RGPD et Santé

Le Règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, impose à tout organisme de pouvoir démontrer sa conformité : c'est le principe d'accountability (article 5.2 RGPD). Cette exigence pèse plus lourd dès qu'il est question de données de santé.

Les données de santé sont des données sensibles au sens de l'article 9 du RGPD. Leur traitement est interdit par principe, autorisé par exception, et il s'articule avec le Code de la santé publique (CSP) et la loi Informatique et Libertés. En cas de fuite, le préjudice pour les personnes est plus grave, et la CNIL le sanctionne en conséquence.

Les montants le montrent : 1,5 million d'euros contre Dedalus Biologie en avril 2022, 800 000 euros contre Cegedim Santé en septembre 2024, 5 millions d'euros contre IQVIA Operations France en mai 2026, 500 000 euros contre l'Hôpital Privé de la Loire en septembre 2026. Tous les maillons de la chaîne sont concernés : établissements publics et privés, laboratoires, éditeurs de logiciels, hébergeurs, organismes de recherche, assureurs et employeurs.

Ce guide suit l'ordre des questions qu'un DPO du secteur santé se pose en pratique : qualifier la donnée, trouver la base légale, désigner le DPO, mener l'AIPD, encadrer sous-traitants et hébergeur, répondre aux patients dans les bons délais, et anticiper l'espace européen des données de santé.

1 - Qu'est-ce qu'une donnée de santé selon le RGPD ?

Une donnée de santé est une donnée personnelle

Une donnée de santé est d'abord une donnée personnelle : toute information se rapportant à une personne physique identifiée ou identifiable, directement (nom, prénom) ou indirectement (identifiant patient, adresse e-mail, combinaison de données) (article 4.1 RGPD). Une donnée pseudonymisée reste une donnée personnelle : c'est précisément ce que la CNIL a rappelé à Cegedim Santé en 2024 et à IQVIA en 2026.

Une donnée de santé est une donnée sensible

L'article 4.15 du RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale d'une personne, y compris la prestation de services de soins, qui révèlent des informations sur son état de santé. Elles figurent parmi les catégories particulières de l'article 9 RGPD, avec les données génétiques, biométriques, ou celles révélant l'origine ethnique, les opinions politiques ou l'orientation sexuelle.

Le principe est l'interdiction de traitement (article 9.1). L'article 9.2 prévoit dix exceptions limitatives :

1. le consentement explicite de la personne (a) ;
2. les obligations en matière de droit du travail et de la protection sociale (b) ;
3. la sauvegarde des intérêts vitaux d'une personne hors d'état de consentir (c) ;
4. les activités d'une fondation, association ou organisme à but non lucratif, à l'égard de ses membres (d) ;
5. les données manifestement rendues publiques par la personne (e) ;
6. la constatation, l'exercice ou la défense d'un droit en justice (f) ;
7. un motif d'intérêt public important prévu par le droit de l'Union ou d'un Etat membre (g) ;
8. la médecine préventive, la médecine du travail, le diagnostic, la prise en charge sanitaire ou sociale et la gestion des systèmes de santé, sous secret professionnel (h) ;
9. l'intérêt public dans le domaine de la santé publique, par exemple la sécurité des médicaments et dispositifs médicaux (i) ;
10. la recherche scientifique, historique ou statistique, dans les conditions de l'article 89 (j).

Hors de ces hypothèses, le traitement est illicite, quelle que soit la qualité de la sécurité mise en place.

Une donnée de santé, concrètement c'est quoi ?

Le considérant 35 du RGPD retient une définition large. Sont notamment des données de santé :

• les antécédents médicaux, diagnostics, prescriptions, résultats d'examens et comptes rendus de soins ;
• les informations collectées lors de l'inscription à des soins, y compris un numéro attribué pour identifier la personne à des fins de santé ;
• les données qui deviennent des données de santé par croisement, par exemple le nombre de pas quotidien rapproché d'un suivi de perte de poids ;
• les données issues de dispositifs médicaux connectés ou d'applications de suivi, dès lors qu'elles permettent de tirer une conclusion sur l'état de santé.

