Chapitre 3 — Données de santé · Topic 2 · Leçon 2.2
Le régime français des données de santé s’appuie sur trois étages superposés : le règlement européen RGPD (2016, applicable depuis 2018), la loi française Informatique et Libertés (LIL, 1978, plusieurs fois amendée) et le tout récent Espace Européen des Données de Santé (EEDS/EHDS, en vigueur depuis mars 2025). Cette leçon expose ce cadre, le principe d’interdiction et ses exceptions, les 6 bases légales, et les 6 droits des personnes.
🎯 Objectifs pédagogiques
- Nommer les 3 étages du cadre réglementaire (RGPD, LIL, EEDS) ;
- Comprendre le principe général — traitement interdit sauf exceptions ;
- Distinguer les exceptions données personnelles (art. 9-II RGPD) et données de santé (LIL) ;
- Connaître le champ d’application du RGPD ;
- Énumérer les 6 droits des personnes et les 6 bases légales.
🧭 Plan de la leçon
- Trois étages : RGPD, LIL, EEDS
- Principe général — traitement interdit sauf exceptions
- Champ d’application du RGPD
- Les 6 droits des personnes
- Les 6 bases légales du RGPD
1. Trois étages : RGPD, LIL, EEDS
a. Le RGPD (2016/679)
- Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, applicable à partir du 25 mai 2018 ;
- Objet (Chap. I, art. 1er) : établir des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
- Protège en particulier le droit à la protection des données à caractère personnel ;
- La libre circulation ne peut pas être interdite ou limitée pour des motifs liés à cette protection.
b. La LIL — loi 78-17 (1978, dite « Informatique et Libertés »)
- Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
- A créé la CNIL (Commission Nationale de l’Informatique et des Libertés) ;
- Dernier décret d’application daté du 29 mai 2019 : adaptation au droit européen (dite « LIL3 »).
- Autorité administrative indépendante ;
- Autorité de contrôle nationale au sens du RGPD (chap. 2 LIL) ;
- Régulateur français des données personnelles ;
- Ses 4 missions : Informer et protéger les droits · Accompagner la conformité / conseiller · Anticiper et innover · Contrôler et sanctionner.
c. L’EEDS — Espace Européen des Données de Santé
L’Espace Européen des Données de Santé (EEDS ou EHDS pour European Health Data Space) est le premier espace de données commun à l’Union européenne consacré à un domaine spécifique, dans le cadre de la stratégie européenne pour les données. Il est en vigueur depuis mars 2025.
Il vise à harmoniser et sécuriser l’accès, le partage et l’utilisation des données de santé en Europe — vision d’un marché unique des données de santé au service des citoyens, des professionnels et des chercheurs, tout en garantissant une protection renforcée des données personnelles.
- Donner aux citoyens les moyens d’accéder à leurs données de santé électroniques, de les maîtriser et de les partager par-delà les frontières pour la prestation de soins (usage primaire) ;
- Permettre la réutilisation sûre et fiable des données de santé à des fins de recherche, d’innovation, d’élaboration des politiques et de règlementation (usage secondaire) ;
- Promouvoir un marché unique des systèmes de dossiers médicaux électroniques (DME) favorisant tant l’usage primaire que secondaire.
2. Principe général — traitement interdit sauf exceptions
Le traitement des données à caractère personnel est interdit par principe, par les articles 9-I du RGPD et 6-I de la LIL. Mais des exceptions sont prévues, différentes selon qu’on parle de données personnelles « ordinaires » ou de données de santé.
a. Exceptions pour les données personnelles (RGPD art. 9-II)
- Consentement explicite de la personne (pour une finalité donnée) ;
- Obligations liées au droit du travail, protection sociale, sécurité sociale ;
- Sauvegarde des intérêts vitaux de la personne ;
- Traitements par une fondation, une association ou tout autre organisme à but non lucratif (sous conditions) ;
- Données rendues manifestement publiques par la personne concernée ;
- Constatation, exercice ou défense d’un droit en justice ;
- Motifs d’intérêt public important ;
- Médecine préventive, diagnostics médicaux, prise en charge sanitaire ou sociale, gestion des systèmes et services de soins ;
- Motifs d’intérêt public dans le domaine de la santé publique ;
- Recherche scientifique, fins archivistiques ou statistiques.
