Chapitre 3 — Données de santé · Topic 2 · Leçon 2.1
Une fois qu’on sait ce que l’on manipule (donnée personnelle, sensible, de santé), il faut savoir qui le manipule et selon quelles règles. Cette leçon présente la notion RGPD de traitement, les trois acteurs clés (RT, DPO, sous-traitant), et les 4 critères d’un consentement valide — l’un des piliers du régime.
🎯 Objectifs pédagogiques
- Définir la notion de traitement de données (RGPD art. 4) ;
- Identifier les trois acteurs : RT, DPO, sous-traitant ;
- Comprendre le principe d’accountability et ses implications ;
- Nommer les 4 critères d’un consentement valide (libre, spécifique, éclairé, univoque) ;
- Connaître la procédure en cas de violation de données à caractère personnel.
🧭 Plan de la leçon
- La notion de « traitement » selon le RGPD
- Les trois acteurs : RT, DPO, sous-traitant
- Le principe d’accountability et ses implications
- Le consentement — 4 critères cumulatifs
- Violation de données : notification 72 h et sanctions
1. La notion de « traitement » selon le RGPD
Un traitement est « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel ».
Toute opération, même effectuée à la main : c’est là le point à retenir. Ranger un dossier papier dans une armoire est un traitement, tout autant que faire tourner un algorithme.
- Collecte, enregistrement, organisation, structuration, conservation ;
- Adaptation ou modification, extraction, consultation, utilisation ;
- Communication par transmission, diffusion, mise à disposition ;
- Rapprochement ou interconnexion, limitation ;
- Effacement ou destruction.
La liste est volontairement très large : le RGPD veut couvrir tout le cycle de vie de la donnée, du recueil à la suppression.
2. Les trois acteurs : RT, DPO, sous-traitant
a. Le responsable du traitement (RT)
Le responsable du traitement est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ». C’est lui qui est responsable en cas de contrôle ou d’infraction.
À l’hôpital, le RT est l’établissement (représenté par son directeur). En cabinet libéral, c’est le professionnel de santé lui-même. Dans un essai clinique, c’est le promoteur.
b. Le DPO (Data Protection Officer)
Le délégué à la protection des données (DPD en français, DPO en anglais) est le référent conformité au sein d’un organisme. Il :
- Informe et conseille l’organisme et ses employés ;
- Contrôle le respect du RGPD et du droit national ;
- Conseille sur la réalisation d’une analyse d’impact (AIPD) et en vérifie l’exécution ;
- Est l’interlocuteur des personnes concernées ;
- Coopère avec la CNIL (dont il est le point de contact).
c. Le sous-traitant
Le sous-traitant est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ». Exemples courants : hébergeur de dossiers médicaux, éditeur de logiciel de facturation, cabinet d’audit externe.
Le RT reste responsable même quand il délègue à un sous-traitant. Il doit : (1) choisir un sous-traitant présentant des garanties suffisantes, (2) formaliser la relation par contrat écrit (art. 28 RGPD), (3) auditer périodiquement. Un sous-traitant qui outrepasse ses instructions devient à son tour responsable du traitement — d’où l’importance des clauses contractuelles.
3. Le principe d’accountability et ses implications
Le RGPD a allégé les formalités préalables auprès de la CNIL (fin des déclarations systématiques) mais, en contrepartie, il a responsabilisé les acteurs : le RT doit être en mesure de démontrer, à tout moment, sa conformité. C’est le principe d’accountability.
- Tenir un registre des activités de traitement : quels traitements, quelles données, quelle finalité, qui a accès ;
- Conduire des analyses d’impact (AIPD) pour les traitements à « risque élevé » ;
- Encadrer l’information des personnes concernées ;
- Garantir l’effectivité des droits (accès, rectification, opposition…) ;
- Formaliser les rôles et responsabilités avec chaque sous-traitant ;
- Documenter les mesures de sécurité mises en place.
4. Le consentement — 4 critères cumulatifs
Le consentement est « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».
Le consentement est une des 6 bases légales prévues par le RGPD — pas la seule. Voir Leçon 2.2.
| Critère | Ce que ça veut dire |
|---|---|
| Libre | Ni contraint ni influencé. La personne doit avoir un choix réel, sans conséquence négative en cas de refus. Un patient qui accepte d’entrer dans un essai clinique ne doit pas être avantagé pour la prise de RDV ; celui qui refuse ne doit pas perdre en qualité de soins. |
| Spécifique | Un consentement = un traitement = une finalité. On ne peut pas obtenir un consentement trop général : à chaque nouvelle finalité, nouveau consentement. |
| Éclairé | Le consentement doit être précédé d’une information loyale et adaptée : pas besoin de lire des dizaines de pages, mais l’essentiel doit être compréhensible et fourni avant la décision. |
| Univoque | Le consentement doit être donné par une déclaration ou tout autre acte positif clair. Aucune ambiguïté. Exemples non valides : case pré-cochée, formule « une absence de réponse vaut consentement ». |
Corollaire : le consentement s’accompagne toujours d’un droit de retrait — la personne peut le retirer aussi facilement qu’elle l’a donné.