Le numéro d'inscription au répertoire (NIR, ou numéro de sécurité sociale) n'est pas en soi une donnée de santé, mais son usage est strictement encadré par le décret dit « cadre NIR ». Un professionnel de santé peut l'utiliser dans ses échanges avec l'assurance maladie, et un employeur pour la paie et les déclarations sociales. Hors de ces usages prévus, sa collecte n'est pas permise.

2 - Traiter des données de santé en conformité avec le RGPD

Aux obligations générales du RGPD s'ajoutent, pour les données de santé, des règles propres au RGPD, à la loi Informatique et Libertés et au Code de la santé publique. Voici les dix questions à se poser, dans l'ordre.

Etape n°1 - Identifier la base légale et l'exception de l'article 9

Un traitement de données de santé requiert deux fondements cumulés : une base légale de l'article 6 et l'une des exceptions de l'article 9.2. Les quatre cas les plus fréquents dans le secteur :

Cas n°1 - Le consentement explicite de la personne

Le consentement doit être libre, spécifique, éclairé et univoque (article 4.11), et explicite pour les données sensibles (article 9.2.a). Vous devez pouvoir en apporter la preuve (article 7.1). Voir notre guide sur le consentement explicite. En pratique, il est rarement la bonne base pour les soins : la relation de soin n'est pas toujours compatible avec un consentement réellement libre.

Cas n°2 - La sauvegarde des intérêts vitaux

Par exemple lorsqu'un patient inconscient est pris en charge en urgence et ne peut pas exprimer sa volonté (article 9.2.c).

Cas n°3 - Les données manifestement rendues publiques

Par exemple des résultats médicaux qu'une personne publie délibérément sur un compte librement accessible (article 9.2.e). L'exception s'interprète strictement.

Cas n°4 - La prise en charge sanitaire et sociale

C'est l'exception de l'article 9.2.h, celle de la majorité des traitements des établissements et professionnels de santé : médecine préventive, diagnostic, administration de soins, gestion des services de santé, sous la responsabilité d'un professionnel soumis au secret.

Côté formalités, la loi Informatique et Libertés distingue deux régimes. Les traitements de prise en charge mis en oeuvre par les professionnels et établissements de santé n'exigent aucune démarche préalable auprès de la CNIL. En revanche, les traitements de recherche, d'étude ou d'évaluation dans le domaine de la santé (article 66 et suivants de la loi) doivent soit être conformes à un référentiel ou à une méthodologie de référence (MR-001 à MR-006), soit être autorisés par la CNIL. Nous détaillons ce régime à l'étape n°10.

Etape n°2 - Désigner un délégué à la protection des données (DPO)

Le délégué à la protection des données (DPO) pilote la conformité de l'organisme. L'article 37 RGPD rend sa désignation obligatoire dans trois cas, dont deux concernent directement la santé.

• Les autorités et organismes publics (article 37.1.a) : hôpitaux publics (CHU, CHR, centres hospitaliers), EHPAD publics, groupements hospitaliers de territoire, agences sanitaires. L'obligation tient au statut public, pas au volume de données.
• Les organismes dont l'activité de base consiste en un traitement à grande échelle de données sensibles (article 37.1.c) : c'est le fondement qui s'applique aux cliniques et hôpitaux privés, aux EHPAD privés, aux laboratoires de biologie médicale d'envergure, aux hébergeurs de données de santé et aux éditeurs de dossiers patients.

Un hôpital privé n'est donc pas un organisme public : son obligation de désigner un DPO découle du critère de grande échelle, pas de l'article 37.1.a. Le résultat est le même, mais le fondement compte lorsqu'il faut justifier la désignation lors d'un contrôle.

A l'inverse, le considérant 91 du RGPD exclut la grande échelle pour un médecin exerçant à titre individuel : un cabinet libéral n'est en principe pas tenu de désigner un DPO.

