Il est vingt heures, le cabinet est vide, et il reste ce compte-rendu à rédiger. Vous ouvrez une intelligence artificielle, vous collez le texte, vous demandez une reformulation. Trente secondes de gagnées, un geste devenu banal.
Ce geste, je ne vais pas vous dire qu'il fait de vous un mauvais professionnel. J'ai été kinésithérapeute ostéopathe, je sais très bien ce que c'est qu'une fin de journée. Mais presque personne n'explique clairement aux praticiens ce qui se passe, juridiquement, quand une donnée de patient entre dans un outil grand public. C'est l'objet de cet article.
Une donnée de santé n'est pas une donnée comme les autres
Le règlement européen sur la protection des données range les données de santé dans ce qu'il appelle une « catégorie particulière », au même titre que les convictions religieuses ou l'origine ethnique. C'est l'article 9 du RGPD, et le principe qu'il pose est net : le traitement de ces données est interdit par défaut, sauf exceptions précises.
Concrètement, un nom associé à une date de naissance et à un motif de consultation suffit à constituer une information de santé. Tapé dans un outil non prévu pour ça, cela peut suffire à faire sortir cette information du cadre protégé. Notez la formulation : peut. Chaque situation s'apprécie au cas par cas, et cet article ne remplace pas l'avis d'un juriste sur votre cas précis.
Ce n'est pas une inquiétude théorique
En septembre 2024, la CNIL a prononcé une sanction de 800 000 euros contre la société CEGEDIM SANTÉ, qui éditait des logiciels utilisés par environ 25 000 cabinets médicaux et 500 centres de santé, pour avoir traité des données de santé insuffisamment anonymisées.
Ce cas ne vous concerne pas directement : il vise un éditeur de logiciel, pas un praticien en exercice. Il est intéressant pour une autre raison. Les données en cause étaient pseudonymisées, c'est-à-dire débarrassées des noms. La CNIL a considéré qu'elles restaient des données de santé. Retirer le nom ne suffit donc pas toujours à sortir du cadre.
Pourquoi un outil grand public n'est pas un sous-traitant
C'est la confusion la plus répandue, et elle est bien compréhensible. On juge un outil sur son utilité quotidienne, pas sur son statut juridique. Or ce sont deux choses différentes.
Un outil d'intelligence artificielle grand public n'a en général signé aucun accord de sous-traitance avec vous. Son hébergement se fait par défaut hors de l'Union européenne. Et selon l'offre souscrite, ses conditions d'utilisation peuvent autoriser la réutilisation du contenu de vos échanges pour entraîner ses modèles. Rarement lu, rarement expliqué.
Pratique au quotidien ne veut donc pas dire conforme au RGPD. La bonne nouvelle, c'est que cette confusion se corrige sans rien acheter et sans changer d'outil.
Quatre réflexes à appliquer dès demain
- Ne jamais taper de donnée identifiante dans un outil d'IA grand public : ni nom, ni date de naissance, ni motif précis. Même « juste pour reformuler une phrase ».
- Anonymiser avant, jamais après. On remplace par « le patient » ou « la séance de ce jour » avant de coller le texte. Ça devient vite un automatisme, comme se laver les mains avant un soin.
- Savoir où sont hébergées les données de l'outil que vous utilisez pour l'administratif.
- Exiger un accord de sous-traitance, ce qu'on appelle un DPA (article 28 du RGPD), auprès de tout prestataire qui touche, même indirectement, à vos données patients.
Et un cinquième, souvent oublié : tenir un registre des traitements, même minimal. En exercice solo, quelques lignes suffisent : qui traite quoi, et pourquoi.
Une précision qui compte sur le troisième réflexe. Un hébergement hors de l'Union européenne n'est pas interdit. Il est licite dès lors que le transfert est encadré par des garanties appropriées : clauses contractuelles types, ou Data Privacy Framework. Ce que vous devez pouvoir obtenir d'un prestataire, ce n'est pas la promesse que tout est en France, c'est la liste écrite de ses sous-traitants, avec leur localisation et les garanties associées.
Et la certification HDS, dans tout ça ?
HDS signifie « hébergeur de données de santé ». En France, héberger des données de santé sur un support numérique impose de passer par un hébergeur certifié, en application de l'article L.1111-8 du code de la santé publique. Ce n'est pas une option commerciale, c'est la loi, et la certification s'obtient auprès d'un organisme accrédité après un audit documentaire puis sur site, pour trois ans, avec un audit de surveillance annuel.
Le référentiel a d'ailleurs été renforcé en mai 2024 : l'hébergement physique des données de santé doit désormais se faire exclusivement sur le territoire de l'Espace économique européen.
Pour vous, la conséquence est simple, et elle tient en une alternative : soit votre prestataire est certifié HDS, soit il ne doit jamais laisser entrer la moindre donnée de santé dans ses outils. Il n'y a pas de troisième voie confortable.
Comment je m'y prends, concrètement
Le contrat que je signe avec chaque cabinet comporte une clause d'exclusion absolue : aucune donnée de santé, aucun motif de consultation, aucun diagnostic ne transite par les automatisations que je mets en place. Pas de donnée de santé, donc pas de problème d'hébergement de données de santé.
Prenons un exemple concret, un rappel de rendez-vous par SMS. Ce qui est transmis : un nom, un prénom, un numéro, un créneau. Ce qui n'est jamais conservé : le motif médical, le diagnostic, l'enregistrement audio ou la transcription intégrale d'un appel. Un cabinet peut ainsi gagner du temps sur l'administratif sans jamais faire circuler la moindre information médicale par un outil non maîtrisé.
Ce qu'il faut retenir
- Une donnée de santé relève d'une catégorie particulière, protégée par défaut.
- Retirer le nom ne suffit pas toujours à sortir du cadre.
- Un outil pratique n'est pas pour autant un sous-traitant au sens du RGPD.
- Hors Union européenne n'est pas interdit, mais doit être encadré et documenté.
- Sans certification HDS, aucune donnée de santé ne doit entrer dans les outils d'un prestataire.
Si le sujet vous intéresse, j'en ai fait une vidéo complète sur la chaîne PratLib, avec les mêmes sources et les mêmes réflexes, en images.
Où en est votre visibilité, exactement ?
En 24h, recevez votre audit gratuit : ce que Google montre de vous, qui ressort avant vous, et 3 améliorations concrètes. Sans engagement.
Demander mon audit gratuit