b. Exceptions pour les données de santé (LIL art. 6-II, 44 + section 3)
- Traitements nécessaires aux fins de médecine préventive, diagnostics, administration de soins ou de traitements, gestion de services de santé — mis en œuvre par un membre d’une profession de santé ou une personne tenue au secret professionnel ;
- Études conduites à partir des données recueillies lors du suivi médical individuel par les personnels assurant ce suivi et pour leur usage exclusif (« étude interne ») ;
- Traitements mis en œuvre par les organismes chargés de la gestion d’un régime de base d’assurance maladie et leurs complémentaires ;
- Traitements effectués par les Médecins responsables de l’information médicale (DIM) dans les établissements de santé ;
- Traitements effectués par les ARS et l’État sur l’activité des établissements de santé ;
- Traitements de conception, suivi ou évaluation des politiques publiques de santé (statistique publique).
3. Champ d’application du RGPD
À tout traitement de données personnelles dès lors que :
- le RT est dans l’Union européenne (même si le traitement lui-même est effectué en dehors de l’UE), OU
- les données concernent des personnes se trouvant sur le territoire de l’UE (même si le RT est en dehors de l’UE).
Ce double critère explique la portée extraterritoriale du RGPD — un GAFAM américain qui traite des données de citoyens européens est soumis au RGPD, même sans établissement européen.
- Sur tout traitement de données personnelles, dans le secteur public comme privé ;
- Exceptions : activité strictement personnelle ou domestique ; sécurité publique.
4. Les 6 droits des personnes
| Droit | Caractéristique | Applicabilité en santé |
|---|---|---|
| Accès | Obtenir une copie lisible de ses données | Applicable (RGPD art. 15 + section 3 art. 64 + CSP art. L. 1111-7) |
| Effacement | Demander la suppression intégrale | Peu applicable en soin ; applicable en recherche |
| Opposition | S’opposer à un usage particulier | Applicable en recherche ; sans objet en soin |
| Portabilité | Récupérer ses données dans un format lisible par machine | Totalement applicable (ex. : DMP) |
| Rectification | Modifier des données erronées | Peu / pas applicable en soin |
| Limitation | Bloquer temporairement le traitement | Peu applicable (y compris recherche) |
Note : effacement, opposition, rectification et limitation peuvent être écartés quand la base légale est « exécution d’une mission d’intérêt public » — cas courant en soins et en santé publique.
Le droit d’accès aux données de santé est encadré à la fois par le RGPD (section 3, art. 64 : la communication peut se faire directement à la personne ou par l’intermédiaire d’un médecin qu’elle désigne) et par le Code de la santé publique (art. L. 1111-7 : « Toute personne a accès à l’ensemble des informations concernant sa santé détenues, à quelque titre que ce soit, par des professionnels de santé, […] directement ou par l’intermédiaire d’un médecin qu’elle désigne… »). En pratique, un patient peut obtenir la copie de son dossier sous 8 jours (au-delà de 5 ans après la dernière prise en charge : 2 mois), gratuitement (frais de reproduction et d’envoi éventuellement à sa charge).
5. Les 6 bases légales du RGPD (art. 6)
- Le consentement : la personne a consenti (voir Leçon 2.1) ;
- Le contrat : nécessaire à l’exécution ou à la préparation d’un contrat avec la personne ;
- L’obligation légale : imposé par des textes légaux ;
- La mission d’intérêt public : nécessaire à l’exécution d’une mission d’intérêt public (cas des soins, de la santé publique, de la CNAM…) ;
- L’intérêt légitime : nécessaire à la poursuite d’intérêts légitimes de l’organisme ou d’un tiers, dans le strict respect des droits des personnes ;
- La sauvegarde des intérêts vitaux : nécessaire à la sauvegarde des intérêts vitaux de la personne ou d’un tiers (patient inconscient aux urgences, par exemple).