Ne pas désigner un DPO obligatoire expose à une sanction pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (article 83.4 RGPD).

Etape n°3 - Mener une analyse d'impact (AIPD)

Une analyse d'impact relative à la protection des données (AIPD, ou PIA) est obligatoire lorsqu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes (article 35 RGPD). Elle se mène avant la mise en oeuvre du traitement.

La liste de la CNIL des traitements soumis à AIPD (délibération n° 2018-327 du 11 octobre 2018) vise explicitement plusieurs traitements de santé :

• les traitements mis en oeuvre par les établissements de santé ou médico-sociaux pour la prise en charge des personnes ;
• les traitements de données génétiques de personnes dites vulnérables (patients, salariés, enfants) ;
• la constitution d'entrepôts de données de santé ou de registres.

Pour les autres traitements, les lignes directrices du groupe de l'article 29 sur l'AIPD (WP248 rév. 01, reprises par le CEPD) posent neuf critères. Un traitement qui en remplit au moins deux doit en principe faire l'objet d'une AIPD :

1. évaluation ou notation de la personne, y compris le profilage ;
2. décision automatisée produisant un effet juridique ou similaire ;
3. surveillance systématique ;
4. données sensibles ou à caractère hautement personnel ;
5. traitement à grande échelle ;
6. croisement ou combinaison d'ensembles de données ;
7. personnes vulnérables (patients, personnes âgées, enfants) ;
8. usage innovant ou application de nouvelles technologies ;
9. traitement empêchant d'exercer un droit ou de bénéficier d'un service ou d'un contrat.

Une donnée de santé coche à elle seule le critère n°4 : il suffit d'un second critère, très fréquent dans le secteur (patients vulnérables, grande échelle), pour rendre l'AIPD obligatoire. A l'inverse, la liste CNIL des traitements dispensés d'AIPD (délibération n° 2019-118 du 12 septembre 2019) vise les traitements de prise en charge d'un patient par un professionnel de santé exerçant à titre individuel, en cabinet, en officine ou en laboratoire de biologie médicale. Pour la méthode, consultez notre livre blanc sur le PIA.

Etape n°4 - Encadrer les sous-traitants

Editeur de logiciel, plateforme de téléconsultation, prestataire d'infogérance : un acteur qui traite des données de santé pour le compte d'un établissement a le statut de sous-traitant au sens de l'article 28 RGPD. L'établissement reste responsable de traitement, et doit choisir un sous-traitant présentant des garanties suffisantes.

Ce qui ne pèse pas sur le sous-traitant : il n'a pas à rechercher lui-même une base légale ni à recueillir le consentement des patients, qui relèvent du responsable de traitement. En revanche, il peut être lui-même tenu de désigner un DPO s'il traite des données de santé à grande échelle (article 37.1.c), et il doit tenir son propre registre (article 30.2).

Le contrat de sous-traitance, ou DPA, doit prévoir au minimum :

• l'objet, la durée, la nature et la finalité du traitement, le type de données et les catégories de personnes ;
• le traitement sur instruction documentée du responsable uniquement ;
• la confidentialité des personnes autorisées à traiter les données ;
• les mesures de sécurité de l'article 32 RGPD ;
• les conditions de recours à un sous-traitant ultérieur ;
• l'assistance au responsable pour l'exercice des droits et pour les violations de données (article 33 et article 34 RGPD) ;
• la suppression ou la restitution des données en fin de contrat ;
• en cas de transfert vers un pays tiers sans décision d'adéquation, des garanties appropriées comme les clauses contractuelles types.

Le cas d'école reste Dedalus Biologie : par sa délibération SAN-2022-009 du 15 avril 2022, la CNIL a sanctionné cet éditeur de logiciels pour laboratoires d'analyses médicales de 1,5 million d'euros, après la fuite des données de près de 500 000 personnes. Elle a notamment relevé l'absence d'encadrement contractuel conforme à l'article 28 et des mesures de sécurité insuffisantes.

