Les données de santé sont les données personnelles les plus sensibles au regard du RGPD. Elles bénéficient d’un régime de protection renforcé qui s’applique à de nombreuses entreprises — pas seulement aux professionnels de santé. Voici les obligations et les risques.
Données de santé et RGPD : les obligations renforcées que peu d’entreprises respectent
Qu’est-ce qu’une donnée de santé au sens du RGPD ?
La définition est large. Sont considérées comme données de santé : les informations sur les arrêts maladie des salariés, les restrictions médicales au travail, les déclarations d’accidents du travail, les informations sur un handicap, mais aussi les données collectées par des applications de bien-être ou de fitness, ou encore les informations sur la consommation de médicaments. Beaucoup d’entreprises traitent des données de santé sans en avoir conscience.
Le régime de protection renforcé
Les données de santé sont des données dites « sensibles » au sens de l’article 9 du RGPD. Leur traitement est en principe interdit, sauf exceptions limitatives : consentement explicite de la personne, nécessité pour l’exécution d’obligations en matière de droit du travail ou de protection sociale, ou intérêt public dans le domaine de la santé publique.
Les obligations spécifiques
- Une analyse d’impact (AIPD) est obligatoire avant tout traitement de données de santé à grande échelle
- La désignation d’un DPO (délégué à la protection des données) est souvent requise
- Des mesures de sécurité renforcées s’imposent : chiffrement, contrôle d’accès strict, journalisation
- La durée de conservation doit être strictement limitée à ce qui est nécessaire
L’Espace européen des données de santé (EHDS)
L’EHDS, qui entre en phase opérationnelle en 2026, crée un nouveau cadre pour le partage des données de santé à des fins de soins et de recherche. Les entreprises de santé numérique doivent désormais intégrer ces nouvelles règles dans leur conformité.
Conclusion
Les données de santé sont l’une des catégories les plus surveillées par la CNIL. Leur traitement sans les garanties adéquates expose à des sanctions maximales.
Votre organisation traite des données de santé et vous souhaitez vérifier votre conformité ? Le Cabinet d’Avocat Mizrahi vous accompagne lors d’une première consultation gratuite de 30 minutes. Consultation gratuite →
🔐 Votre situation RGPD vous préoccupe ?
Me Mizrahi analyse votre dossier gratuitement. Réponse sous 48h, partout en France — en présentiel ou à distance.
Consultation gratuite →