Télémédecine et prise de rendez-vous : encadrer les traitements de santé sous RGPD

Lecture rapide

Le contrat avec une plateforme de télémédecine doit encadrer strictement la sous-traitance : traitement des données uniquement sur instruction du médecin, engagements de confidentialité, mesures de sécurité, recours à des sous-traitants soumis à autorisation, coopération pour l’exercice des droits des patients, restitution ou suppression des données en fin de prestation, possibilité d’audit. Les données de santé doivent être hébergées par un hébergeur agréé ou certifié.

Analyse juridique

1. Télémédecine, prise de rendez-vous et encadrement des traitements de santé sous RGPD

1.1. La mise en place de la télémédecine et de la prise de rendez-vous via des plateformes numériques implique un traitement structuré de données de santé et de données à caractère personnel. Ces traitements doivent respecter les exigences du RGPD et du code de la santé publique, en particulier lorsque des prestataires externes interviennent pour l’hébergement ou la gestion des dossiers patients.

1.2. Le responsable de traitement, en pratique le médecin exerçant en libéral ou la structure médicale, doit s’assurer que tout sous-traitant (éditeur de logiciel, hébergeur, prestataire de maintenance, plateforme de rendez-vous) respecte les obligations prévues à l’article 28 du RGPD. Cela inclut la mise en œuvre de mesures de sécurité adaptées, la limitation des finalités, la confidentialité et la traçabilité des accès.

1.3. Dans le contexte de la télémédecine, la plateforme utilisée pour la consultation à distance, la gestion des rendez-vous ou la télétransmission doit être hébergée par un hébergeur de données de santé agréé ou certifié, conformément à l’article L.1111-8 du code de la santé publique. Cette exigence vaut aussi pour les logiciels de gestion de cabinet lorsque les dossiers patients sont externalisés.

2. Obligations contractuelles du sous-traitant et sécurité des données de santé

2.1. Le RGPD impose que le sous-traitant ne traite les données personnelles que sur instruction documentée du responsable de traitement. Le texte précise que le prestataire : « met en œuvre les mesures de sécurité requises », « ne recrute pas de sous-traitant sans votre autorisation écrite préalable », « coopère avec vous pour le respect de vos obligations en tant que responsable de traitement », « supprime ou vous renvoie l’ensemble des données à caractère personnel à l’issue des prestations » et « collabore dans le cadre d’audits ».

2.2. Pour la télémédecine et la prise de rendez-vous en ligne, ces engagements sont essentiels : la plateforme doit garantir la confidentialité, l’intégrité et la disponibilité des données, assurer un contrôle d’accès strict (par exemple via CPS ou identifiants professionnels), et permettre la traçabilité des connexions (journalisation des accès, identifiants, date et heure, documents consultés).

2.3. Le contrat de sous-traitance doit également encadrer la suppression ou la restitution des données à la fin de la prestation, ainsi que les conditions d’éventuels transferts de données hors UE. En cas de transfert vers un pays tiers non couvert par une décision d’adéquation, des garanties spécifiques doivent être prévues et documentées dans le registre, conformément à l’article 49 du RGPD.

3. Notice d’information au patient pour la gestion d’un cabinet médical

3.1. L’exemple de notice d’information pour la gestion d’un cabinet médical illustre les obligations de transparence imposées par le RGPD. Le médecin, « le Dr. XX, [adresse] », recueille et conserve dans un dossier patient des informations sur l’état de santé du patient. La notice explique pourquoi le médecin tient un dossier : « assurer votre suivi médical », « garantir la prise en charge la plus adaptée à votre état de santé », « garantir la continuité de la prise en charge sanitaire » et répondre à l’exigence de délivrer des soins appropriés.

3.2. La notice précise la durée de conservation du dossier : « en principe pendant 20 ans à compter de la date de votre dernière consultation », par référence à l’article R. 1112-7 du code de la santé publique applicable aux établissements de santé. Cette durée est reprise dans le modèle de registre des activités de traitement pour l’activité de suivi des patients.

3.3. Lorsque le dossier est hébergé par un prestataire, la notice indique que le dossier est « hébergé sur les serveurs de XXX, qui dispose d’un agrément / d’une certification délivrée en application des dispositions de l’article L.1111-8 du code de la santé publique ». Le médecin présent chez l’hébergeur est « garant de la confidentialité des données de santé ». Le patient peut s’opposer à l’externalisation de ses données en contactant son médecin ou l’hébergeur de données de santé.

3.4. La notice décrit les destinataires des informations : le médecin, son personnel « au regard de la nature des missions qu’il exerce », les autres professionnels de santé avec le consentement du patient, et la caisse de sécurité sociale pour la télétransmission des feuilles de soins. Elle rappelle les droits du patient : accès, rectification, effacement, opposition, limitation, et la possibilité de saisir la CNIL en cas de difficultés.