Etape n°5 - Sécuriser les données de santé

L'article 32 RGPD impose des mesures techniques et organisationnelles adaptées au risque. Pour des données de santé, le risque est par nature élevé. Concrètement :

1. évaluer les risques, au regard de l'état des connaissances et des coûts de mise en oeuvre ;
2. déployer des mesures techniques : chiffrement, pseudonymisation ou anonymisation lorsque c'est possible, authentification multifacteur, journalisation, sauvegardes ;
3. déployer des mesures organisationnelles : habilitations par profil et par équipe de soins, sensibilisation des collaborateurs, politique de mots de passe, procédure de gestion des violations ;
4. vérifier que les sous-traitants appliquent des mesures équivalentes.

La sanction de 500 000 euros contre l'Hôpital Privé de la Loire, rendue publique le 3 septembre 2026, en donne la check-list en creux : ni VPN ni authentification multifacteur pour les utilisateurs externes, dont les médecins libéraux, une politique d'habilitation qui ignorait la notion d'équipe de soins, et aucune détection d'activité suspecte dans le dossier patient informatisé. Les données de 524 867 patients et de 202 246 tiers de confiance ont été exposées, et ces derniers n'ont pas été informés (manquement à l'article 34).

Etape n°6 - Recourir à un hébergeur certifié HDS

C'est l'obligation propre au droit français que l'on oublie le plus souvent. L'article L1111-8 du Code de la santé publique impose que toute personne qui héberge des données de santé recueillies lors d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social, pour le compte de leur producteur ou du patient, soit certifiée hébergeur de données de santé (HDS) lorsque l'hébergement est numérique.

• La certification est délivrée par un organisme accrédité par le COFRAC, sur la base d'un référentiel publié par l'Agence du numérique en santé (ANS).
• Elle est valable trois ans, avec un audit de surveillance chaque année.
• Elle distingue deux périmètres : hébergeur d'infrastructure physique, et hébergeur infogéreur (plateforme, administration, sauvegarde externalisée).

Côté DPO, le réflexe est simple : pour chaque prestataire qui stocke ou administre des données de santé, demander le certificat HDS, vérifier qu'il couvre bien l'activité confiée et le reporter dans le registre. Une certification HDS ne vaut pas conformité RGPD : le contrat de l'article 28 reste exigé.

Etape n°7 - Tenir le registre des traitements

Le registre des activités de traitement (article 30 RGPD) est la traduction concrète du principe d'accountability (article 5.2). L'exemption prévue pour les organismes de moins de 250 salariés ne s'applique pas aux traitements de données sensibles : tout organisme qui traite des données de santé doit tenir un registre. Pour chaque traitement, il doit au minimum préciser :

1. le nom et les coordonnées du responsable de traitement et, le cas échéant, du DPO ;
2. les finalités du traitement ;
3. les catégories de personnes concernées (patients, résidents, aidants, personnels) et les catégories de données, en identifiant les données de santé ;
4. les catégories de destinataires, y compris les sous-traitants et l'hébergeur HDS ;
5. les transferts hors de l'Union européenne et leurs garanties ;
6. les durées de conservation, en tenant compte des durées propres au dossier médical (article R1112-7 CSP) ;
7. une description générale des mesures de sécurité.

Dans la pratique, il est utile d'y documenter aussi la base légale de l'article 6, l'exception de l'article 9.2 mobilisée et l'existence d'une AIPD : ce sont les trois premières questions d'un contrôleur de la CNIL.

Etape n°8 - Informer les personnes concernées

L'information des patients et des autres personnes concernées est obligatoire, que les données soient collectées directement (article 13 RGPD) ou indirectement (article 14). Elle doit notamment indiquer :

1. l'identité et les coordonnées du responsable de traitement ;
2. les coordonnées du DPO ;
3. les finalités, la base légale et, pour la santé, l'exception mobilisée ;
4. les destinataires des données ;
5. les transferts hors de l'Union européenne, le cas échéant ;
6. la durée de conservation ou ses critères ;
7. les droits des personnes et leurs modalités d'exercice, dont le droit d'introduire une réclamation auprès de la CNIL ;
8. l'existence d'une décision automatisée ou d'un profilage.

