— Cliniques, centres de radiologie, établissements spécialisés —
Les établissements de santé privés traitent en permanence des données de santé à grande échelle. Ce guide recense les obligations concrètes qui s'appliquent à votre structure — DPO obligatoire, registre de traitement, AIPD, sécurité HDS et encadrement des sous-traitants.
Spécificité ES — DPO
Contrairement à d'autres acteurs de santé pour lesquels la désignation d'un DPO est fortement recommandée, elle est ici strictement obligatoire. Un établissement de santé traite par nature des données de santé à grande échelle — ce seul critère suffit à déclencher l'obligation légale prévue par l'article 37 du RGPD.
L'article 37 du RGPD impose la désignation d'un Délégué à la Protection des Données (DPO) dès lors qu'un organisme effectue un traitement à grande échelle de données de catégorie particulière au sens de l'article 9. Les données de santé en font partie. Un établissement de santé — clinique, centre de radiologie, établissement psychiatrique, SSR — y est soumis dès lors qu'il traite des dossiers patients, des données d'imagerie ou des actes médicaux, ce qui est systématiquement le cas.
Obligation 2 — Registre
Le registre est la colonne vertébrale de votre conformité RGPD. Il recense l'ensemble des traitements réalisés au sein de l'établissement, leurs bases légales, leurs destinataires et leurs durées de conservation. Dans un établissement de santé, le nombre et la complexité des traitements rendent ce registre particulièrement dense.
Dossiers patients
La tenue du dossier patient constitue le traitement central de l'établissement. Il concentre les données médicales, chirurgicales, biologiques et administratives de chaque patient, sous format numérique et/ou papier.
Imagerie médicale
Les données d'imagerie médicale (radiographie, IRM, scanner, échographie…) constituent des données biométriques et de santé à très haute sensibilité. Leur traitement sur un PACS (Picture Archiving and Communication System) doit être documenté et hébergé par un prestataire certifié HDS.
Admissions et sorties
Le processus d'admission collecte des données d'identité, administratives, de couverture sociale et médicales. La sortie implique des courriers, des comptes-rendus et des transmissions aux professionnels de ville.
Bloc opératoire
La planification et la réalisation des interventions génèrent des données médicales très sensibles : compte-rendus opératoires, protocoles anesthésiques, bilans préopératoires. Ces données doivent être intégrées au dossier patient et conservées selon les règles légales.
Facturation
La facturation des actes et la télétransmission vers l'Assurance Maladie (flux SESAM-Vitale, RSF) impliquent le traitement de données de santé à des fins administratives. Ces flux doivent être encadrés et documentés dans le registre.
Ressources humaines
L'établissement est aussi employeur. La gestion des ressources humaines — paie, dossiers du personnel, absences, formations, praticiens libéraux, stagiaires — génère ses propres traitements à documenter dans le registre.
Sous-traitants
Chaque prestataire qui accède aux données de l'établissement ou les traite pour son compte doit faire l'objet d'un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD. Cette obligation couvre une large palette de prestataires dans un établissement de santé.
Information des patients
Chaque patient doit être informé des traitements de données le concernant lors de son admission. Les formulaires de consentement, les notices d'information et les modalités d'exercice des droits doivent être formalisés et actualisés.
Obligation 3 — Analyse d'impact
Dans un établissement de santé, la quasi-totalité des traitements principaux remplissent au moins deux critères déclencheurs de l'AIPD définis par les guidelines de la CNIL (traitement à grande échelle de données de santé, personnes vulnérables, suivi systématique, données biométriques…). L'AIPD n'est pas une option — c'est une obligation structurelle pour ces acteurs.
Traitements déclenchants — Établissements de santé
Les guidelines de la CNIL retiennent 9 critères. Lorsqu'un traitement remplit au moins 2 de ces critères, l'AIPD est obligatoire. Dans un établissement de santé, les traitements ci-dessous les cumulent quasi-systématiquement — notamment le traitement à grande échelle de données de santé, la présence de personnes vulnérables et le suivi systématique des patients.