3.5. Cette notice ne couvre que la gestion des dossiers patients. Pour d’autres traitements (par exemple recherche, utilisation d’une plateforme sécurisée de gestion des rendez-vous, télémédecine), une information spécifique doit être réalisée, précisant la finalité, le fondement légal et la durée de conservation des données.

4. Registre des activités de traitement pour un médecin libéral

4.1. Le modèle de registre des activités de traitement proposé pour le Dr. Hippocrate illustre la manière de documenter les traitements dans un cabinet médical. Le registre peut être tenu « sous format papier ou informatique » et doit être adapté à la situation particulière du médecin. Il recense les activités impliquant le traitement de données personnelles : « Suivi des patients », « Prise de rendez-vous (en cas d’externalisation de la prise de rendez-vous) », « Études internes », « Gestion de la paie », « Gestion des fournisseurs », « Sécurisation des locaux » (vidéosurveillance, badge de sécurité).

4.2. Chaque activité doit faire l’objet d’une fiche de registre détaillée. Pour l’activité 1 – Suivi des patients, la fiche précise la date de création, le nom du logiciel utilisé (ici le logiciel Dioclès), les objectifs poursuivis, les catégories de personnes concernées, les catégories de données collectées, les durées de conservation, les destinataires, les sous-traitants, les éventuels transferts hors UE et les mesures de sécurité.

4.3. Le logiciel Dioclès « permet le suivi des patients du cabinet » et sert à l’activité de prévention, de diagnostic et de soins ainsi qu’à la gestion du cabinet. Il permet « la gestion des rendez-vous », « la gestion des dossiers médicaux », « l’édition des ordonnances », « l’envoi de courriers aux confrères », « l’établissement et la télétransmission des feuilles de soins ». Ces fonctionnalités recouvrent à la fois la prise en charge médicale et les aspects administratifs liés à la facturation et à la coordination des soins.

5. Catégories de personnes concernées et de données traitées

5.1. La fiche de registre identifie les catégories de personnes concernées : « Patients », « Professionnels de santé », « le cas échéant, famille du patient ». Dans un contexte de télémédecine et de prise de rendez-vous, ces catégories peuvent inclure les patients suivis à distance, les confrères destinataires de courriers ou de comptes rendus, et les proches impliqués dans la prise en charge.

5.2. Les catégories de données collectées comprennent notamment : l’état-civil, l’identité, les données d’identification, les images (nom, prénom, adresse, photographie, date et lieu de naissance), les données relatives à la vie personnelle (habitudes de vie, situation familiale) si nécessaire à la prise en charge, les données de vie professionnelle (profession, conditions de travail ayant un impact sur la prise en charge médicale). D’autres catégories peuvent être ajoutées selon les besoins (informations économiques et financières, données de connexion, données de localisation, données internet, etc.).

5.3. Le registre souligne la présence de données sensibles, strictement encadrées par le RGPD : « données révélant l’origine prétendument raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, les données génétiques et biométriques, les données concernant la santé, la vie sexuelle ou l’orientation sexuelle, les données relatives aux condamnations pénales ou aux infractions, le numéro d’identification national unique (NIR) ». Pour l’activité de suivi des patients, la fiche coche « Oui » à la question « Des données sensibles sont-elles traitées ? » et précise : données de santé.

6. Durées de conservation, destinataires et sous-traitants

6.1. La fiche de registre indique une durée de conservation de « 20 ans » pour les données de suivi des patients, en cohérence avec la notice d’information et l’article R. 1112-7 du code de la santé publique. Lorsque les catégories de données ne sont pas soumises aux mêmes durées, ces différences doivent apparaître dans le registre, avec des critères clairs pour déterminer le délai d’effacement.

6.2. Les destinataires internes comprennent par exemple la « secrétaire médicale » et, le cas échéant, d’autres membres du personnel du cabinet. Les organismes externes incluent la « Sécurité sociale » et les « professionnels de santé intervenant dans la prise en charge ». Ces destinataires sont directement concernés par la télémédecine et la prise de rendez-vous, notamment pour la coordination des soins et la facturation.

6.3. Les sous-traitants mentionnés comprennent l’« éditeur de logiciel Dioclès s’il assure une prestation de maintenance informatique ou d’hébergement de données de santé » et d’autres prestataires éventuels. Le registre doit préciser les rôles de chacun, les types de données traitées et les mesures de sécurité mises en œuvre. En cas de transferts de données hors UE, le registre doit indiquer les pays concernés et les garanties appliquées.

7. Mesures de sécurité techniques et organisationnelles

7.1. Le registre détaille les mesures de sécurité prévues pour préserver la confidentialité des données. Le niveau de sécurité doit être « adapté aux risques soulevés par le traitement ». Parmi les garanties de base figurent le contrôle d’accès des utilisateurs, les mesures de traçabilité, la protection des logiciels, la sauvegarde des données, le chiffrement et le contrôle des sous-traitants.

