Un éditeur santé doit prouver sa conformité à des clients qui en répondent
Doctinum édite une solution de santé numérique utilisée par des établissements et des professionnels de santé. Dans cette architecture, l'éditeur n'est pas responsable de traitement : il agit pour le compte de ses clients, sur leurs instructions, au sens de l'article 28 du RGPD. Ce sont eux qui répondent devant la CNIL des traitements réalisés grâce à l'outil.
Cette position change la nature de l'exigence. Un éditeur santé ne doit pas seulement être conforme, il doit être capable de le démontrer à des clients dont la propre responsabilité dépend de la qualité de son dispositif. Chaque appel d'offres, chaque questionnaire de due diligence, chaque audit d'établissement devient un examen de la documentation de conformité. La conformité cesse d'être un sujet purement juridique pour devenir un actif commercial.
L'enjeu clé
Constituer un dossier de conformité de sous-traitant assez solide pour qu'un établissement de santé s'appuie dessus sans réserve, et assez lisible pour répondre vite aux questionnaires de ses acheteurs.
Les obligations propres à un éditeur de solution santé se superposent :
- L'hébergement de données de santé : en France, héberger des données de santé à caractère personnel impose de recourir à un hébergeur certifié HDS, et de documenter la chaîne de sous-traitance jusqu'à l'infrastructure.
- Le registre du sous-traitant : l'article 30.2 impose un registre distinct de celui du responsable de traitement : il recense les catégories de traitements effectués pour le compte de chaque client, et non les finalités poursuivies.
- Les clauses de sous-traitance : l'article 28.3 fixe un contenu contractuel obligatoire, des instructions du responsable à la restitution ou à l'effacement des données en fin de contrat.
- La sécurité du produit : l'article 32 impose des mesures techniques et organisationnelles adaptées au risque, particulièrement élevé s'agissant de données de santé.
- La protection dès la conception : l'article 25 engage à intégrer minimisation, cloisonnement et paramétrage protecteur par défaut dans les choix d'architecture du produit.
- La gestion des violations : un sous-traitant ne notifie pas la CNIL : il alerte sans délai le responsable de traitement, qui apprécie la notification. Ce circuit doit être écrit avant d'en avoir besoin.
Transformer la conformité en dossier de preuve présentable
Nous avons abordé la mission comme la construction d'un dossier opposable : chaque exigence de l'article 28 traduite en document, chaque mesure de sécurité décrite dans un format réutilisable face à un acheteur. L'objectif était que l'équipe commerciale puisse répondre à un questionnaire de due diligence sans mobiliser un juriste à chaque fois.
Les axes de travail :
- Qualification des rôles : délimitation précise de ce qui relève du sous-traitant et de ce qui reste au responsable de traitement, y compris pour les traitements propres de l'éditeur, tels que son propre CRM ou ses données RH.
- Registre du sous-traitant : construction du registre de l'article 30.2, organisé par catégorie de traitement et par client, avec les sous-traitants ultérieurs et les mesures de sécurité associées.
- Modèle d'accord de sous-traitance : rédaction d'un DPA conforme à l'article 28.3, prêt à être annexé aux contrats clients, avec les clauses d'audit, de sous-traitance ultérieure et de sort des données en fin de contrat.
- Chaîne HDS documentée : vérification de la certification de l'hébergeur, cartographie des flux jusqu'à l'infrastructure et formalisation des engagements contractuels correspondants.
- Dossier de sécurité : description des mesures de l'article 32 dans un document destiné aux clients : cloisonnement des environnements, gestion des accès, chiffrement, journalisation, sauvegardes et tests.
- Kit de réponse aux due diligences : base de réponses aux questions récurrentes des acheteurs publics et privés, mise à jour au fil des évolutions du produit.
- Procédure de violation orientée client : circuit interne de détection et de qualification, avec le modèle d'information du responsable de traitement et les éléments à lui fournir pour qu'il décide de notifier.
De l'architecture du produit au dossier remis au client
Analyse de la position contractuelle
Nous avons examiné les contrats clients et les usages du produit pour établir précisément où s'arrête le rôle de sous-traitant et où commencent les traitements propres de l'éditeur.
Revue du produit au regard de l'article 25
Les choix d'architecture ont été passés en revue sous l'angle de la minimisation, du cloisonnement entre clients, de la gestion des habilitations et des paramètres protecteurs par défaut.
Construction du registre et du DPA
Le registre de l'article 30.2 et le modèle d'accord de sous-traitance ont été rédigés ensemble, afin que ce qui est promis contractuellement corresponde à ce qui est documenté.
Formalisation du dossier de sécurité
Les mesures techniques et organisationnelles ont été décrites dans un document exploitable en avant-vente, sans exposer d'information permettant de faciliter une attaque.
Outillage des équipes
Commerce, produit et technique ont été dotés de repères communs : qui répond à quoi dans un questionnaire client, qui déclenche la procédure de violation, à quel moment consulter le juriste avant une évolution du produit.
Un dossier de conformité qui sert aussi en avant-vente
L'éditeur dispose d'un dossier de sous-traitant structuré, cohérent avec la réalité de son produit et présentable tel quel à un établissement de santé. Les questionnaires de due diligence, qui mobilisaient auparavant plusieurs interlocuteurs, s'appuient désormais sur une base de réponses documentée.
Ce qui a changé :
- Une posture assumée : le rôle de sous-traitant est clairement délimité, ce qui évite les malentendus contractuels avec les clients responsables de traitement.
- Un argument commercial : la documentation de conformité se présente en avant-vente, sur un marché où l'acheteur santé exige des garanties écrites.
- Un réflexe produit : la protection des données entre dans les arbitrages de conception au lieu d'être vérifiée après le développement.
Livrables remis :
- Registre des catégories de traitements du sous-traitant (article 30.2)
- Modèle d'accord de sous-traitance conforme à l'article 28.3, annexable aux contrats clients
- Cartographie de la chaîne de sous-traitance et documentation de l'hébergement HDS
- Dossier des mesures techniques et organisationnelles (article 32) destiné aux clients
- Base de réponses aux questionnaires de due diligence
- Procédure de gestion des violations avec modèle d'information du responsable de traitement
- Grille de revue produit au titre de la protection dès la conception (article 25)
Pourquoi un éditeur santé gagne à documenter avant qu'on le lui demande
Sur le marché de la santé numérique, l'exigence ne vient pas seulement du régulateur : elle vient des clients. Un établissement qui confie des données de santé à un éditeur engage sa propre responsabilité et exige des garanties écrites avant de signer. Un dossier incomplet ralentit un cycle de vente, quand un dossier solide le raccourcit.
Documenter en amont permet de :
- Raccourcir les cycles de vente : une base de réponses prête évite de bloquer un appel d'offres sur une annexe de sécurité à écrire dans l'urgence.
- Négocier depuis ses propres clauses : proposer son DPA vaut mieux que subir celui du client, souvent plus large que ce que le produit peut tenir.
- Réagir juste en cas d'incident : un sous-traitant qui sait informer son client dans les bons termes et dans les bons délais protège la relation autant que la conformité.
À retenir
Pour un éditeur de solution santé, la documentation de conformité n'est pas un coût administratif : c'est la pièce que le client lit avant de signer, et celle qu'il ressortira en cas de contrôle.
Envie du même accompagnement ?
Faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et bâtir votre plan d'action.
