— Communautés Professionnelles Territoriales de Santé —
Les CPTS traitent des données de santé dans un cadre multi-partenarial. Ce guide recense les obligations concrètes qui s'appliquent à votre structure — documents à produire, partenariats à encadrer, sécurité à mettre en place.
Obligation 1 — Documents
Le registre est la colonne vertébrale de votre conformité RGPD. Obligatoire pour toute structure traitant des données de santé, il recense l'ensemble de vos traitements, leurs bases légales, leurs destinataires et leurs durées de conservation.
Registre de traitement
En tant que responsable de traitement, la CPTS doit tenir un registre documentant chaque activité impliquant des données personnelles — patients, professionnels de santé, adhérents, salariés.
Information des personnes
Chaque fois que la CPTS collecte des données personnelles — à l'inscription d'un patient dans une mission, dans un formulaire de contact, lors d'un atelier — les personnes concernées doivent être informées.
Obligation 2 — Analyse d'impact
L'Analyse d'Impact relative à la Protection des Données (AIPD) est requise dès qu'un traitement est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes. Dans le cas d'une CPTS, plusieurs missions réunissent quasi-systématiquement les critères déclencheurs.
Critères déclencheurs — CPTS
Les guidelines de la CNIL retiennent 9 critères. Lorsqu'un traitement remplit au moins 2 de ces critères, l'AIPD est obligatoire. Dans une CPTS, les missions ci-dessous les cumulent presque systématiquement — notamment le traitement à grande échelle de données de santé et la présence de personnes vulnérables.
Obligation 3 — Partenariats & sous-traitance
La CPTS travaille avec de nombreux partenaires : établissements de santé, associations, MSP, médecins libéraux, collectivités. Chaque échange de données doit être juridiquement encadré — par une convention ou un contrat de sous-traitance selon la nature du partenariat.
Conventions partenariales
Lorsque plusieurs acteurs traitent conjointement des données — par exemple une CPTS et un centre hospitalier dans le cadre d'un parcours sortie hôpital — une convention de responsabilité conjointe ou des clauses contractuelles spécifiques sont obligatoires.
Sous-traitants
Tout prestataire qui traite des données pour le compte de la CPTS — logiciel de coordination, hébergeur, prestataire informatique — est un sous-traitant. Un contrat de sous-traitance encadrant ses obligations RGPD est obligatoire.
Obligation 4 — Sécurité des données
La sécurité des données ne se résume pas aux outils techniques. Elle passe par des règles claires sur qui accède à quoi, une sensibilisation régulière des équipes, et le choix d'outils adaptés à la sensibilité des données de santé.
Habilitations
Chaque personne qui accède aux données de la CPTS — coordinateur, chargé de mission, bénévole, stagiaire — doit avoir des droits d'accès définis et documentés selon le principe du moindre privilège.
Sensibilisation
Coordinateurs, chargés de mission, professionnels de santé impliqués dans les missions : toutes les personnes qui manipulent des données personnelles doivent être sensibilisées à leurs obligations RGPD.
Outils HDS
Tout outil ou hébergeur qui stocke ou traite des données de santé au sens du Code de la santé publique doit être certifié Hébergeur de Données de Santé (HDS). Ce point est souvent négligé dans les CPTS.
Obligation 5 — Délégué à la Protection des Données
Dans certains cas, la désignation d'un Délégué à la Protection des Données (DPO) et sa déclaration auprès de la CNIL sont obligatoires. Pour les CPTS, cette obligation peut s'appliquer selon l'ampleur des traitements réalisés.
Le RGPD impose la désignation d'un DPO dans trois situations. Pour les CPTS, c'est principalement le traitement à grande échelle de données de santé qui peut déclencher cette obligation — notamment lorsque la CPTS coordonne plusieurs missions impliquant de nombreux patients.
— Passer à l'action —
Le Pack de conformité RGPD est conçu pour accompagner les CPTS de A à Z : audit initial, registre de traitement, documents obligatoires, partenariats, sécurité et plan d'action priorisé.