7.2. Le contrôle d’accès est illustré par l’exemple : « Accès avec CPS par le Dr. Hippocrate et accès spécifique pour le secrétaire médical avec CPE ». Cette séparation des droits d’accès est essentielle en télémédecine et pour la prise de rendez-vous, afin de limiter l’accès aux seules personnes habilitées.

7.3. Les mesures de traçabilité comprennent la « journalisation des accès des utilisateurs sur 6 mois avec conservation des identifiants, date et heure de connexion, durée de connexion et documents ou dossiers consultés ». Cette traçabilité permet de détecter les accès non autorisés et de documenter les incidents de sécurité.

7.4. La protection des logiciels repose sur l’« installation d’antivirus et de pare-feu », complétée par des mises à jour et correctifs de sécurité. Les sauvegardes sont réalisées « hebdomadairement sur un serveur distinct », ce qui limite le risque de perte de données en cas d’incident. Le chiffrement des données est assuré par le logiciel, qui « chiffre les données contenues », et peut être complété par l’utilisation de protocoles sécurisés (https, TLS) pour les échanges.

7.5. Le contrôle des sous-traitants passe par la « vérification des engagements pris par le sous-traitant relativement à la sécurité des données dans le cadre du contrat de sous-traitance ». Le responsable de traitement doit s’assurer que les prestataires respectent les exigences du RGPD et du code de la santé publique, notamment pour l’hébergement de données de santé et la gestion des plateformes de télémédecine ou de prise de rendez-vous.

8. Définitions clés pour comprendre les traitements de santé

8.1. Le lexique rappelle que la donnée à caractère personnel est « toute information se rapportant à une personne physique identifiée ou identifiable », par référence à un identifiant (nom, numéro d’identification, données de localisation, identifiant en ligne) ou à des éléments spécifiques de son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

8.2. Les données de santé sont définies comme les « données à caractère personnel relatives à la santé physique ou mentale d’une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l’état de santé de cette personne ». Dans la télémédecine, ces données sont au cœur des échanges entre le patient et le professionnel de santé.

8.3. Le terme traitement désigne « toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel », telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation, la modification, l’extraction, la consultation, l’utilisation, la communication, la diffusion, la mise à disposition, le rapprochement, l’interconnexion, la limitation, l’effacement ou la destruction. Toute action réalisée sur des données personnelles, dès la collecte, constitue un traitement.

8.4. Le responsable de traitement est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ». La personne concernée est la personne physique identifiée ou identifiable à laquelle se rapporte l’information. Le destinataire est « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui reçoit communication de données à caractère personnel ». Le sous-traitant est « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ».

8.5. La CNIL, Commission nationale de l’informatique et des libertés, est l’autorité compétente pour la protection des données personnelles en France. Elle publie des modèles, comme le registre des activités de traitement, et des recommandations pour les professionnels de santé.

9. Cas pratique : le Dr Hippocrate et le patient Alphonse

9.1. Le cas pratique du Dr Hippocrate illustre concrètement les notions du lexique. Le médecin exerce seul en libéral et reçoit pour la première fois le patient Alphonse, qui lui parle de ses problèmes de dos, séquelles d’un vieil accident. Le Dr Hippocrate crée un dossier patient dans son logiciel Dioclès, mis en place un mois plus tôt, et y note ses observations. Le logiciel est « accessible à distance » et « assure la sécurité des dossiers ».

9.2. À la fin de la consultation, le Dr Hippocrate effectue la télétransmission vers la sécurité sociale grâce à la carte Vitale d’Alphonse, remet une ordonnance et rédige une lettre à un confrère spécialiste. Dans cette situation, il y a bien un traitement de données personnelles : nom, prénom, informations relatives aux problèmes de dos, historique médical en lien avec l’accident, numéro de sécurité sociale.

9.3. Les données de santé concernent les informations portant spécifiquement sur l’état de santé (problèmes de dos, historique médical). Le traitement comprend l’enregistrement des données dans le logiciel Dioclès, l’hébergement des données par l’éditeur du logiciel ou son sous-traitant, la télétransmission à la sécurité sociale et l’échange avec un confrère. Le responsable de traitement est le Dr Hippocrate, la personne concernée est Alphonse, les destinataires sont la sécurité sociale, le confrère et la secrétaire médicale, et le sous-traitant est l’éditeur du logiciel Dioclès ou son sous-traitant hébergeur.

9.4. Ce cas pratique montre comment, dans un contexte proche de la télémédecine et de la gestion de rendez-vous, chaque étape (création du dossier, saisie des données, hébergement, télétransmission, correspondance médicale) relève d’un traitement de données personnelles soumis au RGPD et aux règles spécifiques applicables aux données de santé.

10. Pour en savoir plus

10.1. Modèle de registre des activités de traitement publié par la CNIL : Registre des activités de traitement – CNIL

10.2. Site du Conseil national de l’Ordre des médecins : Conseil national de l’Ordre des médecins

10.3. Site de la Commission nationale de l’informatique et des libertés : CNIL

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.