La sanction IQVIA du 26 mai 2026 rappelle que l'information doit atteindre la personne au point de collecte : aucune des quatre pharmacies contrôlées n'informait ses clients que leurs données alimentaient un entrepôt de données.

Etape n°9 - Répondre aux demandes des patients dans les bons délais

C'est ici que se joue une confusion fréquente entre deux régimes, qui n'ont ni le même fondement ni le même délai.

• Le droit d'accès RGPD et les autres droits (articles 15 à 22) : le responsable de traitement répond dans un délai d'un mois à compter de la réception de la demande, prolongeable de deux mois compte tenu de la complexité et du nombre de demandes, à condition d'en informer la personne dans le premier mois (article 12.3 RGPD). Ce délai vaut pour tous les organismes, y compris dans la santé.
• L'accès au dossier médical (article L1111-7 CSP) : le patient accède aux informations de santé détenues par les professionnels et établissements de santé au plus tard dans les huit jours suivant sa demande, et au plus tôt après un délai de réflexion de 48 heures. Le délai est porté à deux mois lorsque les informations datent de plus de cinq ans.

Le délai de huit jours ne remplace donc pas le délai d'un mois du RGPD : il s'y ajoute pour une catégorie précise de demandes, adressées aux professionnels et établissements de santé. Une procédure d'exercice des droits doit qualifier chaque demande dès réception pour lui appliquer le bon délai. Pour structurer le processus, voir notre guide faciliter l'exercice des droits.

Etape n°10 - Recherche, études et entrepôts de données de santé

La recherche en santé obéit au régime spécifique des articles 66 et suivants de la loi Informatique et Libertés. Deux voies :

• la conformité à une méthodologie de référence (MR-001 à MR-006) ou à un référentiel de la CNIL, qui se traduit par un simple engagement de conformité. La CNIL a publié le 26 mai 2026 des versions révisées des MR-001 et MR-003 ;
• à défaut, une autorisation de la CNIL, après avis le cas échéant du comité éthique et scientifique compétent.

Les entrepôts de données de santé relèvent du même régime : référentiel de la CNIL ou autorisation. Deux sanctions récentes en montrent le coût. Le 5 septembre 2024, la CNIL a sanctionné Cegedim Santé de 800 000 euros, notamment pour avoir traité des données de santé sans autorisation, en les présentant à tort comme anonymes. Le 26 mai 2026, elle a sanctionné IQVIA Operations France de 5 millions d'euros pour la gestion de deux entrepôts : sécurité insuffisante, information inexacte, droit d'opposition inopérant. Dans les deux cas, la CNIL a jugé les données pseudonymes, donc soumises au RGPD.

3 - Ce qui arrive : l'espace européen des données de santé (EHDS)

Le règlement (UE) 2025/327 du 11 février 2025 crée l'espace européen des données de santé (EHDS). Publié au Journal officiel de l'Union européenne le 5 mars 2025, il est entré en vigueur le 26 mars 2025. Il ne remplace pas le RGPD : il s'y ajoute, et organise deux usages des données de santé électroniques.

• L'usage primaire, pour les soins : droit pour le patient d'accéder gratuitement à ses données de santé électroniques et de les partager avec un professionnel de santé, y compris dans un autre Etat membre, et exigences d'interopérabilité et de sécurité pour les logiciels de dossier patient.
• L'usage secondaire, pour la recherche, l'innovation et les politiques publiques : accès sur autorisation d'un organisme national d'accès aux données de santé, dans un environnement de traitement sécurisé.

