par contrat et d'informer les patients, par exemple par un affichage en salle d'attente, comme le recommande la page de la CNIL pour les professionnels de santé libéraux.

À retenir

• Le dossier patient repose sur l'article 9.2 h du RGPD, sous la responsabilité d'un professionnel tenu au secret, pas sur le consentement.
• Chaque intervenant n'accède qu'aux informations nécessaires à sa mission ; habilitations et journalisation sont contrôlées.
• Un hébergeur tiers de données de santé doit être certifié HDS (article L. 1111-8 du Code de la santé publique).
• Les référentiels CNIL de 2020 et 2021 donnent un cadre prêt à l'emploi ; l'AIPD est requise dans le médico-social.