Obligation 4 — Sécurité des données
La sécurité des données en établissement de santé ne se limite pas aux outils techniques. Elle exige une gestion rigoureuse des habilitations par rôle, la traçabilité des accès au DPI imposée par le Code de la santé publique, des outils hébergés dans des environnements certifiés HDS, et une sensibilisation régulière de l'ensemble du personnel soignant et administratif.
Habilitations par rôle
Chaque catégorie de personnel accède uniquement aux données nécessaires à l'exercice de ses fonctions. Cette granularité est obligatoire dans un établissement où coexistent des profils très différents.
Traçabilité DPI
L'article L. 1110-4 du Code de la santé publique impose que chaque accès au dossier patient soit tracé. Cette traçabilité n'est pas une bonne pratique — c'est une obligation légale directement opposable en cas de plainte ou de contrôle.
Outils HDS
Tout outil qui héberge ou traite des données de santé doit être certifié Hébergeur de Données de Santé (HDS) en vertu de l'article L. 1111-8 du Code de la santé publique. Cette obligation couvre l'ensemble de la chaîne numérique de l'établissement.
Sensibilisation
La faille humaine est la première cause de violation de données en établissement de santé. La sensibilisation doit couvrir l'ensemble des profils : soignants, administratifs, direction, mais aussi les prestataires et stagiaires qui accèdent aux locaux ou aux systèmes.
Obligation 5 — Sous-traitants & partenaires
Un établissement de santé travaille avec un écosystème étendu de prestataires et partenaires qui accèdent, traitent ou hébergent des données de santé. Chacun doit faire l'objet d'un contrat de sous-traitance conforme à l'article 28 du RGPD, avec vérification de la certification HDS lorsque des données de santé sont en jeu.
Hébergeur HDS
Tout prestataire qui héberge des données de santé pour le compte de l'établissement doit être titulaire de la certification HDS délivrée par un organisme accrédité. Cette vérification doit être documentée et mise à jour régulièrement.
Maintenance
Les techniciens de maintenance du DPI, les prestataires biomédicaux et les sociétés qui interviennent sur les équipements médicaux connectés peuvent accéder à des données de santé lors de leurs interventions. Cet accès doit être encadré contractuellement et tracé.
Laboratoires
Les échanges avec les laboratoires d'analyses (résultats biologiques, prescriptions) constituent des transferts de données de santé. Lorsque le laboratoire est extérieur à l'établissement, la relation doit être formalisée.
Télémédecine
Les plateformes de téléconsultation ou de télésuivi utilisées par l'établissement (ou ses praticiens) pour des actes liés à des patients hébergés traitent des données de santé. Leur certification HDS et leur conformité RGPD doivent être vérifiées avant tout déploiement.
Assurances & mutuelles
La transmission de données à des fins de remboursement (AMC, assurances complémentaires) ou dans le cadre de prises en charge spécifiques doit être encadrée. Ces transmissions ne peuvent s'opérer que sur base légale valide et dans les limites strictement nécessaires.
Obligation 6 — Rôle du DPO en établissement
Au-delà de l'obligation de désignation, le DPO joue un rôle structurant dans la vie quotidienne de l'établissement. Sa déclaration à la CNIL, son positionnement et ses missions doivent être formalisés et compris de tous les services.
Déclaration CNIL
La désignation du DPO doit faire l'objet d'une déclaration formelle auprès de la CNIL via le téléservice dédié. Les coordonnées du DPO doivent être publiées sur le site de l'établissement et communiquées aux patients.
Missions quotidiennes
En établissement de santé, les missions du DPO sont denses et continues. Elles couvrent l'ensemble du cycle de vie des données, de la conception des nouveaux projets au traitement des demandes des patients.
DPO externalisé vs interne
Le RGPD autorise explicitement le recours à un DPO externalisé via contrat de service. Cette option est souvent la plus adaptée pour les établissements qui ne disposent pas en interne des compétences juridiques et techniques requises.
— Passer à l'action —
DPO obligatoire, registre complet, AIPD, sécurité HDS : le cabinet RGPD Santé accompagne les établissements de santé privés de A à Z pour mettre en place une conformité solide, documentée et durable.