Le calendrier est progressif : application générale à partir du 26 mars 2027, puis à partir du 26 mars 2029 pour le premier groupe de catégories prioritaires (dossiers patients résumés, prescriptions et dispensations électroniques) et pour la plupart des règles d'usage secondaire, enfin à partir du 26 mars 2031 pour les autres catégories (imagerie, résultats d'examens, comptes rendus de sortie).

Pour un DPO, l'enjeu immédiat est d'anticiper : cartographier dès maintenant les catégories de données concernées dans le registre, et identifier quels logiciels de dossier patient devront répondre aux nouvelles exigences.

Les atouts d'un logiciel RGPD pour les données de santé

Dix étapes, des obligations croisées entre RGPD, CSP et loi Informatique et Libertés, et des sanctions qui visent aussi bien les éditeurs que les établissements : le pilotage au tableur atteint vite ses limites. Un logiciel RGPD ne remplace pas l'analyse du DPO, mais il outille trois besoins concrets.

Automatiser les tâches récurrentes

• qualifier chaque demande d'exercice des droits et suivre son échéance, d'un mois au titre du RGPD ou de huit jours pour l'accès au dossier médical ;
• relancer et suivre les sous-traitants, leurs contrats de l'article 28 et leurs certificats HDS ;
• déclencher l'AIPD dès qu'un nouveau traitement remplit les critères.

Maintenir une conformité continue

La conformité est un travail itératif : les traitements évoluent, les prestataires changent, les référentiels de la CNIL sont révisés. Un logiciel permet de mettre à jour le registre au fil des projets, de garder la trace des décisions et de former les équipes sur la durée.

Prouver la conformité

Lors d'un contrôle de la CNIL ou d'un appel d'offres hospitalier, il faut produire vite le registre, les AIPD, les contrats et la preuve de l'information des patients. Centraliser ces preuves sur une même plateforme évite de les reconstituer dans l'urgence.

Comment Leto peut vous aider à gérer les données de santé

Leto est un logiciel SaaS de conformité RGPD conçu pour le quotidien des DPO. Simple à prendre en main, il outille les étapes ci-dessus sans prétendre les faire à votre place.

Registre et cartographie des traitements

Leto structure votre registre des traitements et vous permet d'y qualifier les données de santé, la base légale, l'exception de l'article 9 mobilisée, les destinataires et les durées de conservation. Le registre devient la source unique à partir de laquelle se construisent les autres documents.

Sous-traitants et audit IA

Leto centralise vos sous-traitants, leurs contrats et leurs garanties. Son audit IA des sous-traitants identifie les prestataires qui utilisent de l'intelligence artificielle sur vos données, un point de vigilance croissant pour les éditeurs de logiciels de santé. Hari, l'IA de Leto, vous aide aussi à répondre aux questionnaires de sécurité de vos propres clients.

Analyses d'impact (AIPD)

Leto propose un module d'AIPD qui reprend les informations déjà saisies dans le registre, pour ne pas ressaisir deux fois la même description de traitement.

Exercice des droits

Leto suit les demandes d'exercice des droits (accès, rectification, opposition, effacement, portabilité, limitation) et leurs échéances, pour répondre dans les délais et garder la preuve des réponses.

Sensibilisation des équipes

Les modules de micro-learning de Leto forment soignants, administratifs et prestataires aux bons réflexes, par exemple sur les habilitations et le partage de données patient.

Pour comparer les options du marché, consultez notre comparatif des logiciels RGPD, ou demandez une démo de Leto appliquée à votre établissement.

Questions fréquemment posées

Qu'est-ce qu'une donnée de santé selon le RGPD ?

L'article 4.15 du RGPD définit les données concernant la santé comme les données relatives à la santé physique ou mentale d'une personne, y compris la prestation de soins, qui révèlent des informations sur son état de santé passé, présent ou futur. Ce sont des données sensibles (article 9) : antécédents, diagnostics, résultats d'analyses, prescriptions, données issues de dispositifs médicaux connectés, ou données qui le deviennent par croisement.

