— Articles 13 & 14 du RGPD —
Chaque fois que vous collectez ou utilisez des données personnelles, vous devez en informer les personnes concernées. Cette obligation s'applique à tous — patients, professionnels membres, salariés, visiteurs du site. Et en santé, elle prend des formes multiples.
L'obligation légale
Les articles 13 et 14 du RGPD imposent d'informer toute personne dont vous traitez les données, au moment de la collecte (Art. 13) ou dans un délai raisonnable si les données n'ont pas été collectées directement auprès d'elle (Art. 14). L'obligation est préalable et continue : elle ne se remplit pas une fois pour toutes.
Art. 13 RGPD
Lorsque la personne fournit elle-même ses données (formulaire, accueil, prise en charge…), l'information doit être délivrée au moment de la collecte. Il ne peut pas y avoir de délai.
Art. 14 RGPD
Lorsque les données ne viennent pas directement de la personne (transmission entre professionnels, achat de fichier, signalement…), l'information doit être délivrée dans un délai raisonnable — au plus tard un mois.
Conséquences
L'absence d'information — ou une information incomplète — constitue une violation directe du RGPD, sanctionnable lors d'un contrôle CNIL ou d'une plainte d'une personne concernée.
Contenu obligatoire
Quel que soit le support retenu, l'information des personnes doit comporter un ensemble de mentions définies par les articles 13 et 14 du RGPD. Une information incomplète ne vaut pas information.
La personne doit savoir qui traite ses données. Si un DPO a été désigné et déclaré à la CNIL, ses coordonnées sont également obligatoires.
Pourquoi traitez-vous ses données ? Sur quelle base légale (consentement, obligation légale, mission d'intérêt public…) ? Les deux doivent être explicitement mentionnés.
Qui reçoit les données ? Professionnels partenaires, hébergeurs, organismes administratifs, sous-traitants… Tous doivent être identifiés, au moins par catégorie.
Combien de temps les données seront-elles conservées ? Si la durée exacte n'est pas définie, les critères retenus pour la déterminer doivent être précisés.
La personne doit être informée qu'elle peut accéder à ses données, les rectifier, demander leur effacement ou leur portabilité, s'opposer à leur traitement, et déposer une plainte auprès de la CNIL.
Si des données sont transférées vers un pays hors de l'Union européenne, la personne doit en être informée et les garanties mises en place doivent être mentionnées.
En santé, l'information doit également mentionner le droit d'accès au dossier médical (Art. L. 1111-7 CSP) et, le cas échéant, les modalités spécifiques de consentement prévues par la réglementation sanitaire. L'articulation entre le droit général RGPD et le droit sectoriel de la santé requiert une expertise spécifique.
Les supports adaptés
En santé, les publics concernés sont multiples — et chacun justifie un support spécifique. Une même notice générique ne suffit pas à couvrir l'ensemble des obligations. Les supports doivent être accessibles, lisibles et adaptés au contexte de leur remise.
Patients
Remise au moment de la prise en charge ou affichée en salle d'attente. Doit être rédigée en langage accessible, sans jargon juridique.
Visiteurs du site web
Page dédiée accessible depuis toutes les pages du site. Couvre les cookies, les formulaires de contact, les abonnements newsletter.
Salariés & intervenants
Remise lors de l'embauche ou de la signature du contrat. Couvre la gestion du personnel, la vidéosurveillance, les outils informatiques professionnels.
Professionnels membres
Pour les CPTS, MSP et réseaux : information des professionnels de santé membres sur la gestion de leur adhésion et de leurs données professionnelles.
Partenaires & prestataires
Toute convention de partenariat ou contrat de sous-traitance doit intégrer les mentions RGPD obligatoires pour les personnes dont les données transitent dans la relation.
Communications électroniques
Chaque formulaire en ligne et chaque email de collecte doit comporter un lien vers la politique de confidentialité et la base légale du traitement associé.
Pour une information vraiment conforme
Une notice d'information copiée d'un modèle générique ou rédigée sans analyse préalable de vos traitements n'est pas une information conforme. Elle peut même aggraver votre situation juridique en mentionnant des bases légales incorrectes ou des durées de conservation erronées.
Produire des supports d'information valides suppose de connaître précisément vos traitements, leurs bases légales et leurs destinataires — ce qui renvoie directement à votre registre. Un DPO construit les deux en cohérence.
— Passez à l'action —
RGPD Santé rédige l'ensemble de vos supports d'information — notices patients, politique de confidentialité, mentions RH — en cohérence avec votre registre et vos obligations sectorielles.