🧠 À retenir absolument
- 3 étages : RGPD (UE, 2016/2018), LIL (loi 78-17, création CNIL), EEDS (mars 2025).
- Principe cardinal : traitement interdit sauf exceptions listées à l’art. 9-II RGPD (données personnelles) et art. 6-II / 44 / section 3 LIL (données de santé).
- Champ RGPD : RT dans l’UE OU données concernant des personnes sur le territoire UE.
- 6 droits : accès, effacement, opposition, portabilité, rectification, limitation. Accès et portabilité sont pleinement applicables en santé.
- 6 bases légales : consentement, contrat, obligation légale, mission d’intérêt public, intérêt légitime, sauvegarde des intérêts vitaux.
- CNIL : 4 missions : informer/protéger, accompagner/conseiller, anticiper/innover, contrôler/sanctionner.
❓ Questions fréquentes
Le RGPD s’applique-t-il aux données de santé collectées avant 2018 ?
Oui. Le RGPD s’applique à tout traitement en cours, y compris ceux qui portent sur des données collectées avant son entrée en vigueur. Il a fallu, en 2018, « mettre en conformité » les fichiers historiques — c’est ce qui a occupé les DPO pendant deux ans. Ce qui ne veut pas dire tout supprimer et refaire signer : on adapte la base légale et l’information des personnes, on documente, on adapte la sécurité.
Pourquoi la LIL n’a-t-elle pas été abrogée par le RGPD ?
Parce que le RGPD est un règlement européen qui s’applique directement, mais laisse des marges de manœuvre aux États membres, notamment pour les données de santé. La LIL a été révisée en 2018 puis en 2019 pour s’articuler avec le RGPD, et elle continue de porter le régime français spécifique : rôle de la CNIL, dispositions sur la recherche en santé (RIPH/RNIPH), NIR, etc. RGPD et LIL se lisent conjointement — ce n’est pas l’un ou l’autre.
L’EEDS remplace-t-il le RGPD ?
Non. L’EEDS est un règlement sectoriel qui vient compléter le RGPD pour les données de santé. Le RGPD reste le cadre général (définitions, droits, bases légales) ; l’EEDS y ajoute des règles spécifiques : portabilité transfrontière des DME, gouvernance de la réutilisation à des fins de recherche, exigences techniques d’interopérabilité, autorités nationales dédiées (en France, ce rôle est assumé par un consortium ANS-CNIL-DREES).
Quelle base légale pour l’imagerie stockée sur un PACS hospitalier ?
La base légale invoquée est le plus souvent la mission d’intérêt public dans le domaine de la santé (base n° 4), combinée à l’exception « médecine préventive, diagnostics, prise en charge » de l’art. 9-II. Ce n’est pas le consentement du patient. Cette distinction est importante : elle explique pourquoi le patient ne peut pas « refuser » que son IRM soit stockée. Il conserve en revanche des droits d’accès et de portabilité.
Que devient une donnée transférée hors de l’UE (ex. dans un cloud américain) ?
Le RGPD encadre strictement les transferts hors UE : soit le pays destinataire bénéficie d’une décision d’adéquation (peu de pays, souvent contestée pour les USA), soit le RT utilise des clauses contractuelles types (CCT) et met en place des mesures supplémentaires. L’arrêt Schrems II (CJUE 2020) a durci ces exigences. Pour les données de santé, les autorités françaises (CNIL, ANS) recommandent d’utiliser un hébergeur certifié HDS (Hébergeur de Données de Santé) et, si possible, situé dans l’UE.
🚀 Pour aller plus loin
Contenu pédagogique original — Réussir SVT. L’équipe Réussir SVT.