Quand le traitement de données de santé est-il autorisé ?

Le traitement est interdit par principe (article 9.1 RGPD) et autorisé seulement dans l'une des dix exceptions de l'article 9.2 : consentement explicite, intérêts vitaux, prise en charge sanitaire et sociale, santé publique, recherche scientifique, entre autres. Il faut en plus une base légale de l'article 6. En France, la recherche et les entrepôts de données exigent aussi la conformité à une méthodologie de référence de la CNIL ou une autorisation.

Un hôpital privé doit-il désigner un DPO ?

Oui, mais pas au même titre qu'un hôpital public. Un hôpital public est un organisme public : la désignation est obligatoire au titre de l'article 37.1.a du RGPD. Une clinique ou un hôpital privé y est tenu au titre de l'article 37.1.c, parce que son activité de base consiste à traiter des données de santé à grande échelle. Un médecin exerçant seul en cabinet n'est en principe pas concerné (considérant 91).

Quel délai pour répondre à une demande d'accès d'un patient ?

Tout dépend de la demande. Au titre du RGPD, le délai est d'un mois, prolongeable de deux mois (article 12.3). Pour l'accès au dossier médical détenu par un professionnel ou un établissement de santé, l'article L1111-7 du Code de la santé publique fixe huit jours au plus tard, après un délai de réflexion de 48 heures, et deux mois si les informations datent de plus de cinq ans.

Quand une analyse d'impact (AIPD) est-elle obligatoire pour les données de santé ?

Elle est obligatoire pour les traitements de prise en charge des établissements de santé et médico-sociaux, les données génétiques de personnes vulnérables et les entrepôts de données de santé (liste CNIL, délibération n° 2018-327 du 11 octobre 2018). Hors de cette liste, elle l'est dès que le traitement remplit au moins deux des neuf critères du CEPD : la donnée de santé en est déjà un.

Faut-il un hébergeur certifié HDS ?

Oui, dès que des données de santé recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social sont hébergées sur support numérique pour le compte de leur producteur ou du patient (article L1111-8 du Code de la santé publique). La certification HDS est délivrée pour trois ans par un organisme accrédité par le COFRAC. Elle ne dispense pas du contrat de sous-traitance de l'article 28 RGPD.

Quelles sanctions en cas de non-conformité sur les données de santé ?

L'amende peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83.5 RGPD). Exemples récents de la CNIL : Dedalus Biologie, 1,5 million d'euros (délibération SAN-2022-009 du 15 avril 2022) ; Cegedim Santé, 800 000 euros (5 septembre 2024) ; IQVIA Operations France, 5 millions d'euros (26 mai 2026) ; Hôpital Privé de la Loire, 500 000 euros (rendue publique le 3 septembre 2026).

Qu'est-ce que l'espace européen des données de santé (EHDS) ?

C'est le cadre créé par le règlement (UE) 2025/327 du 11 février 2025, entré en vigueur le 26 mars 2025. Il organise l'accès des patients à leurs données de santé électroniques et leur réutilisation encadrée pour la recherche. Il s'applique à partir du 26 mars 2027, avec des échéances en 2029 et 2031, et vient s'ajouter au RGPD sans le remplacer.

Conclusion

Le RGPD appliqué à la santé cherche un équilibre : protéger des données parmi les plus sensibles, sans empêcher les soins, la recherche et l'innovation.

Pour un organisme qui traite des données de santé, la check-list reprend les étapes de ce guide : qualifier la donnée, identifier la base légale et l'exception de l'article 9, désigner un DPO lorsque c'est obligatoire, mener les AIPD, encadrer les sous-traitants par un contrat conforme à l'article 28, sécuriser les accès, recourir à un hébergeur certifié HDS, tenir le registre, informer les personnes, répondre aux demandes dans le bon délai, et encadrer la recherche par une méthodologie de référence ou une autorisation.

Pour voir comment Leto outille ces étapes au quotidien, réservez une démo.