Le cours Sorbonne liste 12 questions clés à se poser avant tout traitement (finalité, base légale, exception au principe d’interdiction pour données de santé, minimisation, exactitude, information du patient, durée de conservation, sécurité, périmètre de la section 3 de la LIL, qualification RIPH/RNIPH, conformité à un référentiel MR-001 à MR-006…). Ces questions ne sont pas à réciter par cœur mais à comprendre dans leur logique : on ne collecte jamais de donnée sans finalité déterminée, base légale identifiée, et information du patient.
5. Violation de données : notification 72 h et sanctions
Une violation de données à caractère personnel est « une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ».
En cas de violation, l’art. 33 du RGPD impose au RT de notifier la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Ce délai est un point d’examen classique.
- Sanction pécuniaire : en cas de défaut de sécurisation et d’information (le RGPD prévoit jusqu’à 20 M€ ou 4 % du chiffre d’affaires mondial, selon le plus élevé — plafond européen général) ;
- Sanction disciplinaire et pénale : en cas de copie des données de santé sans autorisation (Code pénal, Code de la santé publique).
🧠 À retenir absolument
- Traitement : toute opération, automatisée ou non, appliquée à des données personnelles.
- 3 acteurs : RT (qui détermine finalités et moyens, responsable en cas d’infraction), DPO (chef d’orchestre conformité, point de contact CNIL), sous-traitant (traite pour le compte du RT).
- Accountability : le RT doit démontrer sa conformité à tout moment (registre, AIPD, information, documentation sécurité).
- Consentement : 4 critères cumulatifs — libre, spécifique, éclairé, univoque — + droit de retrait.
- Violation de données : notification CNIL sous 72 heures (art. 33 RGPD).
- Toute opération sur données personnelles = traitement à inscrire au registre.
❓ Questions fréquentes
Un cabinet médical doit-il obligatoirement avoir un DPO ?
L’article 37 du RGPD rend le DPO obligatoire dans trois cas : activités publiques, suivi régulier et systématique à grande échelle de personnes, ou traitement à grande échelle de données sensibles. Un cabinet médical individuel n’atteint pas ces seuils — il n’a donc pas l’obligation. Un hôpital, une clinique, un laboratoire de biologie médicale de taille moyenne, en revanche, oui. Les ordres professionnels (Ordre des médecins, Ordre des pharmaciens) mettent à disposition de leurs membres des DPO mutualisés pour la médecine de ville.
Le consentement est-il obligatoire pour tout traitement en santé ?
Non — et c’est un contresens fréquent. Le consentement est une des 6 bases légales du RGPD. Pour les soins courants, la base légale invoquée est le plus souvent la mission d’intérêt public dans le domaine de la santé (soins, gestion des systèmes de santé) et non le consentement. En revanche, pour la recherche, le consentement écrit reste dans la plupart des cas requis, en application à la fois du RGPD et du Code de la santé publique. Voir Leçon 2.2.
Une case pré-cochée est-elle vraiment invalide ?
Oui, et de longue date. La CJUE l’a rappelé nettement en 2019 dans l’arrêt Planet49 : une case pré-cochée n’est pas un « acte positif clair » — elle ne satisfait pas le critère d’univocité. Même chose pour un bandeau cookies conçu de manière à décourager le refus. Le consentement doit être aussi facile à retirer qu’à donner, sous peine d’être considéré comme non libre.
Que se passe-t-il concrètement en cas de violation de données ?
Trois obligations successives. (1) Notification à la CNIL sous 72 h (art. 33). (2) Si la violation présente un risque élevé pour les personnes, notification aussi aux personnes concernées, individuellement, dans les meilleurs délais (art. 34). (3) Inscription obligatoire dans un registre des violations, tenu par le RT. La CNIL évalue alors, et peut instruire, mettre en demeure, sanctionner. En 2024, plusieurs sanctions retentissantes ont visé des hébergeurs de données de santé.
Quelle différence entre RT et sous-traitant en cas d’audit CNIL ?
Le RT est en première ligne : c’est lui qui rend des comptes, qui produit le registre, qui répond aux demandes des personnes. Le sous-traitant est responsable de sa propre partie (sécurité de son infrastructure, respect du contrat), et peut être sanctionné directement si sa faute est établie. Mais le RT ne peut pas se réfugier derrière son sous-traitant : il devait s’assurer, avant de contracter, que celui-ci offrait des garanties suffisantes.
🚀 Pour aller plus loin
Contenu pédagogique original — Réussir SVT. L’équipe Réussir SVT.