L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Quelles règles pour les données de santé ?
Une interdiction de principe assortie d'exceptions, l'hébergement certifié, l'analyse d'impact et les référentiels de la CNIL.
Une interdiction de principe assortie d'exceptions, l'hébergement certifié, l'analyse d'impact et les référentiels de la CNIL.
Introduction
Les données de santé relèvent des catégories particulières et obéissent à un régime renforcé. Leur champ dépasse largement le dossier médical : la donnée de santé se définit par ce qu’elle révèle, non par sa source.
Le champ
Constituent des données de santé les données relatives à la santé physique ou mentale d’une personne, y compris la prestation de services de soins, qui révèlent des informations sur son état de santé.
Sont ainsi visées les données révélant un état de santé par déduction : une prise de rendez-vous dans un service spécialisé, un remboursement, une absence motivée, un régime alimentaire particulier, certaines données issues d’objets connectés.
Cette conception large est la principale source d’erreur de qualification.
L’interdiction de principe
Le traitement de ces données est interdit, sauf à relever d’une exception.
Les exceptions les plus pertinentes en pratique.
Le consentement explicite de la personne, qui suppose une manifestation particulièrement claire, distincte des autres consentements.
La nécessité aux fins de la médecine préventive ou du travail, de l’appréciation de la capacité de travail, de diagnostics médicaux, de la prise en charge sanitaire ou sociale, lorsque le traitement est mis en œuvre par un professionnel soumis au secret professionnel.
La nécessité pour des motifs d’intérêt public dans le domaine de la santé publique.
La nécessité à la constatation, l’exercice ou la défense d’un droit en justice.
La nécessité aux fins de recherche scientifique, sous les conditions applicables.
Le cadre français
Le droit français ajoute un régime propre, notamment pour la recherche.
Des méthodologies de référence, publiées par la CNIL, permettent de conduire certains traitements sur simple engagement de conformité, sans autorisation préalable.
Hors de ces référentiels, une autorisation reste requise pour certaines catégories de traitements.
La vérification de l’existence d’un référentiel applicable constitue donc la première étape de tout projet.
L’hébergement
L’hébergement de données de santé à caractère personnel, recueillies dans le cadre d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte d’un tiers, suppose une certification de l’hébergeur.
Cette obligation est fréquemment ignorée par les éditeurs de solutions numériques en santé, y compris des acteurs récents.
Elle doit être vérifiée avant tout déploiement, la certification étant publique.
La sécurité renforcée
Le chiffrement des données au repos et en transit.
Une gestion des habilitations stricte, fondée sur le besoin d’en connaître et régulièrement revue.
La traçabilité des accès, avec une conservation adaptée.
Une authentification forte pour les accès aux données.
Une politique de sauvegarde et de continuité éprouvée.
Ces mesures ne sont pas des recommandations : leur absence, en présence de données de santé, caractérise un manquement à l’obligation de sécurité.
L’analyse d’impact
Le traitement à grande échelle de données de santé figure parmi les cas où l’analyse d’impact est expressément requise.
En deçà de la grande échelle, elle demeure fortement recommandée, ces traitements figurant sur les listes des opérations à risque élevé.
Le secret professionnel
Pour les professionnels de santé, le secret médical s’ajoute au régime des données personnelles.
Les deux corps de règles se cumulent : une transmission conforme au règlement peut néanmoins constituer une violation du secret.
Cette superposition doit être examinée dans tout projet impliquant un partage d’informations entre acteurs.
Les acteurs non médicaux
Les employeurs, assureurs, plateformes de bien-être et éditeurs d’applications traitent fréquemment des données de santé sans l’identifier.
Un arrêt de travail, un aménagement de poste, un questionnaire de santé, un suivi d’activité physique appellent le régime renforcé.
La première mesure consiste donc à qualifier, avant de sécuriser.
Qualifier avant de construire
La plupart des difficultés naissent d’une qualification tardive. Notre expertise RGPD et protection des données personnelles accompagne ces projets.
En résumé
- La donnée de santé se définit par ce qu’elle révèle, y compris par déduction.
- Interdiction de principe, assortie d’exceptions à identifier précisément.
- Vérifier l’existence d’un référentiel ou d’une méthodologie de référence applicable.
- L’hébergement pour le compte d’un tiers suppose une certification de l’hébergeur.
- Le secret professionnel se cumule avec le régime des données personnelles.
Questions fréquentes
Les données de santé sont-elles interdites de traitement ?
Le traitement des données concernant la santé est interdit par principe, sauf à relever de l'une des exceptions prévues par le règlement, notamment le consentement explicite, la médecine préventive ou l'intérêt public dans le domaine de la santé.
Faut-il un hébergeur certifié ?
L'hébergement de données de santé à caractère personnel pour le compte d'un tiers, dans le cadre d'une activité de prévention, de diagnostic ou de soins, suppose une certification de l'hébergeur.
Une analyse d'impact est-elle obligatoire ?
Elle l'est en cas de traitement à grande échelle de données de santé, et s'impose en pratique dans la plupart des projets, ces traitements figurant parmi ceux identifiés comme à risque élevé.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
